Resilienza

Resilire, in latino, significa rimbalzare, saltare indietro.

Per noi giuristi, e in particolare per chi si occupa di infrastrutture e critical assets, la resilienza non è però soltanto una curiosità etimologica.

È diventata materia di lavoro.

Il decreto legislativo 4 settembre 2024, n. 134, che recepisce la direttiva europea sulla resilienza dei soggetti critici (direttiva CER, 2022/2557), ne offre, all'articolo 2, una definizione che trovo particolarmente ben costruita: «La capacità di un soggetto critico di prevenire, attenuare, assorbire un incidente [...] di proteggersi da esso, di rispondervi, di resistervi, di adattarvisi e di ripristinare le proprie capacità operative».

Non è scontato trovare definizioni normative altrettanto efficaci. Talvolta il legislatore ricorre a formule circolari, ambigue o tecnicamente discutibili. Penso, per esempio, alla non felicissima definizione di sistema di intelligenza artificiale contenuta nel Regolamento (UE) 2024/1689 — anche se, lo ammetto, non avrei saputo fare di meglio nel definire un fenomeno tanto complesso.

Il decreto n. 134 è invece particolarmente efficace nel cogliere il cuore del problema: la necessità che determinati soggetti siano in grado di continuare a operare e di reagire efficacemente a situazioni di grave crisi.

E, senza infingimenti, tra queste situazioni dobbiamo ormai contemplare anche quella, drammatica, di un conflitto militare.

Il decreto è un testo denso, al quale vorrei dedicare un approfondimento più organico. Vorrei però accennare subito a due questioni che, pur non essendo al centro della disciplina, in uno scenario come quello appena evocato mi sembrano richiedere urgente attenzione.

La prima riguarda la continuità delle decisioni.

Come deve essere organizzata una società per poter rispondere a un'emergenza quando la sua ordinaria catena decisionale non è più operativa?

Pensiamo a un evento che renda impossibile riunire tempestivamente il consiglio di amministrazione, raggiungere gli amministratori delegati o attivare i consueti meccanismi autorizzativi.

Chi decide? Con quali poteri? Entro quali limiti?

La disciplina sulla resilienza impone di predisporre in anticipo misure organizzative capaci di assicurare la reazione agli incidenti e la continuità operativa. Ma fino a che punto queste misure possono tradursi nell'attribuzione preventiva di poteri sostitutivi senza confrontarsi con le norme inderogabili del diritto societario, con le competenze degli organi e con il sistema delle deleghe?

La seconda questione riguarda il rapporto tra pubblicità e sicurezza.

Il diritto societario si fonda, almeno in parte, su un'esigenza di conoscibilità. I poteri rappresentativi, le deleghe e determinati assetti di governo dell'impresa devono essere documentati e, nei casi previsti, resi pubblici.

La protezione delle infrastrutture critiche può invece richiedere riservatezza.

Il decreto tiene conto di questa esigenza, proteggendo le informazioni sensibili e prevedendo la designazione di un referente per gli adempimenti CER e per i rapporti con le autorità. Un referente che, peraltro, non coincide necessariamente con chi dispone dei poteri decisionali in una situazione di emergenza.

Il problema diventa però più complesso quando, per garantire la continuità operativa, occorre attribuire preventivamente a determinate persone veri e propri poteri decisionali e rappresentativi, destinati a essere esercitati anche quando l'ordinaria catena di comando sia indisponibile.

Come conciliare gli eventuali obblighi di pubblicità legale di tali poteri con l'esigenza di proteggere le persone chiamate a esercitarli, evitando di trasformarle in bersagli facilmente individuabili?

In altri termini, come conciliare la trasparenza necessaria al funzionamento dell'impresa con la riservatezza necessaria alla sua protezione?

Non credo esista una risposta semplice, né universalmente valida. E non penso che il testo normativo possa, da solo, risolvere compiutamente problemi di questo genere. Occorre piuttosto un lavoro di interpretazione e, soprattutto, di adattamento alle caratteristiche della singola organizzazione.

È certamente possibile distinguere tra poteri societari, conferiti secondo le regole ordinarie, e procedure operative di emergenza, la cui conoscenza può essere circoscritta ai soggetti chiamati ad applicarle. Ma fino a che punto questa distinzione sia praticabile senza compromettere l'efficacia giuridica e la tempestività delle decisioni deve essere valutato caso per caso.

Ed è proprio qui, credo, che si apre uno spazio importante per il nostro mestiere: aiutare gli operatori economici che gestiscono infrastrutture e servizi essenziali a costruire una vera architettura giuridica della resilienza.

Non soltanto un piano che soddisfi formalmente gli obblighi normativi, ma un sistema capace di funzionare quando l'organizzazione viene realmente sottoposta a stress: quando le comunicazioni saltano, le persone non sono raggiungibili, le normali procedure non funzionano e le decisioni devono comunque essere prese.

Questa volta non si tratta soltanto di compliance. Non è un esercizio di ticking the box.

È, nel senso più concreto del termine, una questione di capacità di resistenza del Paese.