Quando organizzazioni, filiere ed ecosistemi condividono condizioni che nessuno può governare da solo

Marco Antonio Imbesi
Presidente AICQ Emilia Romagna Marche – Presidente dell’Assemblea degli Enti Associati AICQ

Negli ultimi decenni la cultura della qualità ha attraversato un’evoluzione profonda, passando dal controllo del prodotto alla gestione dei processi e, successivamente, alla capacità di leggere l’organizzazione come un sistema nel quale strategia, persone, competenze, rischi, opportunità, risorse e relazioni con le parti interessate devono essere considerate in modo sempre più integrato. Anche l’evoluzione dei sistemi di gestione, sostenuta dalla struttura armonizzata delle norme ISO, ha favorito un linguaggio comune e una maggiore possibilità di mettere in relazione qualità, ambiente, salute e sicurezza, energia, innovazione e altri ambiti che in passato tendevano a essere amministrati attraverso sistemi paralleli e scarsamente comunicanti.

Il risultato più rilevante di tale percorso sta forse nell’avere aiutato le organizzazioni a comprendere che la conformità a un singolo requisito non garantisce necessariamente la qualità dell’insieme e che un sistema di gestione funziona realmente quando processi, responsabilità, informazioni, obiettivi, controlli e riesami concorrono a una direzione coerente. La stessa esperienza maturata con l’integrazione dei sistemi pone oggi una questione ulteriore, perché imprese e istituzioni operano sempre meno come unità isolate e sempre più all’interno di filiere, reti, territori, infrastrutture condivise, piattaforme, ecosistemi produttivi e di innovazione nei quali decisioni assunte da un soggetto possono produrre effetti che attraversano molte altre organizzazioni e diversi livelli istituzionali.

L’introduzione stabile, nei sistemi di gestione, del contesto dell’organizzazione, delle parti interessate e delle relazioni tra processi ha rappresentato un passaggio decisivo, ma il contesto nel quale oggi imprese e istituzioni operano tende ormai a essere molto più ampio del loro stesso perimetro organizzativo. Un’impresa può dipendere da infrastrutture energetiche e digitali, conoscenze, competenze, servizi, condizioni ambientali, reti logistiche e sistemi territoriali che non controlla direttamente e che, nello stesso tempo, contribuisce a modificare attraverso le proprie scelte; allo stesso modo, un’amministrazione pubblica può essere formalmente competente su una parte del problema senza disporre, da sola, delle conoscenze, delle risorse o dei poteri necessari per governarne l’intero ciclo degli effetti.

Dentro un quadro così articolato, la proposta dei Beni Comuni Multilivello, sviluppata da Oliviero Casale e Gilda Farrell nel loro working paper, offre una chiave di lettura che può dialogare in modo fecondo con la cultura della qualità e dei sistemi di gestione senza sovrapporsi ad essa. Il suo interesse non deriva dall’estensione indiscriminata della nozione di bene comune a tutto ciò che appare importante o strategico, né dalla messa in discussione di proprietà, competenze o responsabilità organizzative, ma dalla possibilità di interrogarsi su quando una condizione dalla quale dipendono più soggetti diventi talmente interdipendente da non poter essere adeguatamente compresa e governata attraverso un solo perimetro.

La selettività della qualificazione è uno degli aspetti più convincenti della proposta, perché richiede la convergenza di una funzione vitale o essenziale, della propagazione degli effetti oltre il luogo o il soggetto della decisione iniziale, di una pluralità di scale non governabili separatamente, dell’insufficienza strutturale di un solo attore o regime e della necessità di soglie, monitoraggi e responsabilità coordinate. Dal punto di vista dei sistemi di gestione emerge così una domanda molto vicina all’esperienza professionale della qualità: che cosa accade quando ogni organizzazione può risultare formalmente conforme rispetto al proprio perimetro, mentre la condizione complessiva dalla quale tutte dipendono continua a deteriorarsi oppure rimane priva di una responsabilità chiaramente riconoscibile?

La proposta, tuttavia, non si esaurisce nella qualificazione della condizione o nella definizione di un assetto di governance, perché dietro i Beni Comuni Multilivello vi è anche un modo di agire che parte dal riconoscimento delle condizioni comuni, segue la propagazione e la qualità degli effetti, individua scale e attori pertinenti, attribuisce responsabilità differenziate e collega decisione, monitoraggio, apprendimento e revisione. In questa sequenza la cura del vivente acquista un significato concreto e non meramente valoriale: significa preservare, mantenere e, quando necessario, rigenerare le condizioni ecologiche, sociali, cognitive e infrastrutturali dalle quali dipendono persone, organizzazioni, territori ed ecosistemi, evitando che il miglioramento di una singola parte venga ottenuto trasferendo fragilità o costi sull’insieme.

L’esperienza maturata nell’integrazione dei sistemi di gestione mostra da tempo che procedure separate, indicatori non comunicanti e responsabilità organizzate per compartimenti stagni producono inefficienze, duplicazioni e zone d’ombra; quando l’unità di analisi si estende dall’organizzazione all’ecosistema nel quale essa opera, l’esigenza di connessione diventa ancora più evidente. Un ecosistema dell’innovazione, una filiera produttiva, un sistema territoriale o una rete di servizi possono infatti coinvolgere imprese, amministrazioni, università, infrastrutture, professionisti, comunità e soggetti regolatori che conservano ruoli e responsabilità differenti, mentre i risultati complessivi dipendono dalla qualità delle relazioni, delle informazioni e dei meccanismi di coordinamento che riescono a costruire.

Pensare in termini di interdipendenza non richiede di immaginare un unico grande sistema di gestione capace di assorbire tutti gli altri, soluzione che sarebbe tanto impraticabile quanto concettualmente sbagliata; richiede piuttosto di costruire interfacce di governance attraverso le quali sistemi autonomi possano comunicare mediante linguaggi compatibili, informazioni affidabili, soglie condivise, responsabilità attribuibili, monitoraggi coordinati e meccanismi di riesame capaci di intervenire quando gli effetti reali divergono dagli obiettivi dichiarati.

La cultura ISO mette già a disposizione numerosi elementi utili per affrontare una simile evoluzione, dal pensiero basato sul rischio alla comprensione del contesto, dalla gestione delle informazioni documentate al monitoraggio delle prestazioni, fino all’audit, al riesame e al miglioramento continuo. Il nodo consiste nel comprendere quando tali strumenti debbano essere messi in relazione anche oltre il perimetro della singola organizzazione, collegando evidenze, decisioni e responsabilità tra soggetti differenti senza trasformare l’integrazione nella cancellazione delle rispettive autonomie.

Per le PMI il tema assume un rilievo particolare, perché sarebbe controproducente rispondere alla crescente complessità moltiplicando standard, procedure e adempimenti indipendenti, mentre la logica dell’integrazione può ridurre duplicazioni e costruire una lettura coerente di qualità, ambiente, energia, innovazione, compliance e sostenibilità. Un sistema di gestione maturo dovrebbe aiutare l’impresa non soltanto a dimostrare ciò che fa al proprio interno, ma anche a comprendere da quali condizioni esterne dipende, quali effetti contribuisce a produrre lungo la filiera o nell’ecosistema nel quale opera e quali responsabilità può realisticamente assumere rispetto a tali effetti.

I Beni Comuni Multilivello introducono, a questo punto, un ulteriore livello di lettura, poiché in determinate condizioni il problema non consiste più soltanto nel coordinare organizzazioni differenti, ma nel riconoscere una condizione comune da mantenere nel tempo, rispetto alla quale nessun soggetto può considerarsi autosufficiente. La responsabilità continua a dover essere distribuita in funzione del potere di incidere, della conoscenza disponibile, del contributo agli effetti e della capacità concreta di prevenire, correggere o riparare, evitando però che la complessità produca il risultato paradossale per cui ciascuno risponde correttamente della propria parte mentre nessuno risponde della qualità dell’insieme.

Per AICQ si apre quindi un terreno di lavoro particolarmente coerente con la propria storia, nel quale la cultura costruita in decenni di esperienza sulla qualità, sui sistemi di gestione, sulla valutazione, sull’audit e sul miglioramento può essere messa alla prova rispetto alle interdipendenze tra organizzazioni. Ampliare lo sguardo dal singolo sistema organizzativo agli ecosistemi nei quali esso opera non significa perdere l’identità della qualità, ma può rappresentarne una delle evoluzioni più interessanti se consente di leggere con maggiore precisione relazioni, effetti e responsabilità che i confini organizzativi, da soli, non riescono più a contenere, collegando il miglioramento non soltanto alla prestazione della singola organizzazione ma anche alla capacità di contribuire alla cura e alla continuità delle condizioni comuni dalle quali essa stessa dipende.

La struttura armonizzata delle norme ISO ha rappresentato un passaggio importante per favorire l’integrazione dentro le organizzazioni; la sfida che si profila ora riguarda la possibilità di costruire maggiore coerenza tra organizzazioni che condividono condizioni, infrastrutture, conoscenze e conseguenze delle proprie decisioni. In uno spazio ancora largamente da esplorare, la riflessione sui Beni Comuni Multilivello può incontrare quella sui sistemi di gestione senza aggiungere una nuova etichetta, ma offrendo un modo di agire capace di collegare conoscenza, responsabilità, decisione e revisione e di ricondurre, in ultima istanza, il miglioramento alla cura del vivente e delle condizioni comuni. La domanda rivolta alla comunità della qualità diventa allora concreta e sempre meno rinviabile: come possiamo continuare a migliorare le nostre organizzazioni se la qualità delle condizioni dalle quali esse dipendono non può più essere governata da ciascuna di esse separatamente?

La norma europea è destinata a supportare soprattutto le organizzazioni che immettono sul mercato o mettono in servizio sistemi di IA ad alto rischio nell’attuazione dei requisiti regolatori applicabili. Il testo definitivo è disponibile dal 22 luglio 2026, mentre la citazione nella Gazzetta ufficiale dell’Unione europea, necessaria per la presunzione di conformità, risulta ancora attesa.

di Oliviero Casale, General Manager di UniProfessioni e Segretario di AICQ Emilia Romagna e Marche

La EN 18286:2026, intitolata “Artificial intelligence – Quality management system for EU AI Act regulatory purposes”, risulta pubblicata nella banca dati ufficiale CEN-CENELEC, dopo essere stata ratificata il 12 luglio 2026 e resa disponibile nelle versioni linguistiche ufficiali il 22 luglio successivo. Elaborata dal CEN/CLC/JTC 21 “Artificial Intelligence” con il Work Item JT021039, la norma specifica requisiti e fornisce indicazioni per la definizione, l’attuazione e il mantenimento di un sistema di gestione della qualità destinato alle organizzazioni che forniscono sistemi di intelligenza artificiale; secondo il campo di applicazione pubblicato nella scheda ufficiale, essa è stata concepita per sostenere il rispetto dei requisiti regolatori applicabili, è principalmente rivolta alle organizzazioni che immettono sul mercato o mettono in servizio sistemi di IA ad alto rischio e non è specifica per alcun settore. [1]
Lo status “Published”, ora riportato nella scheda ufficiale, deve essere distinto dalle ulteriori date che descrivono l’evoluzione e l’attuazione della norma. La ratifica del 12 luglio 2026 indica il momento in cui l’approvazione della EN è stata formalmente rilevata, mentre la data di disponibilità del 22 luglio identifica la distribuzione del testo definitivo nelle versioni linguistiche ufficiali da parte del Segretariato centrale; la date of Publication del 31 gennaio 2027 rappresenta, invece, il termine entro il quale la norma europea dovrà essere attuata a livello nazionale mediante la pubblicazione di una norma identica o mediante endorsement e coincide con il termine previsto per il ritiro delle eventuali norme nazionali contrastanti. La pubblicazione della EN deve inoltre essere mantenuta distinta dalla citazione del suo riferimento nella Gazzetta ufficiale dell’Unione europea, che la scheda CEN-CENELEC indica ancora come attesa. [1]

La base giuridica: il sistema di gestione della qualità previsto dall’articolo 17

Il fondamento dell’obbligo non risiede nella norma tecnica, ma nel Regolamento (UE) 2024/1689. L’articolo 16, lettera c), impone ai fornitori di sistemi di IA ad alto rischio di disporre di un sistema di gestione della qualità conforme all’articolo 17, il quale richiede che tale sistema assicuri la conformità al regolamento e sia documentato in modo sistematico e ordinato mediante politiche, procedure e istruzioni scritte. La norma europea interviene quindi in un ambito nel quale l’obbligo giuridico è già definito dal legislatore, offrendo una struttura tecnica e gestionale specificamente orientata alla sua attuazione. [2]
Il contenuto minimo previsto dall’articolo 17 è ampio e comprende la strategia per la conformità regolatoria, incluse le procedure di valutazione della conformità e di gestione delle modifiche; le tecniche e le azioni sistematiche utilizzate per la progettazione, il controllo e la verifica della progettazione; le modalità di sviluppo, controllo e assicurazione della qualità; le procedure di esame, prova e validazione da eseguire prima, durante e dopo lo sviluppo; le specifiche tecniche e le norme da applicare, nonché i mezzi alternativi da utilizzare quando le norme armonizzate non siano applicate integralmente o non coprano tutti i requisiti pertinenti. A questi elementi si aggiungono la gestione dei dati, il sistema di gestione dei rischi di cui all’articolo 9, il monitoraggio successivo all’immissione sul mercato previsto dall’articolo 72, la segnalazione degli incidenti gravi ai sensi dell’articolo 73, le comunicazioni con le autorità, gli organismi notificati, gli altri operatori, i clienti e le parti interessate, la conservazione delle informazioni e della documentazione, la gestione delle risorse – comprese le misure connesse alla sicurezza dell’approvvigionamento – e un quadro di accountability che assegni le responsabilità alla direzione e al personale coinvolto. [2]
L’attuazione di tali aspetti deve essere proporzionata alle dimensioni dell’organizzazione del fornitore, fermo restando il grado di rigore e il livello di protezione necessari per garantire la conformità del sistema di IA ad alto rischio. Il regolamento contiene inoltre disposizioni specifiche per i fornitori già soggetti a sistemi di gestione della qualità o a funzioni equivalenti previste dalla legislazione settoriale dell’Unione e per le istituzioni finanziarie assoggettate a regole europee di governance interna, confermando che l’attuazione dell’articolo 17 deve essere coordinata con il quadro regolatorio già applicabile, senza presumere che la mera esistenza di un sistema preesistente assicuri, da sola, la copertura di tutti gli obblighi relativi all’IA. [2]

Campo di applicazione e architettura documentata del progetto

La scheda CEN-CENELEC consente di verificare con certezza il titolo, lo stato, le date e il campo di applicazione della EN 18286:2026, ma non rende liberamente consultabile l’intero contenuto normativo. Per ricostruire l’impostazione tecnica seguita dal JTC 21 è quindi possibile utilizzare il progetto prEN 18286 sottoposto a inchiesta pubblica nell’ottobre 2025, purché si mantenga una distinzione netta tra quel testo e la versione finale, poiché singole clausole, formulazioni e allegati possono essere stati modificati durante la risoluzione dei commenti e l’approvazione. [1][3]
Nell’introduzione del progetto, l’AI Act era ricondotto al sistema di sicurezza dei prodotti del New Legislative Framework e il sistema di IA era considerato come prodotto o componente di un prodotto; il sistema di gestione della qualità poteva essere associato a uno o più sistemi di IA destinati a essere immessi sul mercato o messi in servizio, mentre la qualità, in questo specifico contesto, veniva collegata alla conformità ai requisiti regolatori applicabili ai fornitori. Il progetto descriveva inoltre un sistema esteso all’intero ciclo di vita, applicabile a fornitori di qualunque dimensione, natura o ubicazione e orientato anche alla gestione dei rischi per la salute, la sicurezza e i diritti fondamentali, con un livello di attuazione adattabile alla dimensione del fornitore senza ridurre il rigore richiesto dalla regolazione. [3]
L’indice del progetto articolava il sistema attraverso requisiti relativi all’individuazione delle prescrizioni regolatorie, alla definizione del campo di applicazione, alla strategia di conformità e alle informazioni documentate; proseguiva con la responsabilità della direzione, la politica, i ruoli, la pianificazione, le risorse, le competenze e la comunicazione, per poi disciplinare la realizzazione del prodotto, la progettazione e lo sviluppo, la verifica e la validazione, la gestione dei dati, la sostenibilità ambientale e la documentazione del prodotto. Le successive sezioni riguardavano il deployment, l’operatività e il monitoraggio, la catena di fornitura, le modifiche ai sistemi di IA, il monitoraggio post-market, gli incidenti gravi, le non conformità, il riesame e il miglioramento; gli allegati informativi affrontavano la consultazione delle parti interessate in materia di diritti fondamentali, le relazioni con le altre norme armonizzate, le corrispondenze con ISO 9001:2015 e ISO/IEC 42001:2023 e la mappatura, tramite l’allegato ZA, dei requisiti del Regolamento (UE) 2024/1689 che il progetto mirava a coprire. [3]

L’integrazione con i sistemi di gestione già esistenti

L’articolo 17, paragrafo 3, consente ai fornitori già soggetti a obblighi relativi a sistemi di gestione della qualità o a una funzione equivalente prevista dal diritto settoriale dell’Unione di includere gli aspetti richiesti dal regolamento all’interno dei sistemi stabiliti da tale disciplina. Il progetto prEN seguiva la stessa impostazione, precisando che non era necessario mantenere un sistema separato e indicando, come esempio, l’integrazione dei requisiti nei processi di un sistema per la qualità dei dispositivi medici conforme alla ISO 13485. Per le istituzioni finanziarie, il paragrafo 4 dell’articolo 17 prevede una disciplina specifica, in base alla quale l’obbligo è considerato assolto mediante il rispetto delle regole europee sulla governance interna, salvo gli elementi relativi al sistema di gestione dei rischi, al monitoraggio post-market e alla segnalazione degli incidenti gravi, tenendo conto delle norme armonizzate di cui all’articolo 40. [2][3]
Da queste disposizioni non deriva, tuttavia, una copertura automatica: la presenza di un sistema conforme alla ISO 9001, alla ISO 13485, alla ISO/IEC 27001 o ad altre norme settoriali costituisce una possibile base organizzativa, ma richiede una verifica puntuale delle responsabilità, dei processi, dei controlli e delle evidenze richiesti dall’articolo 17. L’approccio più coerente consiste quindi nell’integrare quanto è già adeguatamente governato e nel colmare le lacune regolatorie riferite ai sistemi di IA, evitando sia la duplicazione di strutture e documenti sia l’assimilazione impropria tra sistemi di gestione aventi finalità differenti.

Il rapporto con ISO/IEC 42001: punti di contatto senza equivalenza

La ISO/IEC 42001:2023 specifica i requisiti per istituire, attuare, mantenere e migliorare continuamente un sistema di gestione dell’intelligenza artificiale all’interno di un’organizzazione ed è destinata a soggetti di qualunque dimensione che sviluppano, forniscono o utilizzano prodotti e servizi basati sull’IA. La prospettiva è organizzativa e riguarda la gestione responsabile dei rischi e delle opportunità connessi allo sviluppo, alla fornitura e all’uso dei sistemi di IA, senza sostituire le prescrizioni legislative applicabili. [4]
La Commissione europea descrive invece il progetto EN 18286 come specificamente concepito per aiutare i fornitori di sistemi di IA ad alto rischio a soddisfare i requisiti dell’articolo 17, attraverso un quadro incentrato sul prodotto e sulla governance del ciclo di vita. La newsletter sull’inclusività del CEN-CENELEC JTC 21 del dicembre 2025 aggiungeva che la ISO/IEC 42001 non copriva tutti i requisiti del sistema di gestione della qualità previsti dall’AI Act e che la EN 18286 era attesa come norma destinata a soddisfare l’insieme dei requisiti regolatori in questo ambito; tale newsletter, tuttavia, dichiara espressamente di non essere vincolante e di non rappresentare necessariamente la posizione ufficiale degli organismi citati, sicché questa indicazione deve essere letta come informazione sul percorso di normazione e non come attestazione di equivalenza, gerarchia o sostituibilità tra le due norme. [5][6]
La conclusione più rigorosa è pertanto che ISO/IEC 42001 ed EN 18286 presentano finalità e campi di applicazione non coincidenti, pur potendo condividere processi e informazioni documentate. La presenza, nel progetto prEN, di distinti allegati di corrispondenza con ISO 9001:2015 e ISO/IEC 42001:2023 conferma l’esigenza di analizzare le relazioni tra i requisiti, ma non autorizza a sostenere che una norma assorba automaticamente l’altra; l’eventuale integrazione deve essere costruita sulla base del testo definitivo e verificata clausola per clausola. [3]

Norma europea pubblicata, ma presunzione di conformità ancora non operativa

La scheda ufficiale della EN 18286:2026 riporta la dicitura “Citation in OJEU: Citation expected for Directive 2024/1689”. Il numero 2024/1689 identifica giuridicamente un regolamento, non una direttiva, mentre l’espressione “Directive(s)” corrisponde all’intestazione generica utilizzata dalla banca dati CEN-CENELEC; il dato sostanziale è che, alla data della presente verifica, il riferimento della norma non risulta ancora citato nella Gazzetta ufficiale dell’Unione europea. [1]
L’articolo 40 dell’AI Act collega la presunzione di conformità ai sistemi di IA ad alto rischio o ai modelli di IA per finalità generali conformi a norme armonizzate, o a parti di esse, i cui riferimenti siano stati pubblicati nella Gazzetta ufficiale, e limita tale effetto ai requisiti o agli obblighi effettivamente coperti. La Commissione chiarisce inoltre che, dopo la pubblicazione di una norma da parte di CEN e CENELEC, verifica se essa soddisfi gli obiettivi e i requisiti giuridici dell’AI Act e, soltanto dopo questa valutazione, procede alla pubblicazione del riferimento nella Gazzetta ufficiale; l’applicazione delle norme resta volontaria, ma la citazione consente a chi le applica di beneficiare della presunzione di conformità entro il perimetro della copertura riconosciuta. [2][6]
La EN 18286 può quindi essere utilizzata fin da ora come riferimento tecnico e organizzativo volontario per strutturare il sistema di gestione della qualità, ma non è corretto affermare che la sua applicazione produca già automaticamente la presunzione di conformità all’AI Act. Tale effetto dipenderà dalla futura citazione nella Gazzetta ufficiale e dal perimetro di copertura risultante dalla decisione della Commissione e dalla relativa mappatura dei requisiti.

Il calendario applicativo dopo l’adozione del Digital Omnibus sull’IA

La disponibilità della EN 18286 interviene in una fase di modifica del calendario applicativo dell’AI Act. Il 29 giugno 2026 il Consiglio dell’Unione europea ha dato il via libera definitivo al regolamento del Digital Omnibus sull’IA e la versione finale dell’atto adottato, identificata come PE 30 2026 REV 1, è registrata su EUR-Lex con data 8 luglio 2026. Secondo la cronistoria ufficiale del Consiglio, il testo introduce un calendario fisso che rinvia al 2 dicembre 2027 l’applicazione delle regole relative ai sistemi di IA ad alto rischio indipendenti, riconducibili all’articolo 6, paragrafo 2, e all’allegato III, e al 2 agosto 2028 quella delle regole relative ai sistemi ad alto rischio integrati nei prodotti disciplinati dalla legislazione di armonizzazione dell’Unione, riconducibili all’articolo 6, paragrafo 1, e all’allegato I. [7][8]
È necessario, tuttavia, distinguere l’adozione dell’atto dalla sua entrata in vigore: il Consiglio ha precisato che il regolamento sarebbe entrato in vigore il terzo giorno successivo alla pubblicazione nella Gazzetta ufficiale e, al 25 luglio 2026, le fonti ufficiali rendono disponibile il testo adottato senza attribuirgli ancora un numero della serie L. Le nuove date devono quindi essere presentate come quelle stabilite dal regolamento adottato, la cui efficacia presuppone la pubblicazione e l’entrata in vigore. [7][8]
Il rinvio non riduce la funzione della EN 18286, poiché un sistema di gestione della qualità conforme all’articolo 17 richiede l’attribuzione delle responsabilità, la definizione e il controllo dei processi, la gestione documentata dei dati e dei rischi, il monitoraggio post-market, la gestione delle modifiche e degli incidenti e la disponibilità di evidenze verificabili. Questi elementi devono essere progettati, applicati e riesaminati nel tempo e non possono essere ridotti a un adeguamento documentale effettuato soltanto in prossimità della valutazione di conformità.

Le attività preparatorie per le organizzazioni

Senza anticipare requisiti del testo definitivo non liberamente consultabili, le organizzazioni possono avviare un lavoro preparatorio fondato sulle disposizioni dell’AI Act e sul campo di applicazione ufficiale della EN 18286. Il primo passaggio consiste nel determinare il ruolo assunto nella catena del valore, censire i sistemi di IA, definirne la finalità prevista e verificare se ricorrano le condizioni della classificazione ad alto rischio. L’articolo 25 stabilisce, tra l’altro, che un distributore, un importatore, un deployer o un altro terzo è considerato fornitore di un sistema di IA ad alto rischio quando appone il proprio nome o marchio su un sistema già immesso sul mercato o messo in servizio, apporta una modifica sostanziale mantenendone la classificazione ad alto rischio oppure modifica la finalità prevista di un sistema non originariamente classificato come tale, rendendolo ad alto rischio ai sensi dell’articolo 6. [2]
Una volta chiariti ruoli, sistemi e obblighi applicabili, diventa possibile confrontare i requisiti dell’articolo 17 con i processi già esistenti, individuando responsabilità, documenti, registrazioni, controlli e interfacce con gli altri sistemi di gestione. La verifica dovrebbe distinguere la governance organizzativa complessiva dell’IA dalla conformità regolatoria dei singoli sistemi immessi sul mercato o messi in servizio, così da integrare ciò che è già adeguato senza trascurare gli elementi specifici relativi al ciclo di vita, ai dati, ai rischi, al monitoraggio e agli incidenti. Parallelamente, sarà necessario seguire l’attuazione nazionale della EN 18286, l’eventuale pubblicazione della versione UNI EN e, soprattutto, la futura citazione del riferimento nella Gazzetta ufficiale dell’Unione europea.
Dalla prescrizione giuridica a processi e prove verificabili
La EN 18286:2026 costituisce una norma europea pubblicata e specificamente dedicata al sistema di gestione della qualità per le finalità regolatorie dell’AI Act; la Commissione aveva già indicato il relativo progetto come il primo progetto di norma armonizzata per l’IA entrato nella fase di inchiesta pubblica, il 30 ottobre 2025. Il suo contributo non consiste nel sostituire il regolamento né nel rendere automaticamente conformi i sistemi di IA, ma nel predisporre una struttura gestionale attraverso la quale i requisiti dell’articolo 17 possano essere tradotti in responsabilità, processi, controlli e informazioni documentate lungo il ciclo di vita. [6]
Una lettura tecnicamente e giuridicamente corretta richiede quindi di mantenere distinti l’obbligo previsto dall’AI Act, i requisiti della EN 18286, l’eventuale integrazione con sistemi già esistenti – compresa la ISO/IEC 42001 – e la futura citazione nella Gazzetta ufficiale, dalla quale potrà derivare la presunzione di conformità soltanto nei limiti dei requisiti effettivamente coperti. È su questa distinzione, accompagnata dalla verifica del testo definitivo e dall’aggiornamento costante del quadro regolatorio, che può essere costruita un’applicazione responsabile della nuova norma.

Fonti e documenti esaminati

[1] CEN-CENELEC, scheda ufficiale della EN 18286:2026, CEN/CLC/JTC 21, Work Item JT021039.
[2] Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, in particolare articoli 16, 17, 25, 40, 72 e 73.
[3] prEN 18286:2025, Artificial intelligence – Quality management system for EU AI Act regulatory purposes, progetto sottoposto a CEN Enquiry nell’ottobre 2025; anteprima documentale esaminata.
[4] ISO, ISO/IEC 42001:2023 – Information technology – Artificial intelligence – Management system.
[5] Artificial Intelligence Standardisation Inclusiveness Newsletter, Edition 12, dicembre 2025, riesaminata dal CEN-CENELEC JTC 21 Task Group Inclusiveness e dichiarata non vincolante; documento esaminato.
[6] Commissione europea, Standardisation of the AI Act, pagina aggiornata al 1° luglio 2026.
[7] Consiglio dell’Unione europea, cronistoria dell’AI Act e comunicato del 29 giugno 2026 sul via libera definitivo al Digital Omnibus sull’IA.
[8] EUR-Lex, PE 30 2026 REV 1, regolamento adottato che modifica i regolamenti (UE) 2024/1689, (UE) 2018/1139 e (UE) 2023/1230, documento datato 8 luglio 2026.

di Oliviero Casale, General Manager di UniProfessioni e Segretario di AICQ Emilia Romagna – Marche

Il 2 luglio 2026 rappresenta un passaggio rilevante per il mercato europeo della finanza sostenibile, perché da quella data trova applicazione il Regolamento (UE) 2024/3005 del Parlamento europeo e del Consiglio, del 27 novembre 2024, dedicato alla trasparenza e all’integrità delle attività di rating ambientale, sociale e di governance, comunemente indicate come rating ESG. Il testo, pubblicato nella Gazzetta ufficiale dell’Unione europea del 12 dicembre 2024, modifica anche il Regolamento (UE) 2019/2088, relativo all’informativa sulla sostenibilità nel settore dei servizi finanziari, e il Regolamento (UE) 2023/2859, relativo al punto di accesso unico europeo, confermando che i rating ESG non sono più soltanto prodotti informativi utilizzati dagli operatori del mercato, ma elementi sempre più rilevanti dell’infrastruttura regolatoria della finanza sostenibile.

La portata della data del 2 luglio 2026 deve essere ricostruita con precisione, poiché essa riguarda l’applicazione del Regolamento europeo e non l’entrata in vigore di un decreto legislativo italiano già definitivo di adeguamento del Testo unico della finanza. L’articolo 53 del Regolamento stabilisce che il testo entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea e che si applica a decorrere dal 2 luglio 2026; sul piano nazionale, invece, il Consiglio dei Ministri del 10 giugno 2026 ha approvato in esame preliminare lo schema di decreto legislativo di adeguamento del TUF al Regolamento (UE) 2024/3005, prevedendo anche disposizioni correttive al D.Lgs. 27 marzo 2026, n. 47, relativo alla riforma organica dei mercati dei capitali e delle società di capitali.

Questa distinzione consente di evitare una lettura impropria dell’iter nazionale, perché il dossier parlamentare qualifica il provvedimento come Atto del Governo n. 416, recante lo schema di decreto legislativo di adeguamento del TUF alle disposizioni del Regolamento (UE) 2024/3005, con annuncio alle Camere in data 23 giugno 2026 e termine per l’espressione del parere parlamentare fissato al 2 agosto 2026. La norma di delega è costituita dagli articoli 1 e 10 della legge 17 marzo 2026, n. 36, nonché dall’articolo 19, comma 4, della legge 5 marzo 2024, n. 21; ne deriva che, alla data di redazione, l’Italia non può essere considerata come già definitivamente adeguata, ma si trova nella fase di completamento del raccordo tra il TUF e la nuova disciplina europea.

L’oggetto del Regolamento: fornitori e attività di rating ESG

Nel disegno del Regolamento, il profilo centrale non è l’imposizione di un nuovo obbligo generalizzato a carico delle imprese valutate, ma la regolazione delle attività di rating ESG svolte da fornitori che operano nel mercato europeo. L’articolo 2 stabilisce infatti che la disciplina si applica ai rating ESG emessi da fornitori operanti nell’Unione, ricomprendendo sia i fornitori stabiliti nell’Unione che emettono e pubblicano o distribuiscono rating ESG, sia i fornitori stabiliti fuori dall’Unione che li distribuiscono, mediante abbonamento o altro rapporto contrattuale, a imprese finanziarie regolamentate, imprese rientranti nell’ambito della direttiva contabile o della direttiva trasparenza, istituzioni dell’Unione o autorità pubbliche degli Stati membri.

La nozione di rating ESG adottata dal Regolamento è ampia e guarda alla sostanza dell’attività svolta, perché comprende un parere, un punteggio o una combinazione di entrambi, relativi al profilo o alle caratteristiche di un elemento valutato rispetto a fattori ambientali, sociali, relativi ai diritti umani o di governance, oppure alla sua esposizione a rischi o impatti connessi a tali fattori, purché il giudizio sia fondato su una metodologia consolidata e su un sistema definito di categorie di rating. La qualificazione giuridica non dipende quindi dall’etichetta commerciale utilizzata dal fornitore, ma dalla funzione effettiva del prodotto o servizio offerto al mercato.

Il Regolamento interviene sul processo attraverso cui il rating, il parere o il punteggio vengono emessi, pubblicati o distribuiti, con l’obiettivo di rafforzare integrità, trasparenza, responsabilità, buona governance e indipendenza dei fornitori, anche in funzione di prevenzione del greenwashing e del social washing. Il dossier parlamentare italiano ricostruisce questo impianto evidenziando che la disciplina europea mira a migliorare l’affidabilità delle informazioni ESG utilizzate nei mercati finanziari e a rafforzare la tutela degli investitori e dei consumatori, senza per questo trasformare il rating in una certificazione di sostenibilità dell’impresa o dello strumento finanziario valutato.

ESMA, fornitori extra-UE e ruolo della Consob

L’ESMA, Autorità europea degli strumenti finanziari e dei mercati, assume un ruolo centrale nel nuovo sistema, poiché i fornitori di rating ESG stabiliti nell’Unione dovranno essere autorizzati dall’Autorità europea e saranno soggetti alla sua vigilanza, mentre i fornitori stabiliti fuori dall’Unione potranno operare nel mercato europeo attraverso i meccanismi previsti dal Regolamento, ossia equivalenza, avallo o riconoscimento. Attraverso questa impostazione, il legislatore europeo intende evitare che il mercato interno sia esposto a giudizi ESG prodotti secondo standard non coerenti con le garanzie richieste dall’ordinamento dell’Unione.

Nel raccordo con l’ordinamento italiano, lo schema di decreto legislativo interviene in modo mirato sul TUF e, in attuazione dell’articolo 30 del Regolamento, introduce il nuovo articolo 4-bis.1, con il quale la Consob viene individuata quale autorità competente a esercitare le funzioni e i poteri previsti dal Regolamento (UE) 2024/3005 in materia di trasparenza e integrità delle attività di rating ESG. La scelta appare coerente con il ruolo istituzionale della Consob nella tutela degli investitori, nella vigilanza sui mercati e nel presidio della trasparenza informativa, anche perché i rating ESG incidono progressivamente sulle decisioni di investimento, sull’accesso ai capitali e sulla valutazione dei rischi di sostenibilità.

Lo stesso schema di decreto contiene, accanto all’adeguamento al Regolamento sui rating ESG, anche disposizioni integrative e correttive al D.Lgs. 47/2026, che è invece già un decreto legislativo definitivo e vigente. Il D.Lgs. 27 marzo 2026, n. 47 è stato pubblicato nella Gazzetta Ufficiale n. 86 del 14 aprile 2026, Supplemento ordinario n. 14, ed è vigente dal 29 aprile 2026; le correzioni previste nello schema sui rating ESG riguardano rinvii interni, refusi e coordinamenti resi necessari dalla recente riforma dei mercati dei capitali, ma non devono essere confuse con l’adeguamento sostanziale al Regolamento europeo sui rating ESG.

Trasparenza, metodologie e limiti del nuovo quadro

Il nuovo quadro europeo non introduce una metodologia unica di rating ESG, e questo profilo assume particolare rilievo per le imprese, per gli investitori e per gli utilizzatori dei rating, perché il Regolamento richiede trasparenza, solidità organizzativa, prevenzione dei conflitti di interesse e tracciabilità delle metodologie senza imporre un modello valutativo uniforme. L’articolo 28 sancisce infatti il principio di non interferenza, stabilendo che né l’ESMA, né la Commissione, né le autorità pubbliche degli Stati membri possono interferire con il contenuto dei rating ESG o con le relative metodologie.

In questa prospettiva, i rating ESG continueranno a essere giudizi strutturati, fondati su metodologie, fonti, ponderazioni e assunzioni proprie dei singoli fornitori, ma gli elementi che concorrono alla loro costruzione dovranno essere resi più chiari, verificabili e leggibili per il mercato. Per gli utenti dei rating, il cambiamento non consiste nell’accedere a una misura unica e pienamente comparabile della sostenibilità, ma nel poter comprendere meglio il modo in cui il giudizio è costruito, quali dati sono stati utilizzati, quali limiti metodologici lo accompagnano e quali conflitti di interesse devono essere prevenuti o gestiti.

La disciplina europea prevede anche un regime transitorio, rilevante soprattutto per i fornitori di rating ESG che già operavano nell’Unione alla data di entrata in vigore del Regolamento. Tali soggetti devono comunicare all’ESMA, entro il 2 agosto 2026, se intendono continuare a operare nell’Unione e devono presentare domanda di autorizzazione o riconoscimento entro quattro mesi dal 2 luglio 2026; in mancanza di tale domanda, il Regolamento prevede la cessazione delle attività, mentre per i piccoli fornitori di rating ESG è stabilito uno specifico termine di comunicazione all’ESMA entro il 2 novembre 2026, qualora intendano proseguire l’attività nell’Unione.

Impatto per le imprese italiane

Per le imprese italiane, l’impatto del Regolamento deve essere letto distinguendo il livello diretto da quello indiretto. Il primo riguarda direttamente i fornitori di rating ESG, ossia le persone giuridiche la cui attività comprende l’emissione e la pubblicazione o distribuzione di rating ESG su base professionale, chiamate ad affrontare obblighi autorizzativi, organizzativi, metodologici e di vigilanza; il secondo interessa le imprese valutate, gli emittenti, le società quotate, le grandi imprese soggette a rendicontazione di sostenibilità, le PMI inserite in filiere complesse e le aziende che cercano capitale, credito o investitori qualificati, sulle quali il nuovo quadro può incidere attraverso le dinamiche informative del mercato.

Non viene introdotto un obbligo generalizzato per tutte le imprese italiane di ottenere un rating ESG, ma aumenta la rilevanza della qualità, della coerenza e della tracciabilità dei dati ESG su cui banche, investitori, fondi, clienti industriali e capofiliera costruiscono le proprie valutazioni. Una banca o un investitore potranno attribuire maggiore valore a rating prodotti da soggetti autorizzati, vigilati e obbligati a rendere più comprensibili metodologie, fonti e limiti del giudizio; allo stesso tempo, un’impresa valutata sulla base di dati incompleti, disallineati o non documentati potrebbe risultare penalizzata non per effetto di un obbligo normativo diretto, ma per il modo in cui il mercato utilizza informazioni ESG sempre più regolate e confrontabili.

Il Regolamento non sostituisce la CSRD, gli ESRS, la rendicontazione di sostenibilità o la due diligence, ma si colloca accanto a questi strumenti all’interno di un quadro europeo progressivamente più integrato. La rendicontazione di sostenibilità descrive in modo ordinato politiche, azioni, obiettivi, metriche, perimetri e responsabilità dell’impresa, mentre il rating ESG utilizza informazioni disponibili per costruire, secondo una determinata metodologia, un giudizio sintetico su profili, rischi, impatti o caratteristiche dell’entità o dello strumento valutato; confondere questi piani significa attribuire al rating una funzione che non gli appartiene e, al tempo stesso, sottovalutare l’importanza della qualità dei dati aziendali che lo alimentano.

Per le associazioni di imprese, questo passaggio merita attenzione perché non riguarda soltanto gli operatori finanziari o i provider specializzati, ma incide progressivamente sulla relazione tra imprese e mercato. Una valutazione ESG più regolata, trasparente e tracciabile può favorire la fiducia degli investitori, ma richiede alle imprese di presidiare meglio le proprie informazioni, di evitare dichiarazioni generiche non supportate da evidenze e di considerare i dati ESG come parte del linguaggio ordinario della competitività, dell’accesso al credito e della reputazione.

Conclusione

Il 2 luglio 2026 non deve essere presentato come la data dalla quale tutte le imprese italiane sono obbligate ad avere un rating ESG, né come il momento in cui l’Italia ha già concluso definitivamente l’adeguamento del TUF. Si tratta, più correttamente, della data dalla quale il Regolamento europeo sui rating ESG diventa applicabile e apre una nuova fase di regolazione del mercato delle valutazioni di sostenibilità, mentre l’Italia, attraverso lo schema di decreto legislativo approvato in via preliminare il 10 giugno 2026 e trasmesso alle Camere come Atto del Governo n. 416, sta completando il raccordo nazionale, individuando nella Consob l’autorità competente e correggendo alcuni profili tecnici del D.Lgs. 47/2026.

Ne deriva un quadro nel quale i rating ESG continueranno a essere giudizi strutturati, costruiti sulla base di metodologie, dati e criteri di ponderazione propri dei singoli fornitori, mentre l’attività di chi li emette e li pubblica o distribuisce nell’Unione europea viene ricondotta a regole più definite in materia di autorizzazione o riconoscimento, vigilanza, trasparenza metodologica, gestione dei conflitti di interesse e responsabilità verso il mercato. Per le imprese, il cambiamento più concreto consisterà nella crescente importanza della qualità delle informazioni ESG rese disponibili, poiché proprio tali informazioni alimentano valutazioni che incidono sempre più su finanza, reputazione, filiere e accesso ai capitali.

Scheda di sintesi

Riferimento	Contenuto essenziale
Regolamento (UE) 2024/3005	Disciplina la trasparenza e l’integrità delle attività di rating ESG e modifica i Regolamenti (UE) 2019/2088 e 2023/2859.
27 novembre 2024	Data di adozione del Regolamento europeo.
12 dicembre 2024	Pubblicazione nella Gazzetta ufficiale dell’Unione europea.
1° gennaio 2025	Entrata in vigore, quale ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.
2 aprile 2026	Termine previsto dal Regolamento per la designazione, da parte degli Stati membri, dell’autorità competente nazionale.
10 giugno 2026	Approvazione in esame preliminare, da parte del Consiglio dei Ministri, dello schema di decreto legislativo italiano di adeguamento del TUF.
23 giugno 2026	Annuncio alle Camere dell’Atto del Governo n. 416.
2 luglio 2026	Data di applicazione del Regolamento (UE) 2024/3005.
2 agosto 2026	Termine per il parere parlamentare sullo schema di decreto legislativo italiano e termine entro il quale i fornitori di rating ESG già operanti nell’Unione alla data di entrata in vigore del Regolamento devono comunicare all’ESMA l’intenzione di continuare l’attività.
2 novembre 2026	Termine per la presentazione della domanda di autorizzazione o riconoscimento da parte dei fornitori già operanti nell’Unione alla data di entrata in vigore del Regolamento che non accedono al regime temporaneo per piccoli fornitori; per questi ultimi, termine per la notifica all’ESMA dell’intenzione di avvalersi del regime temporaneo previsto dall’articolo 5 del Regolamento.
D.Lgs. 47/2026	Decreto già vigente sulla riforma dei mercati dei capitali, pubblicato in G.U. il 14 aprile 2026 ed entrato in vigore il 29 aprile 2026; lo schema sui rating ESG contiene anche correzioni e coordinamenti a tale decreto.
Consob	Autorità nazionale competente individuata dallo schema italiano di adeguamento.
ESMA	Autorità europea competente per autorizzazione, riconoscimento, vigilanza e tenuta del registro dei fornitori di rating ESG.

Riferimenti essenziali

• Regolamento (UE) 2024/3005 del Parlamento europeo e del Consiglio, del 27 novembre 2024, pubblicato nella GUUE del 12 dicembre 2024.

• Schema di decreto legislativo recante adeguamento del TUF al Regolamento (UE) 2024/3005, Atto del Governo n. 416.

• D.Lgs. 27 marzo 2026, n. 47, pubblicato nella Gazzetta Ufficiale n. 86 del 14 aprile 2026, Supplemento ordinario n. 14.

• Documento di ricerca CNDCEC-FNC, Il decreto di attuazione della Legge Capitali, 28 aprile 2026.

• Comunicazione della Commissione C/2024/6792 sulla rendicontazione di sostenibilità, pubblicata nella GUUE del 13 novembre 2024, come riferimento di contesto sul quadro CSRD/ESRS/SFDR.

di Giacomo Dalseno

Le Federate AICQ Emilia-Romagna, Sicilia e Tosco-Ligure organizzano un corso di qualificazione per Auditor di Terza Parte dei Sistemi di Gestione Ambientale secondo la norma UNI EN ISO 14001:2026, della durata complessiva di 40 ore, per il quale è stato richiesto il riconoscimento ad AICQ SICEV. Il percorso formativo è strutturato in videoconferenza nelle giornate del 20, 22 e 26 maggio 2026 e 3, 5 giugno 2026, con orario 9:00–13:00 e 14:00–18:00.

Il corso è concepito come strumento di sviluppo delle competenze tecniche e professionali necessarie a condurre audit di terza parte sui Sistemi di Gestione Ambientale, in coerenza con i requisiti della UNI EN ISO 14001:2026. Il superamento degli esami finali consente di accedere all’esame per l’iscrizione al registro degli Auditor di terza parte di Sistemi di Gestione Ambientali di AICQ SICEV, Organismo di Certificazione accreditato da ACCREDIA per la certificazione di figure professionali che operano nel mondo dei sistemi di gestione.

Struttura didattica e programma

Il percorso è articolato in due moduli, per un totale di cinque giornate complessive, con alternanza di lezioni frontali, esercitazioni pratiche e casi di studio.

• Modulo A – 16 ore
  Dedicato al processo di audit e alla qualificazione degli auditor secondo UNI EN ISO 19011, con richiami alla UNI EN ISO 14001:2026 e alla UNI EN ISO 17021-1. Nelle prime due giornate, svolte in videoconferenza, sono approfonditi i principi e i vantaggi della High Level Structure, l’integrazione dei sistemi di gestione, la pianificazione e conduzione degli audit, nonché i rischi e le opportunità in ambito di audit; il modulo si conclude con una prova di verifica.
• Modulo B – 24 ore
  Dedicato all’applicazione specifica e pratica delle tecniche di audit ambientale in riferimento allo Standard ISO 14001, con particolare attenzione a pianificazione, esecuzione, presentazione dei risultati e rapporto finale. Il programma comprende test di ingresso sulla ISO 14001, verifica della conformità legislativa ambientale, analisi delle cogenze, audit di un sistema di gestione ambientale, test per auditor interno, casi di studio (stage 1 e stage 2) con role playing, approfondimenti su organismi di certificazione e accreditamento e test finale per auditor di terza parte.

Obiettivi formativi

Gli obiettivi principali del corso sono:

• conoscere in modo approfondito i requisiti della ISO 14001:2026 e la loro applicazione pratica in organizzazioni di diversa complessità;
• fornire tecniche e strumenti per condurre audit di terza parte efficaci, in linea con le linee guida UNI EN ISO 19011 e con i requisiti della certificazione di parte terza.

Al termine del percorso, previo superamento dei test relativi ai moduli A e B, verrà rilasciato un attestato di superamento esame e qualifica di Auditor di Terza Parte del Sistema di Gestione Ambientale UNI EN ISO 14001:2026 riconosciuto AICQ SICEV.

Destinatari e prerequisiti

Il corso è rivolto ad addetti e responsabili dei sistemi di gestione, consulenti, manager e professionisti che operano in ambito ambientale o che intendono qualificarsi come auditor di terza parte. Sono richiesti una buona conoscenza della UNI EN ISO 14001:2015, delle normative e dei documenti applicabili ai Sistemi di Gestione Ambientale, nonché un’esperienza di base nel settore.

Per l’accesso al solo Modulo B (tre giornate) è inoltre necessario aver frequentato e superato l’esame finale di un corso valutatori AICQ o riconosciuto SICEV di 40 ore relativo ai sistemi di gestione per la qualità (edizione 2015).

Docenza, metodologia e materiale didattico

La docenza è affidata a professionisti qualificati AICQ SICEV. La didattica prevede lezioni frontali in videoconferenza, integrate da esercitazioni, simulazioni di audit e role playing su casi di studio. Ai partecipanti viene fornita una dispensa del corso su supporto elettronico.

Durata, quote di partecipazione e condizioni

La durata complessiva è di cinque giorni, per un totale di 40 ore.

Quote di partecipazione:

• Corso completo 40 ore: 1.200,00 € a persona (IVA esente).
• Soci AICQ – Corso 40 ore:
  • 1.200,00 € (IVA esente) con contestuale iscrizione ad AICQ 2026;
  • 950,00 € (IVA esente) per soci AICQ.
• Corso Auditor interno 24 ore: 1.000,00 € a persona (IVA esente).
• Soci AICQ – Corso 24 ore:
  • 1.000,00 € (IVA esente) con contestuale iscrizione ad AICQ 2026;
  • 750,00 € (IVA esente) per soci AICQ.

È previsto uno sconto del 10% per tre o più iscritti appartenenti alla stessa organizzazione, non cumulabile con lo sconto soci. Il corso sarà attivato al raggiungimento del numero minimo di 5 partecipanti.

Iscrizioni e informazioni

Le iscrizioni si effettuano tramite l’apposita scheda allegata alla locandina, da inviare compilata via e‑mail agli indirizzi indicati, unitamente alla copia del bonifico. Il pagamento dovrà avvenire prima dell’inizio del corso; a seguito dell’iscrizione, i partecipanti riceveranno le istruzioni per il versamento e le credenziali di accesso alla videoconferenza.

Per ulteriori informazioni organizzative e conferma dell’avvio del corso è possibile contattare la Presidenza AICQ Emilia-Romagna, che invierà comunicazione di conferma iscrizione via e‑mail.

di Oliviero Casale e Paola Rinaldi

Infrastrutture critiche e soggetti critici: la nuova architettura europea della resilienza

L’Unione europea ha progressivamente trasformato il proprio approccio alla sicurezza delle infrastrutture critiche. Per molto tempo il quadro europeo è stato centrato soprattutto sulla protezione di singole infrastrutture strategiche, in particolare nei settori dell’energia e dei trasporti. Oggi, invece, il baricentro si è spostato verso un concetto più ampio e più adatto al contesto contemporaneo: la resilienza dei soggetti critici, cioè delle entità pubbliche o private che garantiscono servizi essenziali al funzionamento della società e dell’economia.

Questa evoluzione non è una semplice modifica terminologica. Riflette un cambiamento profondo nella percezione del rischio. Guerra ibrida, sabotaggio, terrorismo, eventi climatici estremi, vulnerabilità delle supply chain, interdipendenze digitali e transfrontaliere impongono un modello più sofisticato: non basta proteggere un’infrastruttura, bisogna garantire che i servizi essenziali continuino a funzionare anche in presenza di gravi perturbazioni. È questo il principio che anima la Direttiva (UE) 2022/2557, la cosiddetta CER Directive.

Le definizioni chiave: soggetto critico, infrastruttura critica, servizio essenziale, resilienza

Per comprendere davvero la riforma europea bisogna partire dalle definizioni contenute nella direttiva.

La direttiva definisce soggetto critico come un soggetto pubblico o privato individuato da uno Stato membro ai sensi dell’articolo 6, appartenente a una delle categorie previste nell’allegato. Non si tratta quindi di una qualifica generica o intuitiva: un’entità diventa “critica” perché, a seguito di una valutazione nazionale, viene formalmente identificata come tale.

La stessa direttiva definisce infrastruttura critica come un elemento, un impianto, un’attrezzatura, una rete o un sistema, o una parte di essi, necessari per la fornitura di un servizio essenziale. Questa definizione è importante perché mostra che il diritto europeo non abbandona affatto il concetto di infrastruttura critica: semplicemente lo inserisce in una cornice più ampia, in cui conta non solo il bene materiale, ma la funzione che esso rende possibile.

Il servizio essenziale, a sua volta, è definito come un servizio fondamentale per il mantenimento di funzioni vitali della società, di attività economiche, della salute e della sicurezza pubbliche o dell’ambiente. È questa nozione a spiegare perché il tema delle infrastrutture critiche riguarda ormai ambiti molto più ampi di quelli tradizionali.

Infine, la direttiva definisce la resilienza come la capacità di un soggetto critico di prevenire, attenuare, assorbire un incidente, proteggersi da esso, rispondervi, resistervi, adattarvisi e ripristinare le proprie capacità operative. In questa definizione si vede bene il cambio di paradigma: la sicurezza non coincide più con l’assenza di rischio, ma con la capacità di continuare a operare anche quando il rischio si materializza.

Una formulazione molto vicina compare anche nella raccomandazione del Consiglio del 2022, che parla della resilienza delle infrastrutture critiche come capacità di prevenire, proteggere, rispondere, resistere, attenuare, assorbire, adattarsi o riprendersi da eventi che perturbano in modo significativo la fornitura di servizi essenziali. Questo conferma che il lessico europeo lavora contemporaneamente sul piano delle infrastrutture e su quello dei soggetti che le gestiscono.

Dal vecchio modello ECI alla direttiva CER

La direttiva CER abroga la precedente disciplina del 2008 sulle European Critical Infrastructures, limitata ai settori energia e trasporti e centrata soprattutto sulla protezione di infrastrutture con impatto transfrontaliero. Quel modello è stato ritenuto insufficiente, perché troppo focalizzato sulle singole strutture e non abbastanza capace di cogliere il carattere interconnesso e sistemico delle vulnerabilità contemporanee. La nuova direttiva parte invece dall’idea che i soggetti che erogano servizi essenziali svolgano un ruolo indispensabile per il mantenimento delle funzioni vitali della società e delle attività economiche nel mercato interno.

Il punto di svolta sta qui: l’attenzione non si concentra più solo sull’infrastruttura come asset materiale, ma sull’entità che eroga il servizio e sulla sua capacità di prevenire, resistere, assorbire, reagire e recuperare da incidenti naturali o antropici. Il primo Programma biennale di lavoro 2025-2026 del Critical Entities Resilience Group lo esplicita chiaramente, parlando del passaggio dal concetto più limitato di protezione delle infrastrutture critiche a quello più ampio di resilienza dei soggetti critici.

I settori della nuova resilienza europea

La portata della direttiva CER emerge anche dall’ampiezza dei settori coperti. Il nuovo quadro si applica a undici settori: energia, trasporti, bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione, spazio e produzione, trasformazione e distribuzione alimentare. Questo elenco mostra che l’Unione europea considera la criticità in termini sistemici: la continuità della vita collettiva dipende ormai da reti, dati, logistica, amministrazione, finanza e filiere produttive non meno che da centrali o oleodotti.

Per rendere concretamente applicabile questo quadro, la Commissione ha adottato il Regolamento delegato (UE) 2023/2450, che stabilisce un elenco non esaustivo di servizi essenziali nei settori e sottosettori della direttiva. Tale elenco serve alle autorità competenti per effettuare la valutazione del rischio e, successivamente, per individuare i soggetti critici. La sua natura non esaustiva è significativa: l’Unione fissa un perimetro comune, ma lascia agli Stati membri un margine di adattamento alle specificità nazionali.

L’elenco dei servizi essenziali: la traduzione operativa della direttiva

Il regolamento delegato del 2023 rappresenta uno snodo decisivo, perché traduce la direttiva in un catalogo operativo di servizi. In campo energetico comprende, tra l’altro, fornitura, distribuzione, trasmissione e produzione di energia elettrica, teleriscaldamento, petrolio, gas e idrogeno. Nei trasporti ricomprende trasporto aereo, ferroviario, marittimo, fluviale e su strada, insieme alla gestione delle relative infrastrutture. Copre inoltre raccolta di depositi e concessione di prestiti nel settore bancario, sedi di negoziazione e sistemi di compensazione nei mercati finanziari, assistenza sanitaria e produzione di medicinali, fornitura di acqua potabile, trattamento delle acque reflue, servizi DNS, cloud, data center e comunicazioni elettroniche nel digitale, servizi delle amministrazioni centrali, infrastrutture terrestri di supporto ai servizi spaziali e grandi attività di logistica, stoccaggio, distribuzione e produzione nella filiera alimentare.

Questo elenco chiarisce un punto spesso poco compreso nel dibattito pubblico: l’infrastruttura critica non coincide necessariamente con un bene fisico isolato. In molti casi, la criticità riguarda un servizio e l’insieme dei sistemi, delle reti, delle piattaforme e delle organizzazioni che lo rendono possibile.

Gli obblighi degli Stati membri

La direttiva CER affida agli Stati membri la responsabilità primaria di costruire il sistema nazionale della resilienza. Devono adottare una strategia nazionale, effettuare valutazioni periodiche dei rischi, identificare i soggetti critici sulla base dei risultati di tali valutazioni, sostenerli nel rafforzamento della propria resilienza e garantire che le autorità competenti dispongano di poteri, risorse e mezzi adeguati per vigilare sul rispetto della normativa.

Le scadenze sono particolarmente rilevanti: il recepimento nazionale doveva essere completato entro il 17 ottobre 2024; le norme si applicano dal 18 ottobre 2024; gli Stati membri devono effettuare la valutazione dei rischi entro il 17 gennaio 2026 e identificare i soggetti critici entro il 17 luglio 2026. Queste date mostrano che il 2025 e il 2026 rappresentano la fase in cui il sistema europeo passa dalla legislazione all’attuazione concreta.

Gli obblighi dei soggetti critici

Una volta identificati, i soggetti critici sono tenuti a effettuare proprie valutazioni dei rischi, adottare misure tecniche, organizzative e di sicurezza adeguate a rafforzare la resilienza e notificare gli incidenti significativi alle autorità nazionali. Per i soggetti che forniscono servizi essenziali in sei o più Stati membri, il sistema europeo prevede anche missioni consultive supplementari, destinate a fornire pareri sulla valutazione del rischio e sulle misure di resilienza adottate.

In questo modo, la direttiva costruisce un modello di responsabilità condivisa: lo Stato non è l’unico garante della sicurezza dei servizi essenziali, ma anche i gestori, pubblici o privati, devono dotarsi di strumenti reali di prevenzione, preparedness, incident response e recovery.

L’approccio risk-based e il peso dei rischi transfrontalieri

Le linee guida della Commissione del 2025 precisano la logica con cui gli Stati dovrebbero applicare la direttiva. L’identificazione dei soggetti critici deve seguire un approccio risk-based, concentrandosi sulle entità più rilevanti per il mantenimento delle funzioni vitali della società e delle attività economiche. Le linee guida raccomandano di considerare sia l’ampiezza della perdita o interruzione del servizio sia la probabilità che tale perdita si verifichi, con particolare attenzione ai rischi cross-sectoral e cross-border, per il loro potenziale di generare effetti a cascata su altri servizi essenziali.

Questo è uno dei profili più moderni del modello europeo. Non si ragiona più per silos. Un’interruzione nel settore energetico può compromettere comunicazioni elettroniche, ospedali, reti di trasporto, sistemi bancari o amministrazione pubblica. Allo stesso modo, un incidente in uno Stato membro può propagarsi rapidamente ad altri. La vulnerabilità viene quindi letta come interdipendenza sistemica.

La complementarità con la NIS2

La direttiva CER non opera isolatamente. Il legislatore europeo l’ha costruita in parallelo con la Direttiva (UE) 2022/2555, nota come NIS2, dedicata alla cibersicurezza. Il programma di lavoro del CERG evidenzia che con CER e NIS2 si è aperta una nuova fase di cooperazione europea, nella quale le due direttive costruiscono insieme un quadro robusto di tutela contro minacce cyber e non cyber.

La distinzione tra le due norme resta importante: la CER riguarda la resilienza complessiva dei soggetti critici rispetto a minacce fisiche, organizzative, naturali e ibride; la NIS2 si concentra specificamente sulla sicurezza delle reti e dei sistemi informativi. Ma il loro rapporto è di complementarità strutturale, perché oggi una minaccia raramente è solo fisica o solo digitale.

La raccomandazione del Consiglio del 2022

Accanto alla direttiva CER, il quadro europeo comprende la Raccomandazione del Consiglio dell’8 dicembre 2022 su un approccio coordinato a livello dell’Unione per rafforzare la resilienza delle infrastrutture critiche. È un atto non vincolante, ma politicamente significativo, adottato in un contesto segnato da sabotaggi, guerra di aggressione russa contro l’Ucraina, campagne ibride e crescente attenzione alle infrastrutture con rilevanza transfrontaliera. La raccomandazione afferma che, pur restando agli Stati membri e agli operatori la responsabilità primaria della sicurezza e dell’erogazione dei servizi essenziali, un coordinamento europeo più stretto è divenuto necessario.

Si articola attorno a tre assi: preparedness, response e international cooperation. In questo quadro si collocano anche gli stress test europei, a partire dal settore energetico, e il rafforzamento della cooperazione con la NATO e con partner internazionali.

Stress test, NATO e cooperazione internazionale

Il programma di lavoro del CERG chiarisce che la raccomandazione del 2022 ha già prodotto effetti operativi. Nel 2023 sono stati condotti stress test nel settore energetico, e i loro risultati alimentano le attività successive di follow-up e rafforzamento della resilienza. Il medesimo programma collega questi sviluppi al più ampio quadro di cooperazione internazionale e al coordinamento con la NATO.

Questo passaggio mostra bene come la resilienza non sia più soltanto materia di regolazione del mercato interno, ma anche componente della sicurezza europea in senso lato.

Il Blueprint del 2024

Un ulteriore tassello della nuova architettura è costituito dal Blueprint per coordinare la risposta a livello UE alle perturbazioni di infrastrutture critiche con rilevanza transfrontaliera significativa, adottato nel 2024. Si tratta di uno strumento destinato a migliorare la cooperazione a livello dell’Unione in caso di crisi che travalichino i confini nazionali.

La logica è evidente: in un sistema interconnesso, la gestione di incidenti gravi non può più essere affidata a risposte puramente nazionali. Servono meccanismi comuni di scambio informativo, coordinamento con gli altri strumenti europei di crisi, supporto tecnico e comunicazione pubblica coerente.

Le linee guida e il template di reporting del 2025

La Comunicazione della Commissione dell’11 settembre 2025, con linee guida non vincolanti e template volontario di reporting, rappresenta il tentativo più concreto di rendere uniforme l’applicazione della direttiva nei diversi ordinamenti nazionali. Non sostituisce la discrezionalità degli Stati membri, ma fornisce una metodologia comune e favorisce una convergenza progressiva delle pratiche nazionali.

Il ruolo del CERG

In questa architettura il Critical Entities Resilience Group svolge una funzione cruciale. Ha il compito di sostenere la Commissione e facilitare la cooperazione tra Stati membri. Il programma di lavoro 2025-2026 mostra chiaramente che il suo obiettivo principale è contribuire alla corretta attuazione del quadro CER, facilitare lo scambio di informazioni e buone pratiche e promuovere una maggiore resilienza dei soggetti critici e delle infrastrutture critiche nell’UE.

La costruzione di una comunità europea della resilienza fondata sulla fiducia è forse uno degli elementi meno visibili ma più importanti dell’intero sistema, perché senza fiducia, condivisione di dati sensibili e cooperazione tra pubblico e privato, la resilienza rischia di restare soltanto un obiettivo formale.

Conclusione

La nuova politica europea in materia di infrastrutture critiche non è una semplice riforma tecnica. È la costruzione di una vera architettura di resilienza sistemica. La direttiva CER, il regolamento delegato sui servizi essenziali, la raccomandazione del 2022, il Blueprint del 2024, le linee guida del 2025 e il lavoro del CERG concorrono tutti allo stesso obiettivo: garantire che i servizi essenziali dell’Unione continuino a funzionare anche in un contesto segnato da sabotaggio, terrorismo, crisi climatiche, attacchi ibridi e crescente interdipendenza digitale.

In definitiva, l’Europa sta cercando di passare da una logica di mera protezione a una logica di governo della continuità. È questo, oggi, il vero significato della resilienza delle infrastrutture critiche.

Autori

* Oliviero Casale è General Manager di UniProfessioni , Innovation Manager certificato UNI 11814 e Mentor Industry 6.0; componente del CtS di Net EU Association; consigliere della Fondazione Communia; Segretraio di AICQ Emilia Romagna e Marche; componente di ISO TC/279 (Innovation management); Cultore della Materia in “Affidabilità Controllo Qualità e Certificazione di Processo e di Prodotto” presso il Dipartimento di Ingegneria Industriale dell’Università di Bologna.

Email: oliviero.casale@uniprofessioni.it

Linkedin: https://linkedin.com/in/olivierocasale/

** Paola Rinaldi è laureata in Fisica e PhD in Ingegneria elettrotecnica; titolare del corso di “Affidabilità, Controllo Qualità e Certificazione di Processo e di Prodotto” nel C.d.L. in Ingegneria Gestionale nell’Università di Bologna; Vicepresidente di Aicq Emilia-Romagna e certificata come Circular Economy Advisor.

Email: paola.rinaldi@unibo.it

Linkedin: https://linkedin.com/in/paola-rinaldi-phd-748b22a0