Dalle infrastrutture critiche al risk management: cosa cambia per aziende, broker e risk manager dopo il recepimento della normativa europea sulla resilienza dei soggetti critici
Con il Decreto Legislativo n. 134 del 4 settembre 2024, l’Italia ha recepito la Direttiva UE 2022/2557 (CER – Critical Entities Resilience), completando un tassello normativo che, insieme alla NIS2, ridisegna il perimetro della gestione del rischio per le infrastrutture essenziali del Paese. Per il mondo broker, non è un tema da addetti ai lavori della compliance: è un cambio di paradigma che impatta polizze, sottoscrizione e consulenza al cliente corporate.
Cosa cambia rispetto al passato
La CER supera la logica “a silos” della precedente disciplina sulle infrastrutture critiche europee, introducendo un approccio all-hazards: non più solo terrorismo e sabotaggio, ma anche eventi naturali, incidenti tecnici, pandemie e minacce ibride. Il perimetro settoriale si allarga da 2 a 11 comparti moltiplicando il numero di soggetti che dovranno dotarsi di piani di resilienza strutturati:
- Energia
- Trasporti
- Servizi bancari
- Infrastrutture dei mercati finanziari
- Sanità
- Acqua potabile
- Acque reflue
- Infrastrutture digitali
- Pubblica amministrazione
- Spazio
- Produzione, trasformazione e distribuzione alimentare
A differenza della NIS2, che presidia la cybersicurezza, la CER guarda alla sicurezza fisica e operativa: continuità del servizio, protezione degli asset, gestione delle crisi. Le due normative sono complementari e, per molte aziende multi-esposte, si sovrappongono negli adempimenti.
Chi viene designato “entità critica”
Gli Stati membri identificano i soggetti obbligati sulla base di tre criteri cumulativi:
- erogazione di un servizio essenziale in uno degli 11 settori regolati;
- impatto sistemico potenziale, ovvero la capacità di un’interruzione di generare effetti a cascata transfrontalieri o intersettoriali;
- esposizione al rischio nazionale, valutata dalle autorità competenti sulla base di analisi di contesto specifiche per ciascun Paese.
Le aziende designate riceveranno una notifica formale dalle autorità e, da quel momento, saranno soggette a un regime di vigilanza rafforzato.
L’impatto sulla governance (e sulle responsabilità)
Il decreto attribuisce responsabilità dirette al board: gli amministratori dovranno approvare le valutazioni del rischio e i piani di resilienza, con profili di responsabilità personale in caso di inadempienza grave. È lo stesso trend già visto con la NIS2 per la cybersicurezza, e apre riflessioni immediate sul fronte D&O: i massimali sono adeguati al nuovo perimetro di esposizione? Le polizze coprono le sanzioni amministrative derivanti da non conformità, dove consentito dal mercato?
Le implicazioni operative (e di business) per broker e risk manager
Per chi opera nella filiera assicurativa, la Direttiva CER apre più di un fronte di lavoro:
- Property e Business Interruption: le aziende dovranno rivedere i piani di continuità operativa; questo è il momento per riallineare massimali, franchigie e clausole di BI alla luce delle nuove valutazioni del rischio imposte dalla legge.
- Responsabilità civile e D&O: l’onere di compliance in capo al management amplia l’esposizione personale degli amministratori, con possibili ricadute sulle richieste di copertura.
- Consulenza pre-collocamento: i risk manager delle entità designate avranno bisogno di supporto per tradurre gli obblighi normativi (risk assessment, piani di resilienza, notifica incidenti) in un profilo di rischio assicurabile e documentabile.
- Opportunità di sottoscrizione: cresce la domanda di prodotti dedicati a resilienza operativa e crisis management, un segmento ancora poco standardizzato dal mercato italiano.
La sfida per il mercato
Il vero nodo, come spesso accade con le normative europee di ultima generazione, sarà l’armonizzazione dei tempi di designazione tra i vari Stati membri e la capacità delle compagnie di sviluppare coperture su misura per un rischio finora gestito prevalentemente per via regolamentare, non assicurativa.
La domanda per i broker, a questo punto, è una sola: i vostri clienti “critici” sanno già di esserlo? E se sì, il loro programma assicurativo è già stato ridisegnato di conseguenza?
