D.lgs. 134/2024: l’elenco dei soggetti critici non si può leggere, per legge

Un ente non scopre da solo di essere un soggetto critico: non esiste un registro da consultare, solo una lettera che arriva, se arriva. È la struttura scelta dal decreto legislativo 4 settembre 2024, n. 134, con cui l’Italia recepisce la direttiva (UE) 2022/2557 sulla resilienza dei soggetti critici — firmato fra gli altri dai ministri della Difesa e dell’Interno, Crosetto e Piantedosi, in vigore dal 18 ottobre 2024. Ogni termine decorre da un atto che quasi mai coincide con una data conoscibile in anticipo.

Chi individua chi, con quali soglie

L’articolo 2 definisce il soggetto critico come un ente pubblico o privato, individuato ai sensi dell’articolo 8 fra le categorie che operano nei settori e sottosettori dell’allegato A: dall’energia ai trasporti, dalla sanità alle infrastrutture digitali. Le autorità settoriali competenti (ASC) individuano i soggetti critici del proprio settore entro il 17 gennaio 2026 e li comunicano al punto di contatto unico (PCU), presso la Presidenza del Consiglio. Le soglie che le ASC applicano, però, le fissa altrove l’articolo 9, comma 2: un DPCM, su proposta del Comitato interministeriale per la resilienza (CIR), da adottare entro il 17 luglio 2025, con un parere parlamentare facoltativo di trenta giorni, dopo il quale il decreto si può comunque adottare (comma 3).

L’elenco che il diretto interessato non legge

Sulla base delle comunicazioni ricevute, il PCU forma l’elenco (art. 8, comma 3); qui la norma cambia natura. Il comma 4 fissa l’adozione con decreto del Presidente del Consiglio dei ministri, sentito il CIR, entro il 17 luglio 2026, e aggiunge: «Il decreto di cui al primo periodo non è soggetto a pubblicazione ed è escluso dall’accesso». Non un ritardo, non una riservatezza di fatto: un’esclusione scritta nella norma stessa. Chi vi compare lo scopre solo dalla notifica che il PCU invia entro trenta giorni, con l’ASC di riferimento (comma 5). Nello stesso termine, il PCU comunica l’identità di tutti i soggetti critici anche all’Agenzia per la cybersicurezza nazionale (comma 6); l’elenco intero va anche agli organismi di informazione per la sicurezza — DIS, AISE, AISI, ai sensi degli articoli 4, 6 e 7 della legge 124/2007 (comma 7). Il singolo riceve una notifica su di sé; il perimetro completo lo vedono, per intero, l’intelligence e l’agenzia cyber.

Nove mesi dentro dieci

La notifica è anche l’evento da cui partono gli orologi. Gli obblighi dei capi III e IV scattano dieci mesi dopo la notifica (comma 5) — salvo le eccezioni richiamate dallo stesso comma, fra cui l’articolo 13, comma 1. Ed è lì il secondo orologio: «Fermo restando il termine di dieci mesi […], i soggetti critici […] effettuano una valutazione del rischio entro nove mesi dal ricevimento della notifica […], e, successivamente, […] almeno ogni quattro anni». Nove mesi dentro dieci, non in alternativa: il termine più corto morde per primo, e chiude la valutazione del rischio prima che gli obblighi del capo III siano, in generale, applicabili.

Le date, se il calendario avesse retto

Oggi, 4 settembre 2026, il termine del 17 luglio 2026 per l’elenco è scaduto da quarantanove giorni. Se il decreto fosse stato adottato puntualmente, la notifica sarebbe arrivata entro il 16 agosto 2026, la valutazione del rischio cadrebbe intorno al 16 maggio 2027, gli obblighi dei capi III e IV intorno al 16 giugno 2027 — ipotesi condizionate, pura aritmetica: la data reale di adozione non è pubblica per costruzione. Un indizio indiretto viene dall’altro decreto, quello sulle soglie, scaduto un anno prima, il 17 luglio 2025: la stampa di settore riporta che proprio il 17 luglio 2026 il Consiglio di Stato ha dato parere favorevole, con numerose osservazioni, sullo schema di quel DPCM — ancora uno schema, un anno oltre la propria scadenza.

Il silenzio che nega

L’articolo 15 introduce controlli sulle persone: il soggetto critico può chiedere il certificato del casellario giudiziale europeo dell’art. 28-bis del d.P.R. 313/2002 per i ruoli sensibili, per chi accede ai siti o ai sistemi anche da remoto, e per i candidati a quei ruoli (comma 1), con richiesta motivata all’ASC (comma 2). Qui la norma capovolge la regola più nota del procedimento amministrativo italiano: «Nel caso in cui la ASC non fornisca risposta entro dieci giorni […] l’autorizzazione […] si intende negata». Non silenzio-assenso: silenzio-diniego. Un terzo DPCM, sentito il Garante privacy, fisserà tempi di conservazione dei certificati (comma 3): il Garante ha già dato, il 29 gennaio 2026, parere favorevole sullo schema — a quella data, ancora uno schema.

Ventiquattro ore, soglie altrove

Sugli incidenti, l’articolo 16 impone la notifica «entro ventiquattro ore» da quando il soggetto ne viene a conoscenza, salvo impossibilità operativa (comma 2). Cosa renda un incidente rilevante, oltre ai parametri generali di utenti coinvolti, durata e area geografica (comma 3), lo dicono soglie fissate settore per settore dallo stesso DPCM dell’articolo 9, comma 2 (comma 4): il decreto ancora allo stadio di schema. Le ventiquattro ore esistono già; il metro con cui si misura se scattano, no. La resilienza, qui, non è solo digitale: l’articolo 14 include la protezione fisica dei siti — recinzioni, barriere, sistemi di controllo del perimetro e degli accessi (comma 2, lett. b) — con sanzioni fino a 125.000 euro per chi non valuta il rischio, non adotta le misure o non notifica (art. 21).

Quello che non abbiamo verificato

Se l’elenco sia stato adottato entro il 17 luglio 2026 non è verificabile da fonti pubbliche, né potrebbe esserlo per costruzione: è la norma a escludere quel decreto da pubblicazione e accesso. Lo scriviamo come un fatto della norma, non un sospetto di inadempienza, senza speculare sul contenuto di un elenco che non abbiamo letto e non potremmo leggere. Sul DPCM delle soglie, la ricerca diretta non ha dato riscontro: il motore interno della Gazzetta Ufficiale non restituisce risultati utili, senato.it risponde con una sfida anti-bot, l’endpoint atti di documenti.camera.it dà 404. Il parere del Consiglio di Stato del 17 luglio 2026 l’abbiamo trovato solo tramite la stampa di settore (Staffetta Quotidiana e Staffetta Acqua): non un testo ufficiale, né conferma che il DPCM sia poi stato pubblicato.

I due assi, applicati all’elenco che non si legge

Adempiere. Sapere in anticipo se si rientra fra i soggetti critici non è nelle possibilità di un ente: lo dice la struttura del decreto. Resta possibile arrivare pronti alla notifica: l’articolo 13, comma 4, ammette che la valutazione del rischio si appoggi a documenti già predisposti per altri regimi normativi, se coprono rischi e dipendenze del comma 3 — il ponte verso chi ha già una mappa costruita per NIS2 o per il registro DORA. Chi arriva con dipendenze mappate spende i nove mesi a rifinire; chi no, li spende a raccoglierle da zero.

Decidere. Lo stesso impianto tiene insieme mappa delle infrastrutture, dipendenze, verifiche sul personale e soglie di notifica in un modello operativo unico, su cui agenti AI eseguono i controlli e un operatore firma la decisione. Vale in entrambe le modalità dell’offerta — on-premise, su macchine autonome senza integrazione profonda nella rete del cliente, oppure cloud dedicato con data center in Italia — sempre con la gestione condivisa: chi riceve una notifica non deve avere già in casa chi gestisce il sistema. È il principio con cui costruiamo la piattaforma.

Non sapete se rientrate fra i soggetti critici, ma volete arrivare pronti se la notifica arriva? Mezz’ora con un nostro esperto per la prima mappa delle dipendenze.

Vedi il servizio