Dopo la scadenza (17 luglio scorso) stabilita dalla Direttiva CER (UE) 2022/2557 e recepita in Italia con il D.Lgs. 134/2024, per l’individuazione delle organizzazioni designate come entità critiche, il prossimo passaggio previsto sarà la notifica formale ai soggetti interessati, prevista entro il 17 agosto. Da quel momento prenderà avvio il concreto percorso di adeguamento ai nuovi obblighi introdotti dalla normativa, che mira a rafforzare la resilienza delle organizzazioni chiamate a garantire la continuità dei servizi essenziali.
Se la Direttiva NIS2 ha spinto negli ultimi anni le aziende e gli enti dei settori critici a rafforzare la propria postura di cybersecurity, la CER compie un passo ulteriore, spingendo ulteriormente sull’adozione di un approccio integrato alla resilienza, chiedendo di valutare e gestire congiuntamente i rischi fisici, digitali e ambientali che possono compromettere la continuità dei servizi essenziali. L’obiettivo non è più proteggere singoli sistemi, ma garantire che l’organizzazione sia in grado di prevenire, gestire e superare qualsiasi evento che possa interromperne l’operatività, sia esso un attacco cyber o una manomissione fisica di un server oppure un evento naturale.
Il commento di ISEO Ultimate Access Technologies
Alessandro Porta, Chief Commercial Officer di ISEO Ultimate Access Technologies, azienda multinazionale leader nelle soluzioni meccaniche ed elettroniche per la sicurezza e la gestione intelligente degli accessi fisici, ha dichiarato:
“La Direttiva CER sancisce un cambiamento culturale prima ancora che tecnologico. Per molti anni la sicurezza fisica e la cyber sicurezza sono state affrontate come discipline autonome, con competenze, processi, KPI e investimenti distinti. il 22 luglio 2026 questo modello non è più sufficiente perché gli elementi che proteggono il mondo fisico sono diventati parte integrante dell’infrastruttura digitale dell’organizzazione.
Ad esempio, un sistema di controllo accessi per la gestione degli ingressi del personale interno ed esterno non svolge più soltanto una funzione di protezione degli edifici, ma rappresenta un insieme di dispositivi connessi che gestiscono identità, credenziali, dati e comunicano costantemente con la rete aziendale. Per questo sono uno dei principali punti di intersezione tra sicurezza fisica e sicurezza informatica.
Grazie anche alla NIS2, negli ultimi anni molte aziende ed enti dei settori critici hanno investito significativamente nel rafforzamento della cyber sicurezza, migliorando la governance del rischio, la protezione delle infrastrutture digitali e le capacità di risposta agli incidenti. Tuttavia, spesso la sicurezza fisica continua a essere gestita separatamente da quella informatica, con strutture organizzative, responsabilità e processi che dialogano ancora troppo poco.
È proprio questo il limite che la Direttiva CER supera. La resilienza non viene più valutata distinguendo tra rischio fisico e cyber o ambientale, ma osservando come un evento possa propagarsi da un dominio all’altro. Un badge clonato, un dispositivo di accesso manomesso, un intervento non autorizzato di un manutentore o la compromissione della password d’accesso di un fornitore possono diventare il punto di ingresso per un attacco ai sistemi informativi. Allo stesso modo un incidente cyber può impedire il funzionamento dei sistemi di accesso alle infrastrutture e agli impianti critici. La vera sfida diventa quindi governare queste interdipendenze.
In questo scenario anche le tecnologie di accesso cambiano ruolo. Non sono più semplici strumenti di security fisica, ma componenti dell’architettura IT complessiva di resilienza dell’organizzazione. Progettarle secondo i principi della cybersecurity e integrarle nella governance del rischio significa contribuire a costruire quella continuità operativa che il 22 luglio 2026 la Direttiva CER richiede alle organizzazioni critiche. Un approccio che da anni è alla base dello sviluppo delle soluzioni di ISEO.”
