Con la pubblicazione, lo scorso 10 febbraio, dell'atteso DPCM (decreto del presidente del consiglio dei ministri) che chiarisce i profili giuridici della clausola di salvaguardia, si completa il quadro delle istruzioni che le imprese soggette alla Direttiva NIS2 in materia di sicurezza digitale devono seguire per registrarsi sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale (ACN).
Il 28 febbraio è la data di scadenza per l'iscrizione: un adempimento importante per le imprese rientranti nel perimetro della Direttiva NIS2. Completare questa procedura rappresenta, infatti, il primo passo per conformarsi agli obblighi normativi e adeguarsi alle nuove disposizioni in tema di sicurezza informatica.
Individuare le imprese interessate non è, tuttavia, un compito semplice. Ne parliamo con l'avvocato Gualtiero Roveda, consulente di Fruitimprese.
Freshplaza (FP): Quali imprese agricole sono soggette all'obbligo di registrazione secondo il Decreto NIS 2?
Gualtiero Roveda (GR): Le imprese agricole che vendono all'ingrosso, quando soddisfano i criteri dimensionali previsti dal Decreto Legislativo n. 138/2024, sono soggette all'obbligo di registrazione.
FP: Quali sono i criteri dimensionali?
GR: L'impresa non deve essere considerata piccola secondo quanto stabilito dalla Raccomandazione 2003/361/CE della Commissione Europea, che definisce come piccole le imprese con meno di 50 dipendenti e un fatturato annuo o un totale di bilancio non superiore a 10 milioni di euro.
FP: Facciamo degli esempi per chiarire. Un'impresa con 50 dipendenti, 8 milioni di fatturato e un totale di bilancio di 6 milioni di euro rientra tra le imprese soggette alla registrazione?
GR: Sì. Infatti, secondo la normativa in esame, un'impresa è considerata piccola solo se soddisfa contemporaneamente due condizioni: avere meno di 50 dipendenti e un fatturato annuo o un totale di bilancio non superiore a 10 milioni di euro. Nel caso dell'impresa indicata, il numero di dipendenti non è inferiore a 50 e, di conseguenza, non rientra tra le piccole imprese ed è quindi soggetta all'obbligo di registrazione.
FP: Se, invece, l'impresa avesse meno di 50 dipendenti, considerata la disgiuntiva tra i parametri di fatturato annuo e totale di bilancio, basterebbe che uno solo di questi due valori rimanesse sotto la soglia per essere classificata come piccola e, quindi, non soggetta a registrazione. È corretto?
GR: Assolutamente sì! In presenza di meno di 50 dipendenti, l'impresa è considerata piccola se il fatturato annuo o il totale di bilancio non superano i 10 milioni di euro. In questo caso, non scatterebbe l'obbligo di registrazione.
FP: La raccomandazione prevede che il calcolo del numero di effettivi, del fatturato e del bilancio tenga conto anche delle imprese associate o collegate.
GR: È vero. Si tratta di un aspetto importante, affrontato anche dal recentissimo DPCM, che ha chiarito alcuni profili di questa questione.
FP: Cosa si intende esattamente per impresa associata e collegata?
GR: Un'impresa è considerata associata quando un'altra impresa detiene tra il 25% e il 50% del capitale o dei diritti di voto. In questo caso, i dati relativi a dipendenti, fatturato e bilancio dell'impresa associata vengono calcolati in proporzione alla percentuale di partecipazione. Un'impresa è invece considerata collegata quando un'altra impresa detiene oltre il 50% del capitale o dei diritti di voto o esercita un'influenza dominante sulla sua gestione. In queste situazioni, i dati finanziari e occupazionali dell'impresa collegata vengono considerati per intero ai fini della determinazione della dimensione aziendale.
FP: Come si calcolano i dipendenti, il fatturato e il bilancio in presenza di imprese associate o collegate?
GR: Il calcolo avviene seguendo un principio di aggregazione. Si sommano i dipendenti dell'impresa principale con quelli delle imprese collegate, mentre per le imprese associate si considera solo la quota corrispondente alla percentuale di partecipazione. Lo stesso criterio si applica al fatturato e al bilancio: si sommano i valori dell'impresa principale con quelli delle imprese collegate e, per le imprese associate, si calcolano i dati in proporzione alla partecipazione detenuta. Tuttavia, per le imprese agricole che, pur superando i limiti dimensionali a causa dei collegamenti, operano in autonomia, è possibile richiedere un declassamento grazie alla clausola di salvaguardia. Per ottenere questo declassamento, l'impresa deve dimostrare di gestire in maniera indipendente i propri sistemi informativi e di rete, oltre ad assicurare l'autonomia nella gestione dei servizi rientranti nella disciplina della Direttiva NIS 2.
FP: Come si presenta la richiesta di declassamento?
GR: La richiesta deve essere inoltrata tramite la piattaforma dell'Agenzia per la Cybersicurezza Nazionale (ACN).
FP: Quali sono le conseguenze se un'impresa agricola non si registra nonostante l'obbligo?
GR: Il mancato rispetto dell'obbligo di registrazione comporta sanzioni amministrative e, nei casi più gravi, l'ACN può anche disporre misure correttive, come la sospensione temporanea di alcune attività o la richiesta di adeguamento immediato delle misure di sicurezza.