L’armonizzazione della cybersicurezza europea: la Direttiva NIS2 e il nuovo regime giuridico della resilienza delle infrastrutture critiche

Abstract

La crescente dipendenza delle società contemporanee dalle infrastrutture digitali ha trasformato la sicurezza delle reti in una questione di rilievo non soltanto tecnico, ma costituzionale, per l'Unione europea. Il presente elaborato ricostruisce il percorso giuridico attraverso cui l'Unione ha edificato un regime comune della cybersicurezza pur in assenza di una competenza espressa in materia, individuando nella Direttiva (UE) 2022/2555 (NIS 2) la chiave di volta di tale architettura e nel principio di resilienza il suo filo conduttore. Il lavoro si articola in tre momenti. Il primo capitolo ripercorre l'evoluzione del quadro normativo — dal programma EPCIP alla Direttiva (UE) 2022/2557 (CER) — e ne illustra il fondamento nella logica del mercato interno (art. 114 TFUE) e nell'opera di delimitazione condotta dalla Corte di giustizia rispetto alla riserva di sicurezza nazionale (art. 4, par. 2, TUE). Il secondo capitolo analizza gli istituti della NIS 2: la distinzione tra entità essenziali e importanti, gli obblighi di gestione del rischio e di notifica, la responsabilizzazione degli organi di gestione, il regime sanzionatorio e il recepimento nell'ordinamento italiano (D.lgs. n. 138/2024). Il terzo capitolo verifica la tenuta del modello su un caso concreto — la sicurezza del vettore radio ferroviario nella transizione dal GSM-R all'FRMCS basato su tecnologia 5G — dove la dimensione tecnica, quella giuridica e quella geopolitica convergono in modo esemplare. Ne emerge che la cybersicurezza non rappresenta un ambito sottratto all'Unione, bensì uno dei terreni più fecondi della sua integrazione, fondato su una resilienza intesa come categoria giuridica e su una governance multilivello imperniata sulla leale cooperazione

Contemporary societies' growing dependence on digital infrastructure has transformed network security into a matter of not only technical but also constitutional importance for the European Union. This paper reconstructs the legal process through which the Union has built a common cybersecurity regime despite the lack of express competence in the field. It identifies Directive (EU) 2022/2555 (NIS 2) as the cornerstone of this architecture, and the principle of resilience as its guiding principle. The paper is divided into three parts. The first chapter traces the evolution of the regulatory framework—from the EPCIP program to Directive (EU) 2022/2557 (CER)—and illustrates its foundation in the logic of the internal market (Article 114 TFEU) and the Court of Justice's work defining the national security reserve (Article 4, paragraph 2, TEU). The second chapter analyzes the NIS 2 framework: the distinction between essential and important entities, risk management and reporting obligations, the accountability of management bodies, the sanctioning regime, and its implementation into Italian law (Legislative Decree no. 138/2024). The third chapter tests the validity of the model on a concrete case—the security of railway radio carriers during the transition from GSM-R to 5G-based FRMCS—where the technical, legal, and geopolitical dimensions converge in an exemplary manner. It emerges that cybersecurity is not an area removed from the Union, but rather one of the most fertile fields of its integration, founded on resilience understood as a legal category and on multilevel governance centered on loyal cooperation.