Roberto Setola ha iniziato introducendo il concetto di infrastrutture critiche, definendole come “quell’insieme di elementi fisici, tangibili e non tangibili, fisici e cyber, persone e organizzazioni che sono fondamentali per l’erogazione di servizi essenziali alla popolazione”.

Inoltre, ha puntualizzato come “l’individuazione di un’infrastruttura critica derivi dalla sua funzione e, quindi, dall’aver identificato quali sono i servizi essenziali alla popolazione.”

Una prima definizione di infrastruttura critica risale al 1998 ed è stata individuata negli Stati Uniti dall’allora Presidente degli Stati Uniti Clinton, precursore dell’importanza di tale ambito.

Il docente ha proseguito fornendo la definizione proposta dal Gruppo di Lavoro sulla Protezione delle Infrastrutture Critiche, istituito dalla Presidenza del Consiglio dei Ministri nel 2003, secondo cui è “il complesso di reti e sistemi che includono industrie, istituzioni e strutture di distribuzione che, operando in modo sinergico, producono un flusso continuo di merci e servizi essenziali per la funzionalità e la stabilità economica di un Paese”.

Inoltre, ha sottolineato l’importanza di non confondere la protezione degli obiettivi sensibili con la protezione delle infrastrutture critiche.

Nel primo caso significa “proteggere le infrastrutture che erogano servizi pubblici di massa e hanno un valore economico”. Nel secondo, l’obiettivo è “l’erogazione del servizio essenziale alla popolazione.”

Ciò significa che, mentre per gli obiettivi sensibili ci si riferisce a un’azione esclusivamente di tipo dolosa, quando si parla di protezione delle infrastrutture critiche si allarga l’orizzonte alle minacce da gestire operando anche in termini di gestione dell’evento.

Tutto ciò richiede il cosiddetto approccio “All Hazard” focalizzato maggiormente sulle misure di riduzione delle conseguenze e delle vulnerabilità.

Il docente ha quindi proseguito affermando che “l’attività di protezione degli obiettivi sensibili si esaurisce nel momento in cui si subisce un attacco, mentre la dimensione temporale si allunga quando ci si riferisce alle infrastrutture critiche”.

Setola ha poi analizzato le origini del concetto di “Infrastruttura critica” chiarendo che “le infrastrutture non sono moderne anzi hanno una storia di diversi millenni.”

Peraltro “qualunque manuale di strategia insegna che una delle azioni primarie di un’azione militare è quella di distruggere le infrastrutture di un paese per rallentarne la capacità bellica ma anche per creare un impatto emotivo sulla popolazione”.

L’interesse per le infrastrutture critiche, storicamente, è nato fra il 1996 e il 1998 ma la vera e propria esplosione è avvenuta a cavallo degli anni 2000. Il docente ha infatti spiegato che tra il 2001 e il 2003 – nell’arco di tre anni – si sono susseguiti alcuni eventi che hanno sconvolto la capacità di percepire la sicurezza.

Nello specifico, nel 2001 c’è stato l’attentato alle Torri Gemelle e al Pentagono l’11 settembre, nel 2003 il grande blackout americano e nel 2005 l’uragano Katrina negli Stati Uniti e nelle Bahamas.

Certamente – ha osservato – l’evoluzione tecnologica consente di avere infrastrutture sempre più robuste rispetto a possibili guasti. Tuttavia, stanno acquisendo sempre più rilevanza i cosiddetti eventi estremi, indicati come “Black Swan Event”, vale a dire eventi possibili ma poco probabili.

Questo aspetto ha un impatto sulle modalità di analisi del rischio connesso ad alcuni eventi, genericamente indicata come il prodotto di due fattori: la probabilità di accadimento e le conseguenze di ciò che sta succedendo.

“Quando si ragiona in termini di infrastrutture critiche – ha proseguito – diventa difficile la stima del rischio poiché si hanno delle accresciute incertezze sia sul modo di stimare la probabilità di accadimento sia sul modo di valutare il rischio”.

Partendo dalla teoria del “normal accidents” elaborata dal sociologo statunitense Charles Perrow negli anni ‘80, il docente ha illustrato le possibili conseguenze di una impostazione che non tenga conto dell’esistenza e della rilevanza degli eventi estremi.

Il sociologo americano infatti sosteneva che un incidente catastrofico è normale e pertanto è inutile interrogarsi sepossa verificarsi. Piuttosto “è opportuno chiedersi quando avverrà”. In sintesi, per Perrow “più un sistema è complesso più è intrinsecamente fragile”.

In conseguenza, Setola ha sviluppato un collegamento tra la visione di Perrow con il blackout del 2003 negli Stati Uniti. L’evento è stato indotto da una serie di accadimenti banali che, se esaminati singolarmente o in un ordine differente, non avrebbero potuto causare alcun pericolo. Eppure, in quella precisa circostanza hanno determibato per una settimana il blocco prolungato dell’erogazione dell’energia elettrica per 50 milioni di abitanti.

Il docente ha proseguito ricordando come uno degli aspetti che contraddistingue le infrastrutture critiche sia l’esistenza di interdipendenze, poichè un guasto, accidentale o doloso che investe una infrastruttura può ripercuotersi, con un effetto domino, su altre, aumentando gli effetti negativi dell’evento originario e globalizzando la minaccia.

A proposito di interdipendenza, il docente ha presentato un esempio emblematico avvenuto in Italia nel 2003 quando, per una configurazione troppo fragile della nostra rete elettrica e il contestuale bisogno di avviare una serie di attività di manutenzione su alcune linee verso l’estero, si innescò un blackout di vaste proporzioni.

In verità la causa era rappresentata dalla razionalizzazione delle spese, indotta dalla liberalizzazione, unita all’azione di Enel nel maggior sfruttamento della rete per creare la società Wind.

Questo episodio, ha precisato, evidenzia come “occorrono approcci maggiormente olistici in grado, cioè, di cogliere l’essenza del tutto e non solo il valore della singola parte, approcci che al momento non trovano strumenti metodologici e matematici adeguati”.

Il docente ha poi approfondito la recente Direttiva UE 2022/2557, relativa alla resilienza dei soggetti critici, che ha abrogato la precedente Direttiva 2008/114/CE sull’individuazione e la designazione delle infrastrutture critiche europee.

Tra gli elementi più significativi, vi è la definizione degli obblighi per i soggetti critici di rafforzare la resilienza e la capacità di fornire servizi essenziali.

Oltre a definire le norme riguardanti la vigilanza sui soggetti critici, la sua esecuzione nonché l’individuazione dei soggetti critici di particolare rilevanza a livello europeo, la Direttiva Comunitaria ha stabilito comuni procedure di cooperazione e comunicazione degli eventi.

Setola ha concluso illustrando il concetto di cybersecurity nonché esplorando le problematiche legate agli attacchi cyber alle infrastrutture critiche.

Particolareggiata è stata l’analisi da parte della recente Direttiva 2022/2555, definita cd. NIS 2, che introduce nuovi obblighi di cyber sicurezza per le aziende in materia dei dati e maggiori responsabilità per i soggetti interessati.