La partecipazione societaria, da sola, non determina l’assoggettamento alla NIS2
Un tema che può creare qualche difficoltà nell’applicazione della Direttiva NIS2 riguarda i rapporti tra società appartenenti allo stesso gruppo.
In particolare, può sorgere una domanda apparentemente semplice:
se una società X controlla una società Y che è soggetta alla NIS2, anche X è automaticamente soggetta alla normativa?
La risposta è no.
Il semplice fatto che una società possieda una partecipazione di controllo in un’altra società non è, di per sé, sufficiente a rendere la controllante soggetta alla NIS2.
La situazione deve essere analizzata alla luce dell’articolo 3, comma 10, del Decreto Legislativo 4 settembre 2024, n. 138, con il quale l’Italia ha recepito la Direttiva (UE) 2022/2555.
Il caso previsto dall’articolo 3, comma 10
Il decreto stabilisce che la normativa NIS2 si applica, indipendentemente dalle dimensioni dell’impresa, anche all’impresa collegata a un soggetto essenziale o importante, quando viene soddisfatto almeno uno di determinati criteri.
Le condizioni previste sono quattro:
- l’impresa collegata adotta decisioni o esercita un’influenza dominante sulle decisioni relative alle misure di gestione del rischio per la sicurezza informatica del soggetto importante o essenziale;
- detiene o gestisce sistemi informativi e di rete dai quali dipende la fornitura dei servizi del soggetto importante o essenziale;
- effettua operazioni di sicurezza informatica del soggetto importante o essenziale;
- fornisce servizi TIC o di sicurezza, anche gestiti, al soggetto importante o essenziale.
Pertanto, il rapporto societario costituisce un elemento necessario per questa specifica fattispecie, ma non è sufficiente da solo.
Un esempio concreto
Consideriamo due società:
AZIENDA X
- possiede il 60% di AZIENDA Y;
- è quindi la società controllante;
- non gestisce i sistemi informativi di Y.
AZIENDA Y
- è un soggetto importante o essenziale ai sensi della NIS2.
In questa situazione, il solo possesso del 60% di Y non determina automaticamente l’assoggettamento di X alla NIS2 ai sensi dell’articolo 3, comma 10.
Occorre verificare se X svolga una delle attività indicate dalla norma.
Ad esempio, se X non:
- prende decisioni relative alle misure di gestione del rischio cyber di Y;
- gestisce i sistemi informativi dai quali dipendono i servizi di Y;
- svolge operazioni di sicurezza informatica per Y;
- fornisce a Y servizi ICT o di sicurezza;
il solo rapporto di controllo societario non è sufficiente per applicare a X l’articolo 3, comma 10.
Quando invece la controllante può diventare soggetta alla NIS2
La situazione cambia, per esempio, se la società controllante non si limita a detenere la partecipazione, ma svolge anche un ruolo operativo nei confronti della controllata.
Gestione dei sistemi informativi
Supponiamo che X possieda il 60% di Y e che X gestisca i server sui quali sono installati i software indispensabili per consentire a Y di erogare i propri servizi.
Se Y è un soggetto importante o essenziale, questa situazione può ricadere nell’articolo 3, comma 10, lettera b), perché X detiene o gestisce sistemi informativi e di rete dai quali dipende la fornitura dei servizi di Y.
In questo caso, quindi, non è la partecipazione del 60% a determinare l’assoggettamento di X.
È la combinazione di:
rapporto societario + gestione dei sistemi informativi rilevanti di Y
a determinare l’applicazione della disposizione.
Il requisito fondamentale: Y deve essere un soggetto importante o essenziale
L’articolo 3, comma 10, utilizza espressamente l’espressione:
“impresa collegata ad un soggetto essenziale o importante”
Questo significa che, per applicare questa specifica disposizione, deve esistere a monte un soggetto che rientri nell’ambito NIS2 come soggetto importante o essenziale.
Di conseguenza, se Y non è un soggetto importante o essenziale ai sensi della normativa NIS2, il rapporto tra X e Y non può, da solo, determinare l’assoggettamento di X in applicazione dell’articolo 3, comma 10.
Questo non significa tuttavia che X non possa essere soggetta alla NIS2 per altri motivi.
L’articolo 3 del D.Lgs. 138/2024 prevede infatti diverse fattispecie di applicazione della normativa, anche indipendenti dal rapporto con una società controllata.
La partecipazione societaria e la gestione IT sono quindi due elementi distinti
È utile distinguere due concetti che spesso vengono sovrapposti.
1. Il rapporto societario
La partecipazione del 60% può determinare una situazione di controllo e quindi un rapporto societario rilevante ai fini della nozione di impresa collegata.
La normativa attuativa NIS2 definisce infatti l’“impresa collegata” facendo riferimento sia ai criteri previsti dalla Raccomandazione 2003/361/CE sia all’appartenenza a un gruppo di imprese.
2. Il ruolo svolto nei confronti della società NIS2
È però necessario verificare che cosa faccia concretamente l’impresa collegata nei confronti del soggetto importante o essenziale.
Il legislatore individua quattro situazioni specifiche:
decisioni sulla sicurezza → gestione dei sistemi → operazioni cyber → servizi ICT/security.
È quindi il ruolo effettivamente svolto dall’impresa collegata a determinare, insieme alla qualifica NIS2 della società di riferimento, l’applicabilità dell’articolo 3, comma 10.
Un semplice schema per l’analisi
La verifica può essere rappresentata in questo modo:
X controlla Y?
↓ sì
Y è un soggetto importante o essenziale NIS2?
↓ sì
X soddisfa almeno uno dei criteri dell’art. 3, comma 10?
- influenza sulle decisioni di cybersecurity;
- gestione dei sistemi informativi da cui dipendono i servizi di Y;
- operazioni di sicurezza informatica;
- servizi ICT o di sicurezza.
↓ sì
X rientra nell’ambito di applicazione della NIS2 ai sensi dell’art. 3, comma 10.
Se invece l’ultima verifica dà esito negativo, il solo rapporto societario non è sufficiente.
Un aspetto importante per l’analisi aziendale
Questo principio è particolarmente importante quando si analizzano gruppi societari nei quali l’IT è centralizzato.
Non è sufficiente guardare solamente all’organigramma societario.
È necessario analizzare anche chi possiede, chi gestisce e chi controlla i sistemi informativi.
Ad esempio, possono verificarsi situazioni molto diverse:
| Situazione | Possibile applicazione art. 3 c.10 |
|---|---|
| X controlla Y ma non svolge attività IT o cyber per Y | Non per il solo controllo societario |
| X controlla Y e decide le misure di sicurezza di Y | Sì, criterio a) |
| X controlla Y e gestisce i server dai quali dipendono i servizi di Y | Sì, criterio b) |
| X controlla Y e svolge attività di cybersecurity per Y | Sì, criterio c) |
| X controlla Y e fornisce servizi ICT/security a Y | Sì, criterio d) |
Naturalmente, la verifica deve essere effettuata considerando l’effettiva organizzazione aziendale e la concreta funzione dei sistemi e dei servizi, non soltanto le denominazioni utilizzate nei contratti.
Perché questa distinzione è importante
La NIS2 introduce obblighi significativi in materia di gestione del rischio cyber, sicurezza dei sistemi informativi, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento e responsabilità dell’organo di gestione.
Per questo motivo, stabilire correttamente chi rientra nell’ambito della normativa è il primo passaggio di qualsiasi percorso di adeguamento.
Nel caso dei gruppi societari, la verifica non dovrebbe quindi fermarsi alla domanda:
“La società controlla un’azienda soggetta alla NIS2?”
La domanda corretta è più articolata:
“La società è un’impresa collegata a un soggetto importante o essenziale e, in concreto, soddisfa almeno uno dei criteri previsti dall’articolo 3, comma 10?”
Questa impostazione consente di distinguere il semplice rapporto societario da quelle situazioni nelle quali la società controllante svolge effettivamente un ruolo rilevante nella gestione dei sistemi, della sicurezza informatica o dei servizi ICT della società soggetta alla NIS2.
Conclusione
La partecipazione societaria e l’assoggettamento alla NIS2 sono quindi concetti collegati, ma non coincidenti.
Possedere una società soggetta alla NIS2 non rende automaticamente soggetta alla NIS2 la società controllante.
Quando però la controllante svolge nei confronti della società importante o essenziale uno dei ruoli individuati dall’articolo 3, comma 10 — ad esempio gestendo i sistemi informativi dai quali dipendono i servizi della controllata — la situazione cambia e può determinarsi l’applicazione della normativa anche alla controllante.
Per questo motivo, nell’analisi NIS2 di un gruppo societario è opportuno documentare separatamente:
- i rapporti societari;
- la qualifica NIS2 delle singole società;
- la titolarità e la gestione dei sistemi informativi;
- le responsabilità in materia di cybersecurity;
- i servizi ICT e di sicurezza eventualmente forniti tra società del gruppo.
È proprio dall’incrocio di questi elementi che può essere determinato correttamente il perimetro NIS2 del gruppo.
