In questo contenuto affrontiamo con lo Studio SG Solution un argomento molto dibattuto in ambito NIS2: il concetto di rilevanza della Direttiva NIS2 in caso di gruppi societari, andando a distinguere la nozione di collegamento e impresa associata.
Avv. Sofia Sesana
Studio legale Gallotto e SG Solution - Milano
Nel processo di autovalutazione ai fini della Direttiva NIS2, bisogna tenere in debita considerazione la nozione di “collegamento” e di impresa “associata”.
La differenza chiave tra il diritto italiano e quello europeo
Nel diritto italiano (art. 2359 c.c.), esiste collegamento anche in assenza di controllo, quando una società esercita un’influenza notevole (in linea generale, almeno il 20% dei diritti di voto, 10% per le quotate).
Ai fini NIS2, invece, il riferimento è la Raccomandazione 2003/361/CE, richiamata dalla Determinazione del Direttore Generale dell’Agenzia per la Cybersicurezza Nazionale.
Secondo tale disciplina europea, sono “imprese collegate” solo quelle tra cui esiste una relazione di controllo, ossia:
- maggioranza di voto;
- diritto di nominare o revocare la maggioranza degli amministratori;
- influenza dominante derivante da contratto o statuto;
- controllo della maggioranza dei voti tramite accordo tra soci.
Il collegamento non è da confondere con l’associazione tra imprese, per cui l’unica definizione disponibile è quella europea, sempre recepita dalla Raccomandazione 2003/361/CE, secondo la quale tutte le imprese non identificabili come imprese collegate e tra le quali esiste la relazione seguente: un’impresa (impresa a monte) detiene, da sola o insieme a una o più imprese collegate, almeno il 25% del capitale o dei diritti di voto di un’altra impresa (impresa a valle).
Perchè è rilevante
La nozione di impresa collegata e di impresa accociata sono centrali per:
- il calcolo degli effettivi;
- la determinazione delle soglie finanziarie:
- la corretta qualificazione come soggetto essenziale o importante.
La raccomandazione 2003/361/CE prevede che:
- si utilizzino i dati dell’impresa o, se disponibili, i conti consolidati:
- si aggreghino proporzionalmente i dati delle imprese associate (esempio: l’impresa A possiede il 30% del capitale di B, si calcolano 30 dipendenti su 100 come effettivi da integrare, così anche per il fatturato):
- si aggiunga il 100% dei dati delle imprese collegate non già incluse nel consolidato (esempio: l’impresa A possiede il 60% del capitale di B, si considerano il 100% dei dipendenti nel calcolo degli effettivi e stesso metodo si utilizza per il fatturato).
Cosa fare operativamente ai fini NIS2
Per i gruppi è essenziale:
- mappare le relazioni partecipative secondo i criteri UE;
- verificare l’esistenza di diritti o accordi che possano integrare controllo;
- coordinare area legale e amministrazione nella determinazione dei dati aggregati.
La NIS2 impone una lettura europea del concetto di gruppo: applicare automaticamente l’art. 2359 c.c. può condurre a classificazioni non corrette e a dichiarazioni non coerenti con il quadro normativo.
Avvocato Sofia Sesana – Contributor
SG Solution è una società di consulenza specializzata in protezione dei dati personali, compliance normativa e sistemi di gestione che supporta aziende ed enti nell’adeguamento al GDPR, nell’implementazione di modelli organizzativi e di controllo, nella sicurezza delle informazioni e nella qualificazione dei servizi ICT, inclusi i percorsi di conformità e qualificazione richiesti dall’ACN, offrendo soluzioni personalizzate e assistenza professionale continuativa.
