La legge quadro KRITIS è in vigore da marzo 2026 (Bundestag 29.01.2026, Bundesrat 06.03.2026, BGBl. 2026 I n. 66) e attua la direttiva europea CER (UE) 2022/2557. Essa obbliga per la prima volta a livello federale uniforme circa 1.300 operatori di impianti critici in dieci settori alla resilienza fisica — dalla registrazione all’analisi dei rischi fino al piano di resilienza. La prima scadenza è già trascorsa: la registrazione presso BBK e BSI doveva avvenire entro il 17.07.2026. Chi l’ha mancata dovrebbe ora registrarsi nuovamente senza indugio e iniziare parallelamente l’analisi dei rischi.
Chi è interessato
La legge si rivolge agli operatori di impianti critici in dieci settori — tra cui energia, acqua, salute e trasporti. Secondo le stime del procedimento legislativo, circa 1.300 operatori ricadono sotto i nuovi obblighi. A differenza del diritto della sicurezza informatica, la legge quadro KRITIS mira alla resilienza fisica e organizzativa: si tratta di impianti, processi e — espressamente — di personale, non soltanto di sistemi IT. Il lato cyber è disciplinato parallelamente dal BSIG; per la delimitazione cfr. il contributo sulla sicurezza del personale ai sensi del § 30 BSIG.
La cascata dei termini: registrazione, analisi dei rischi, piano di resilienza
Il programma di obblighi è scaglionato nel tempo:
- Registrazione presso BBK/BSI entro il 17.07.2026 — questo termine è scaduto.
- Analisi dei rischi: entro nove mesi dalla registrazione gli operatori devono analizzare sistematicamente i rischi rilevanti per il proprio impianto.
- Piano di resilienza: entro dieci mesi va esposto con quali misure tecniche, organizzative e relative al personale si fa fronte ai rischi individuati.
La cascata significa: la registrazione non era l’obiettivo, ma lo sparo di partenza. Da ora decorrono i termini sostanziali — e il compito più impegnativo, il piano di resilienza, segue immediatamente l’analisi dei rischi. Chi sfrutta appieno i nove mesi per l’analisi dei rischi, per il piano di resilienza non ha di fatto quasi più margine. Si raccomanda pertanto di pensare entrambi i pacchetti di lavoro in parallelo fin dall’inizio: la struttura del piano di resilienza — quali categorie di misure deve coprire, chi è responsabile internamente, quali prove si aspetterà l’autorità di vigilanza — può essere impostata già durante l’analisi dei rischi.
Termine mancato — e ora?
Gli operatori che non si sono registrati entro il 17.07.2026 non dovrebbero rimandare la registrazione, ma recuperarla senza indugio. Tre motivi depongono per un’azione rapida:
- L’obbligo di registrazione permane — non si estingue con la scadenza del termine; l’inadempimento cresce con ogni giorno.
- I termini successivi per analisi dei rischi e piano di resilienza dipendono dalla registrazione; chi si registra tardi sposta indietro l’intero programma di obblighi e finisce in difficoltà di spiegazione nei confronti dell’autorità di vigilanza.
- Una registrazione tardiva proattiva con analisi dei rischi già avviata documenta la volontà di conformità — attendere documenta il contrario.
Nel dubbio verificate prima con attenzione se il vostro impianto soddisfa i criteri di operatore e documentate questa verifica anche in caso di esito negativo. Proprio gli operatori che finora non ricadevano sotto il diritto della sicurezza informatica sottovalutano spesso che la legge quadro pone criteri autonomi — la verifica di interessamento appartiene quindi al protocollo anche quando viene negata.
Sicurezza del personale: circolo di obblighi proprio, non nota a piè di pagina
Un aspetto viene sottovalutato in molti progetti di attuazione: la legge quadro KRITIS — in particolare il § 13 KRITIS-DachG — e la direttiva CER sottostante trattano la sicurezza del personale come circolo di obblighi autonomo accanto alle misure strutturali e tecniche. I background check dei dipendenti in funzioni critiche sono espressamente previsti a livello unionale. Chi restringe il piano di resilienza a recinzioni, sensori e piani di emergenza lascia fuori un pilastro portante. Come attuare concretamente l’obbligo di verifica del personale lo mostra la guida all’attuazione dei background check; la delimitazione rispetto alla verifica di sicurezza statale è illustrata nel contributo Verifica di sicurezza statale vs. screening proprio.
Raccomandazione operativa
Chiarite ora tre cose in quest’ordine: primo, lo stato della registrazione — se mancata, registratevi nuovamente senza indugio. Secondo, il programma per l’analisi dei rischi, con chiara responsabilità e margine temporale realistico prima della scadenza dei nove mesi. Terzo, la sicurezza del personale come pacchetto di lavoro autonomo nel piano di resilienza: quali ruoli sono critici, quale profondità di verifica è adeguata, come si documenta? Per l’ultimo punto Indicium fornisce report software verificabili con fonti datate e controllo finale umano (art. 22 GDPR) — a partire da €79 a report. Come si presenta nel vostro settore lo mostriamo volentieri in una demo.
Questo articolo non costituisce una consulenza giuridica.