daRedazione|Mar 9, 2026|Diritto d'Impresa
Quali sono gli adempimenti prescritti dal Regolamento DORA e dalla normativa nazionale di adeguamento? E quali sanzioni sono previste?
L’utilizzo sempre più esteso di piattaforme digitali, servizi cloud, processi automatizzati e fornitori terzi di servizi TIC ha infatti ampliato in modo significativo l’esposizione delle entità finanziarie a incidenti informatici, vulnerabilità sistemiche e interruzioni operative suscettibili di incidere non soltanto sull’organizzazione interna dell’impresa, ma anche sulla stabilità del mercato, sulla protezione dei clienti e sul regolare svolgimento di funzioni essenziali o importanti.
In tale scenario è intervenuto ilRegolamento (UE) 2022/2554, noto come Regolamento DORA, il quale ha introdotto una disciplina uniforme in materia di resilienza operativa digitale per il settore finanziario dell’Unione europea, imponendo obblighi puntuali in materia di governance, gestione del rischio TIC, segnalazione degli incidenti, test di resilienza e controllo dei rapporti con i fornitori terzi di servizi tecnologici.
A livello interno, il quadro è stato completato dal D. Lgs. 10 marzo 2025, n. 23,che ha adeguato l’ordinamento italiano al DORA, individuando le autorità competenti, disciplinando il coordinamento con le strutture nazionali di cybersicurezza e introducendo il relativo apparato sanzionatorio.
Con il presente contributo vogliamo offrire una panoramica della normativa DORA, chiarendo quali siano i soggetti obbligati, quali adempimenti sono imposti alle istituzioni finanziarie e quali attività di compliance si rendono necessarie.
Il Regolamento DORA nel quadro della normativa europea sulla cybersicurezza
Il Regolamento DORA si colloca all’interno di un più ampio processo di rafforzamento della disciplina europea in materia di sicurezza informatica e resilienza delle infrastrutture essenziali. Esso introduce una disciplina settoriale e specialistica destinata al comparto finanziario, considerato dal legislatore europeo come un ecosistema particolarmente esposto ai rischi derivanti dall’interdipendenza digitale, dalla concentrazione dei fornitori tecnologici e dalla potenziale propagazione sistemica degli incidenti TIC.
In questa prospettiva, il DORA costituisce un atto normativo che, pur dialogando con ladirettiva NIS 2e con le altre discipline europee sulla cybersicurezza, se ne distingue per oggetto, finalità e tecnica di regolazione, poiché non si limita a fissare obblighi generali di sicurezza delle reti e dei sistemi informativi, ma costruisce un modello articolato di governo della resilienza operativa digitale in capo alle entità finanziarie.
Il regolamento, infatti, disciplina in maniera organica la gestione del rischio informatico, la classificazione e segnalazione degli incidenti, i test di resilienza, il monitoraggio dei fornitori terzi di servizi TIC e il coordinamento tra autorità di vigilanza.
È proprio tale impostazione a rendere il Regolamento DORA una normativa centrale per lacorporate compliancenel settore finanziario, che richiede un assetto organizzativo, contrattuale e procedurale coerente con la continuità dei servizi finanziari e con la tutela del mercato.
I soggetti obbligati e l’estensione della disciplina alla filiera tecnologica
Quanto all’individuazione dei soggetti destinatari degli obblighi di resilienza operativa digitale, l’art. 2 del Regolamento (UE) 2022/2554 delinea un perimetro soggettivo particolarmente ampio, che ricomprende non soltanto gli operatori bancari in senso stretto, ma l’intero ecosistema dei servizi finanziari europei.
Rientrano nel campo di applicazione del DORA gli enti creditizi, gli istituti di pagamento, gli istituti di moneta elettronica, le imprese di investimento, i fornitori di servizi per le cripto-attività, i depositari centrali di titoli, le controparti centrali, le sedi di negoziazione, i gestori di fondi, le imprese di assicurazione e di riassicurazione, gli intermediari assicurativi, gli enti pensionistici aziendali o professionali, le agenzie di rating del credito, gli amministratori di indici di riferimento critici, i fornitori di servizi di crowdfunding e altre categorie di operatori rilevanti per il funzionamento del mercato finanziario.
Si tratta, dunque, di una disciplina che investe una pluralità di soggetti accomunati non dalla forma giuridica, ma dall’esercizio di attività la cui compromissione digitale può produrre effetti economici e sistemici significativi.
Accanto alle entità finanziarie, il Regolamento DORA attribuisce un ruolo sempre più rilevante anche ai fornitori terzi di servizi TIC, in quanto la continuità dei servizi finanziari dipende in misura crescente dalla supply chain tecnologica. Pur restando la responsabilità primaria in capo all’entità finanziaria, il DORA incide direttamente anche sulla dimensione contrattuale, organizzativa e ispettiva dei rapporti con i provider tecnologici, soprattutto quando questi supportano funzioni essenziali o importanti.
Il D. Lgs. 23/2025 e l’adeguamento dell’ordinamento italiano al DORA
Con il D. Lgs. 10 marzo 2025, n. 23 il legislatore italiano ha armonizzato il quadro interno per renderlo compatibile con le disposizioni del Regolamento DORA. Il decreto delegato non riproduce il contenuto del regolamento europeo, che è direttamente applicabile, ma detta una disciplina “di raccordo” volta a individuare le autorità competenti, estendere talune disposizioni a soggetti dell’ordinamento nazionale e integrare il sistema dei poteri di vigilanza e delle sanzioni. Abbiamo pubblicato sul tema anche unospecifico approfondimento.
Sotto questo profilo, la novella interviene sui testi unici di settore — in particolare TUB, TUF, CAP e D. Lgs. n. 252/2005.
L’art. 3 individua qualiAutorità competenti DORAla Banca d’Italia, la Consob, l’IVASS e la COVIP, ciascuna in relazione ai soggetti già vigilati secondo i rispettivi ambiti di competenza, mentre gli artt. 4 e 5 disciplinano il sistema nazionale di ricezione delle segnalazioni di gravi incidenti TIC e il coordinamento con l’Agenzia per la cybersicurezza nazionale e con CSIRT Italia. Particolarmente significativa è inoltre la scelta del legislatore di estendere un perimetro selettivo di obblighi DORA agli intermediari finanziari e a Bancoposta, così da ampliare la portata sostanziale della resilienza operativa digitale anche a soggetti non integralmente coincidenti con il perimetro europeo originario.
Gli obblighi di governance e di gestione del rischio previsti dal Regolamento DORA
Ilcoredella normativa DORA è rappresentato dagli obblighi di governance e digestione del rischio TIC,disciplinati principalmente dagli artt. 5–16 del Regolamento (UE) 2022/2554. Il legislatore europeo ha inteso chiarire come la resilienza operativa digitale debba essere ricondotta alla sfera della responsabilità dell’organo di gestione e, più in generale, al sistema di governo societario dell’entità finanziaria.
In questa prospettiva, il DORA impone ai soggetti obbligati di adottare unquadro interno di gestione del rischioTIC solido, esaustivo, adeguatamente documentato e proporzionato alla natura, alla dimensione e alla complessità dell’attività esercitata.
Tale quadro deve coprire l’intero ciclo di vita dei sistemi e delle funzioni supportate da tecnologie dell’informazione e della comunicazione, includendo la mappatura delle risorse TIC, l’identificazione delle dipendenze interne ed esterne, la classificazione dei rischi, l’adozione di misure di protezione e prevenzione, nonché la predisposizione di procedure di risposta e ripristino.
L’organo di gestione è chiamato ad approvare, vigilare e riesaminare periodicamente le strategie, le politiche e i piani in materia di sicurezza e continuità operativa, assicurando l’allocazione di risorse adeguate e la formazione del personale. In termini di compliance, ciò implica la necessità di verificare la tenuta dell’assetto organizzativo, la coerenza delle policy interne, la corretta distribuzione delle responsabilità e la capacità dell’ente di documentare in modo strutturato il proprio presidio di resilienza operativa digitale, anche ai fini della vigilanza.
Il Regolamento DORA e la gestione degli incidenti informatici
Un ulteriore asse portante della normativa DORA è costituito dalla gestione, classificazione e segnalazione degli incidenti connessi alle tecnologie dell’informazione e della comunicazione. Gli artt. 17–23 del Regolamento (UE) 2022/2554 impongono alle entità finanziarie di istituire procedure strutturate e documentate per rilevare, registrare, classificare e trattare gli incidenti TIC, nonché per gestire le minacce informatiche significative.
La logica sottesa al DORA è quella di superare approcci frammentari o meramente reattivi, imponendo invece un sistema organizzato diincident management,fondato su criteri armonizzati di gravità, su obblighi di escalation interna e su un rapporto costante con le autorità competenti. La classificazione dell’evento deve avvenire sulla base di parametri quali il numero di clienti o controparti coinvolti, la durata dell’interruzione, l’estensione geografica, l’impatto sui dati e la criticità dei servizi colpiti.
Quando l’evento integra la nozione di grave incidente TIC, scattano gli obblighi di notifica all’autorità competente, secondo un modello che prevede una notifica iniziale, eventuali relazioni intermedie e una relazione finale. Il D. Lgs. 23/2025 ha poi precisato, per l’ordinamento italiano, il riparto delle competenze tra Banca d’Italia, Consob, IVASS e COVIP, nonché il coordinamento con CSIRT Italia e con l’Agenzia per la cybersicurezza nazionale.
In termini operativi, la compliance al DORA richiede dunque la predisposizione di procedure interne di classificazione, registri incidenti, flussi decisionali chiari e protocolli di notifica coerenti con il nuovo sistema europeo e nazionale.
Il Regolamento DORA e la gestione dei fornitori terzi di servizi TIC
Tra i profili di maggiore innovazione del Regolamento DORA vi è certamente la disciplina dei rapporti con i fornitori terzi di servizi TIC, oggi divenuti componenti essenziali dell’operatività del settore finanziario. Gli artt. 28–30 del Regolamento (UE) 2022/2554 affrontano in modo diretto il tema della supply chain digitale, muovendo dal presupposto che l’esternalizzazione di servizi informatici, infrastrutturali o cloud non riduce in alcun modo la responsabilità dell’entità finanziaria rispetto agli obblighi di resilienza operativa digitale.
Il DORA chiarisce infatti che il rischio derivante da terzi costituisce una componente integrante del rischio TIC e, come tale, deve essere gestito all’interno del quadro generale di governance e controllo. Le entità finanziarie sono quindi chiamate ad adottare una strategia specifica in materia di rischio da terzi, a mantenere un registro aggiornato degli accordi contrattuali relativi ai servizi TIC e a svolgere valutazioni preventive e periodiche sulla criticità dei fornitori, sui rischi di concentrazione e sulle dipendenze operative.
Di particolare rilievo è l’art. 30 del Regolamento DORA, che individua il contenuto minimo degli accordi contrattuali, imponendo clausole dettagliate in tema di livelli di servizio, localizzazione dei dati, obblighi di assistenza in caso di incidente, cooperazione con le autorità, diritti di audit, condizioni di subappalto e strategie di uscita. Il rapporto con il fornitore tecnologico diviene un ambito di compliance regolatoria, rispetto al quale risulta essenziale un presidio legale capace di integrare profili societari, tecnologici e di sicurezza informatica.
Regolamento DORA, D. Lgs. 23/2025 e sistema sanzionatorio
Gli obblighi di resilienza operativa digitale non hanno carattere meramente programmatico, ma sono assistiti da strumenti di enforcement incisivi, tanto sul piano amministrativo quanto, in via eventuale, sul piano penale. Il fondamento europeo di tale apparato si rinviene negli artt. 50, 51 e 52 del Regolamento (UE) 2022/2554, i quali impongono agli Stati membri di attribuire alle autorità competenti poteri di vigilanza, indagine e sanzione adeguati, nonché di prevederesanzioni amministrativee misure di riparazione effettive, proporzionate e dissuasive. In attuazione di tali previsioni, il D. Lgs. 10 marzo 2025, n. 23, all’art. 10, ha modificato i principali testi normativi settoriali — TUB, TUF, CAP— introducendo un sistema sanzionatorio differenziato per settore, categoria di soggetto vigilato e gravità della violazione.
Il decreto distingue, infatti, tra un primo gruppo di inosservanze considerate più gravi, che attengono essenzialmente ai presidi strutturali di governance, gestione del rischio, segnalazione degli incidenti e testing, e un secondo gruppo di inosservanze concernenti ulteriori obblighi organizzativi, operativi e contrattuali, per i quali sono previste soglie sanzionatorie comunque elevate, ma tendenzialmente inferiori.
Nelsettore bancario e creditiziodisciplinato dal TUB, il nuovo art. 144, commi 8-bis e 8-ter, come introdotto dall’art. 10 del decreto, prevede che, in caso di violazione di specifiche disposizioni del DORA, ovvero in caso di omessa collaborazione o mancato seguito a indagini, ispezioni o richieste esercitate ai sensi dell’art. 8 del medesimo decreto, si applichino sanzioni amministrative pecuniarie di particolare intensità.
Per lebanche, gli intermediari finanziarie i relativi fornitori terzi di servizi TIC, la sanzione può andare da 30.000 euro fino al 10 per cento del fatturato nei casi più gravi di cui al comma 8-bis, e da 30.000 euro fino al 7 per cento del fatturato nei casi di cui al comma 8-ter. Per istituti di pagamento e istituti di moneta elettronica, la disciplina prevede, nei casi più gravi, una sanzione da 30.000 euro fino a 5 milioni di euro, ovvero fino al 10 per cento del fatturato se superiore a 5 milioni.
Accanto alla responsabilità dell’ente, il decreto prevede in modo espresso anche la responsabilità dellepersone fisiche. L’art. 144-ter TUB, come modificato dall’art. 10 del D. Lgs. 23/2025, stabilisce che, salvo che il fatto costituisca reato, quando le violazioni indicate dall’art. 144, commi 8-bis e 8-ter, siano commesse da soggetti che svolgono funzioni di amministrazione, direzione o controllo o dal personale dell’ente, si applichino sanzioni amministrative personali da 5.000 euro fino a 5 milioni di euro per le violazioni più gravi e da 5.000 euro fino a 3,5 milioni di euro per le violazioni meno gravi.
La responsabilità personale non è automatica, ma richiede che l’inosservanza sia conseguenza della violazione di doveri propri o dell’organo di appartenenza e che la condotta abbia inciso in modo rilevante sulla complessiva organizzazione o sui profili di rischio aziendali, ovvero abbia contribuito alla mancata ottemperanza a provvedimenti specifici dell’autorità di vigilanza o all’inosservanza dell’ordine di cessazione previsto dall’art. 50, par. 4, lett. a), del Regolamento DORA.
Una struttura analoga è stata introdotta nelTesto Unico della Finanzamediante il nuovo art. 190-bis.3, inserito dall’art. 10, comma 2, del decreto. Anche in questo caso il legislatore distingue due gruppi di violazioni del DORA.
PerSIM, SGR, SICAV, SICAF, controparti centrali, gestori di mercati regolamentati e relativifornitori terzi di servizi TIC, la sanzione può arrivare, per le violazioni più gravi, fino a 5 milioni di euro oppure fino al 10 per cento del fatturato, se superiore. Per il secondo gruppo di violazioni, i massimali si riducono, rispettivamente, a 3,5 milioni di euro o al 7 per cento del fatturato per SIM, SGR, SICAV, SICAF, controparti centrali e gestori di mercati.
Anche qui è prevista la responsabilità personale degli esponenti e del personale, con sanzioni che, a seconda del soggetto e della fattispecie, possono arrivare fino a 5 milioni, 500.000 euro o 350.000 euro, nonché la sanzione interdittiva accessoria da sei mesi a tre anni e l’elevazione fino al doppio del vantaggio conseguito.
Nelsettore assicurativo, l’art. 10, comma 3, del D. Lgs. 23/2025 modifica il CAP introducendo un sistema sanzionatorio coerente con il modello DORA, ma adattato alla struttura del comparto. Per imprese di assicurazione, imprese di riassicurazione e relativi fornitori terzi di servizi TIC, l’art. 310 CAP, come modificato, ricomprende espressamente tra le violazioni sanzionabili l’inosservanza delle disposizioni DORA e delle relative norme tecniche, nonché l’omessa collaborazione nell’ambito di indagini o ispezioni. Per il secondo gruppo di violazioni, il nuovo comma 1-bis dell’art. 310 prevede una sanzione da 30.000 euro al 7 per cento del fatturato.
A ciò si aggiunge laresponsabilità delle persone fisiche,disciplinata dall’art. 311-sexies CAP, con sanzioni personali da 5.000 euro fino a 5 milioni di euro per le violazioni più gravi e da 5.000 euro fino a 3,5 milioni di euro per quelle meno gravi, oltre alla possibile interdizione da sei mesi a tre anni.
Una disciplina specifica è stata introdotta anche per ilsettore delle cripto-attività, mediante l’inserimento dell’art. 37-bis nel D. Lgs. 129/2024, ad opera dell’art. 10, comma 5, del decreto di adeguamento. Per gli emittenti di token collegati ad attività e i relativi fornitori terzi di servizi TIC, le violazioni più gravi sono punite con una sanzione da 30.000 euro fino a 5 milioni di euro, ovvero, se superiore, fino al 12,5 per cento del fatturato totale annuo; per i prestatori di servizi in cripto-attività, la sanzione arriva fino a 5 milioni di euro oppure, se superiore, fino al 5 per cento del fatturato totale annuo.
Per il secondo gruppo di violazioni, le soglie si riducono rispettivamente al 9 per cento e al 3,50 per cento del fatturato, o a 3,5 milioni di euro. Anche qui il legislatore prevede la responsabilità delle persone fisiche, con sanzioni da 5.000 euro fino a 700.000 euro per le violazioni più gravi e da 5.000 euro fino a 500.000 euro per le altre, oltre alla possibilità di interdizione e all’aumento fino al doppio del vantaggio.
Il sistema delineato dal D. Lgs. 23/2025 non si esaurisce tuttavia nella sola sanzione pecuniaria. L’art. 10, commi 6 e 7, prevede infatti che, quando le violazioni siano connotate da scarsa offensività o pericolosità, le Autorità competenti DORA possano,in alternativa all’irrogazione della sanzione pecuniaria, applicare le misure di cui all’art. 50, par. 4, lett. a) ed e), del Regolamento DORA, vale a dire l’ordine di cessazione del comportamento illecito e la pubblicazione della violazione.
Le Autorità possono altresì richiedere la cessazione temporanea o permanente di qualsiasi pratica o comportamento contrario al Regolamento, in attuazione dell’art. 50, par. 4, lett. b), DORA. Si tratta di misure di riparazione e contenimento che valorizzano la funzione preventiva e conformativa della vigilanza, in linea con la logica europea della resilienza digitale.
Circa il rapporto tra sanzioni amministrative e penali, occorre ricordare che l’art. 52 del Regolamento DORA consente agli Stati membri di prevedere sanzioni penali per le violazioni del Regolamento, anche in luogo delle misure amministrative, purché sia garantito un adeguato coordinamento tra autorità competenti e autorità giudiziarie. Nel sistema italiano la regola generale resta però quella del presidio amministrativo, come emerge dalle numerose clausole “salvo che il fatto costituisca reato” inserite nelle disposizioni sanzionatorie relative alle persone fisiche.
Compliance DORA. Affidati a noi per la gestione degli adempimenti
La compliance alla normativa DORA postula una revisione complessiva degli assetti di governance, dei processi di gestione del rischio, delle procedure di incident reporting, dei rapporti contrattuali con i fornitori terzi di servizi TIC e dei presidi documentali necessari a dimostrare l’effettiva conformità al nuovo quadro normativo.
Proprio per tale ragione, gli adempimenti richiedono il supporto di un professionista in grado di coniugare competenze in materia dicorporate compliance, regolazione di settore, contrattualistica ICT e cybersicurezza.
Il nostro Studio assiste i destinatari della disciplina nella delicata attività di compliance alla normativa DORA, nella governance digitale e della gestione dei rapporti tra impresa e fornitura tecnologica.
Contattaci per un confronto!
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Mar 5, 2026|Diritto d'Impresa
Il Regolamento (UE) 2024/1689, comunemente denominato AI Act, ha introdotto nell’ordinamento dell’Unione europea un quadro giuridico unitario e direttamente applicabile volto a disciplinare l’immissione sul mercato, la messa in servizio e l’uso deisistemi di intelligenza artificiale.
L’AI Act si colloca nel solco delle recenti politiche europee di regolazione del digitale, ma si caratterizza per un’impostazione specificamente orientata a presidiare i rischi che l’impiego dell’IA può determinare per la salute, la sicurezza e i diritti fondamentali tutelati dalla Carta dell’Unione, nonché, in senso più ampio, per la protezione dell’ambiente e per la salvaguardia di valori sistemici quali la democrazia e lo Stato di diritto.
Il presente contributo ha dunque l’obiettivo di offrire una sintesi ragionata deiprincipali adempimentiche l’AI Act impone ai principali soggetti della filiera dell’intelligenza artificiale, con particolare riguardo alle imprese che producono, importano, distribuiscono o utilizzano sistemi di IA nel mercato europeo. L’analisi sarà concentrata sugli obblighi gravanti sugli operatori economici, secondo le definizioni e le categorie introdotte dal Regolamento, e sul correlato regime sanzionatorio, al fine di delineare una cornice di riferimento utile per impostare percorsi dicomplianced’impresa. Rinviamo invece a un nostro precedente contributo per quanto riguarda la normativa nazionale sull’Intelligenza Artificiale (Legge 132/2025).
AI Act: quali imprese sono obbligate?
L’AI Act definisce anzitutto l’ambito soggettivo degli obblighi di conformità, individuando i principali attori della filiera dell’intelligenza artificiale e attribuendo a ciascuno di essi specifiche responsabilità giuridiche.
L’articolo 2 stabilisce che il Regolamento si applica, tra gli altri, ai fornitori che immettono sul mercato o mettono in servizio sistemi di IA o modelli di IA per finalità generali nell’Unione, ai soggetti che utilizzano tali sistemi sotto la propria autorità, nonché agli importatori e ai distributori.
In tale quadro, lanozione di fornitoreè definita dall’articolo 3, punto 3, come la persona fisica o giuridica che sviluppa o fa sviluppare un sistema di IA e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio; mentre il deployer, ai sensi dell’articolo 3, punto 4, è il soggetto che utilizza un sistema di IA nell’ambito di un’attività professionale, pubblica o privata, restando escluso l’uso meramente personale non professionale (art. 2, par. 10).
La disciplina include inoltre figure tipiche del diritto della sicurezza dei prodotti, quali importatori e distributori (art. 3, punti 6 e 7), cui sono attribuiti obblighi di verifica e cooperazione funzionali a prevenire l’immissione sul mercato di sistemi non conformi.
Sotto il profilo operativo, la responsabilità non discende soltanto dalla “titolarità” tecnologica del sistema, ma dal ruolo concretamente svolto nel ciclo di vita del prodotto. Rilevano, in particolare, le nozioni di immissione sul mercato e messa in servizio (art. 3, punti 9 e 11), che segnano il momento in cui un sistema entra nella disponibilità del mercato o viene reso disponibile per il primo uso nell’Unione e, conseguentemente, si attivano gli obblighi di conformità e le correlate responsabilità.
L’AI Act adotta inoltre un criterio diapplicazione sostanzialmente extraterritoriale, poiché si applica anche a fornitori e deployer stabiliti in paesi terzi quando l’output del sistema è utilizzato nell’Unione (art. 2, par. 1, lett. c), imponendo così alle imprese non europee che operano sul mercato UE un adeguamento alle regole dell’AI Act mediante presidi organizzativi e contrattuali idonei.
AI Act erisk-based compliance
L’architettura dell’AI Act è costruita attorno a un criterio di regolazione “a intensità variabile”, fondato sulla valutazione del rischio che un determinato sistema di intelligenza artificiale può determinare per la salute, la sicurezza e i diritti fondamentali.
Nel modello delineato dal Regolamento, il livello più elevato di presidio riguarda lepratiche vietate, disciplinate dall’articolo 5, che il legislatore reputa incompatibili con i valori dell’Unione e pertanto sottratte a qualsiasi bilanciamento in termini di mero “risk management”.
Accanto a tali divieti, l’AI Act individua la categoria deisistemi di IA ad alto rischio, la cui qualificazione discende dall’articolo 6 e, in particolare, dall’elencazione dei casi d’uso contenuta nell’Allegato III, nonché dalle ipotesi in cui l’IA costituisce componente di sicurezza di prodotti soggetti a valutazione di conformità secondo la normativa armonizzata dell’Unione. È proprio questa qualificazione a rendere applicabile il nucleo più impegnativo degli obblighi tecnici e documentali del Regolamento.
In termini pratici, l’AI Act disciplina anche il tema, delicatissimo, delle aree “di confine”, prevedendo che taluni sistemi elencati nell’Allegato III possano non essere considerati ad alto rischio quando non presentino un rischio significativo, purché tale valutazione sia documentata dal fornitore, con conseguente obbligo di registrazione nei casi previsti (art. 6, parr. 3 e 4).
Obblighi del fornitore nell’AI Act e sistemi di IA ad alto rischio
Nel sistema dell’AI Act, sul fornitore del sistema di intelligenza artificiale si concentra il nucleo primario degli obblighi di conformità, tanto sotto il profilo tecnico quanto sotto quello organizzativo e documentale.
L’articolo 16 delRegolamento 20254/1689elenca in modo puntuale gli adempimenti che qualificano la responsabilità del fornitore lungo l’intero ciclo di vita del sistema, imponendo, tra l’altro, di garantire la conformità ai requisiti del Capo III, sezione 2, di istituire un sistema di gestione della qualità, di conservare la documentazione e di assicurare che il sistema sia sottoposto alla procedura di valutazione della conformità prima dell’immissione sul mercato o della messa in servizio.
Il contenuto sostanziale di tale conformità è definito dagli articoli 8–15, che stabiliscono irequisiti applicabili ai sistemi di IA ad alto rischio.In primo luogo, il fornitore deve istituire e mantenere un sistema di gestione dei rischi quale processo iterativo e continuo, destinato a identificare i rischi prevedibili, valutarne la probabilità e gravità e adottare misure di mitigazione adeguate, includendo attività di prova e convalida prima dell’immissione sul mercato (articolo 9).
Sul piano della qualità informativa e della non discriminazione, assume rilievo decisivo la disciplina sulla governance dei dati: i dataset di addestramento, convalida e prova devono essere pertinenti, rappresentativi e, per quanto possibile, esenti da errori e distorsioni, con presidi specifici volti a individuare e attenuare bias suscettibili di incidere su salute, sicurezza e diritti fondamentali (articolo 10).
A ciò si aggiungono gli obblighi di predisporre una documentazione tecnica idonea a dimostrare la conformità del sistema (articolo 11), di garantire la registrazione automatica degli eventi (log) per assicurare tracciabilità e supporto al monitoraggio (articolo 12), nonché di fornire ai deployer informazioni chiare e istruzioni d’uso che consentano un impiego appropriato e una corretta interpretazione degli output (articolo 13).
L’AI Act richiede inoltre che il sistema sia progettato per consentire unasorveglianza umanaeffettiva e proporzionata ai rischi, includendo la possibilità di annullare o interrompere l’output del sistema in situazioni critiche (articolo 14), e impone requisiti specifici di accuratezza, robustezza e cibersicurezza, con riferimento anche alle vulnerabilità tipiche dei sistemi di IA, quali attacchi di data poisoning o adversarial examples (articolo 15).
Obblighi del deployer nell’AI Act
Se il fornitore è chiamato a garantire la conformità “a monte” del sistema, l’AI Act attribuisce aldeployer– ossia al soggetto che utilizza il sistema di IA sotto la propria autorità – un insieme di obblighi funzionali a governare correttamente l’impiego “a valle” della tecnologia, prevenendo rischi che possono emergere nel contesto d’uso concreto.
Tali obblighi sono disciplinati principalmente dall’articolo 26, che impone aideployerdi adottare misure tecniche e organizzative idonee a garantire l’utilizzo dei sistemi di IA ad alto rischio in conformità alle istruzioni per l’uso fornite dal produttore, preservando così la coerenza tra finalità prevista, condizioni operative e presidi di sicurezza.
Elemento qualificante della disciplina è la sorveglianza umana, che il deployer deve affidare a persone fisiche dotate di competenza, formazione e autorità adeguate, assicurando che l’organizzazione disponga delle risorse necessarie per monitorare l’operatività del sistema, individuare eventuali anomalie e, se del caso, intervenire per ignorare o ribaltare gli output quando ciò sia necessario per prevenire effetti dannosi.
Inoltre, nella misura in cui eserciti ilcontrollo sui dati di input, ildeployerè tenuto a garantire che essi siano pertinenti e sufficientemente rappresentativi rispetto alla finalità prevista del sistema, poiché la qualità dei dati utilizzati in esercizio può incidere in modo significativo sulle prestazioni, sui bias e, in definitiva, sulla conformità sostanziale del sistema nel contesto applicativo.
Il Regolamento impone poi un obbligo di monitoraggio del funzionamento e di cooperazione informativa: quando ildeployerabbia motivo di ritenere che l’uso del sistema, anche se conforme alle istruzioni, possa comportare la configurazione di un rischio rilevante, esso deve informare senza indebito ritardo il fornitore o il distributore e la competente autorità di vigilanza del mercato, sospendendo l’uso del sistema; in presenza di un incidente grave, deve informare immediatamente il fornitore e, successivamente, gli altri operatori rilevanti e le autorità competenti.
Il quadro si completa, in alcuni casi, con obblighi informativi in ambito lavoristico, qualora il sistema sia utilizzato sul luogo di lavoro, e con il possibile raccordo con le valutazioni d’impatto in materia di protezione dei dati, quando l’uso del sistema lo richieda.
Importatori, distributori e responsabilità nella supply chain
Nel disegno dell’AI Act, la conformità dei sistemi intelligenti non è affidata esclusivamente al fornitore e al deployer, ma viene presidiata anche dai soggetti che operano nellacatena di approvvigionamentoe che rendono concretamente possibile la circolazione dei sistemi sul mercato dell’Unione.
In tale prospettiva, gli importatori e i distributori assumono un ruolo di controlloex ante, funzionale a prevenire che sistemi di IA ad alto rischio non conformi siano immessi o messi a disposizione nel mercato interno.
L’articolo 23 stabilisce che, prima di immettere sul mercato un sistema di IA ad alto rischio, l’importatore deve verificare che il fornitore abbia eseguito la procedura di valutazione della conformità prevista dall’articolo 43, che sia stata predisposta la documentazione tecnica ai sensi dell’articolo 11, che il sistema rechi la marcatura CE e sia accompagnato dalla dichiarazione UE di conformità di cui all’articolo 47, nonché dalle istruzioni per l’uso.
L’importatore deve inoltre accertare, ove applicabile, che sia stato nominato un rappresentante autorizzato conformemente all’articolo 22, elemento che assume particolare rilievo nei casi in cui il fornitore sia stabilito in un paese terzo.
La disciplina impone all’importatore anche un dovere di diligenza rafforzata nella fase pre-commerciale: qualora esso abbia motivo sufficiente di ritenere che il sistema non sia conforme, ovvero sia falsificato o accompagnato da documentazione non autentica, non può procedere all’immissione sul mercato fino a quando la non conformità non sia sanata; e, se il sistema presenti un rischio, deve informare il fornitore, il rappresentante autorizzato e le autorità di vigilanza del mercato.
A ciò si aggiungono obblighi di tracciabilità e cooperazione, tra cui l’indicazione dei propri dati identificativi sul sistema o sulla documentazione di accompagnamento, la garanzia che condizioni di stoccaggio e trasporto non compromettano la conformità, nonché la conservazione, per un periodo prolungato, della documentazione essenziale e la collaborazione con le autorità competenti su richiesta motivata.
Analogamente, il distributore è tenuto, prima di mettere a disposizione sul mercato un sistema di IA ad alto rischio, a verificare la presenza della marcatura CE, della dichiarazione UE di conformità e delle istruzioni per l’uso, nonché il rispetto, da parte del fornitore e dell’importatore, degli obblighi identificativi e del sistema di gestione della qualità ove richiesto.
Qualora ritenga, sulla base delle informazioni disponibili, che il sistema non sia conforme ai requisiti del Capo III, sezione 2, non può metterlo a disposizione e deve informare tempestivamente i soggetti rilevanti, adottando misure correttive o cooperando affinché esse siano adottate; in presenza di un rischio, sorge anche un obbligo di informazione alle autorità competenti.
Rebrandinge modifiche sostanziali. Le prospettive dell’AI Act
Uno dei profili più rilevanti, e spesso sottovalutati nella prassi commerciale, concerne l’ipotesi in cui un soggetto che, in origine, non è qualificabile come fornitore ai sensi dell’AI Act finisca per assumere, per effetto di determinate condotte, la piena responsabilità del provider e, conseguentemente, l’intero fascio di obblighi di conformità.
L’articolo 25 delRegolamento (UE) 2024/1689disciplina espressamente tali fattispecie, stabilendo che distributori, importatori, deployer o altri terzi sono considerati fornitori di un sistema di IA ad alto rischio e sono dunque soggetti agli obblighi del fornitore di cui all’articolo 16 quando appongono il proprio nome o marchio su un sistema già immesso sul mercato o messo in servizio, quando apportano una modifica sostanziale al sistema, oppure quando mutano la finalità prevista di un sistema precedentemente non qualificato come ad alto rischio in modo tale da farlo rientrare nella categoria dei sistemi ad alto rischio ai sensi dell’articolo 6.
Per le imprese, la portata applicativa di tale previsione è particolarmente incisiva perché trasforma operazioni frequenti – quali il rebranding di soluzioni “white label”, l’integrazione di componenti di IA in prodotti esistenti, l’adattamento funzionale del sistema per nuovi casi d’uso – in scelte potenzialmente idonee a far scattare l’assunzione di responsabilità tipiche del fornitore.
In termini di AI Act compliance, ciò implica che l’operatore che“diventa” fornitoredeve presidiare la documentazione tecnica (art. 11), le procedure di valutazione della conformità (art. 43) e l’intero apparato di requisiti del Capo III, sezione 2, oltre alle correlate attività correttive e di cooperazione con le autorità, secondo la logica complessiva dell’articolo 16.
Il legislatore europeo, consapevole delle asimmetrie informative lungo la filiera, prevede inoltre che, in tali ipotesi, il fornitore originario non sia più considerato fornitore “di quel determinato sistema” e debba cooperare strettamente con il nuovo fornitore, mettendo a disposizione le informazioni necessarie e un accesso tecnico ragionevolmente atteso per consentire l’adempimento degli obblighi di conformità.
In parallelo, l’AI Act valorizza la dimensione contrattuale dellacatena del valore, imponendo che i rapporti tra fornitore del sistema ad alto rischio e terzi che forniscono componenti o servizi integrati siano regolati da un accordo scritto idoneo a disciplinare informazioni, capacità e accesso tecnico necessari allacompliance(art. 25, par. 4).
Valutazione della conformità, dichiarazione UE, marcatura CE e registrazioni nell’AI Act
Lacomplianceprevista dall’AI Act assume una dimensione eminentemente documentale e procedurale. Il perno del sistema è rappresentato dallavalutazione della conformitàdisciplinata dall’articolo 43, che individua le procedure applicabili in funzione della tipologia del sistema e del quadro tecnico-normativo di riferimento.
Il Regolamento prevede, in taluni casi, un controllo interno del fornitore secondo le modalità dell’allegato VI, mentre in altri richiede il coinvolgimento di un organismo notificato (allegato VII), soprattutto quando non siano disponibili norme armonizzate o specifiche comuni, ovvero quando il fornitore non le abbia applicate integralmente.
La logica sottesa è quella di un presidioex anteche, analogamente alla disciplina della sicurezza dei prodotti, condiziona l’accesso al mercato dell’Unione al superamento di un percorso di verifica coerente con i rischi del sistema.
La procedura di conformità si completa, sul piano degli atti formali, con l’obbligo per il fornitore di redigere unadichiarazione UE di conformitàai sensi dell’articolo 47, documento nel quale il fornitore attesta che il sistema di IA ad alto rischio soddisfa i requisiti applicabili dell’AI Act e che deve essere conservato e reso disponibile alle autorità competenti per un periodo esteso.
La dichiarazione costituisce, per così dire, l’assunzione esplicita di responsabilità del fornitore rispetto alla conformità del sistema, e rileva anche nei rapporti contrattuali e nelle attività didue diligence, poiché consente a importatori, distributori edeployerdi verificare l’esistenza del presupposto formale della legittima commercializzazione.
A valle della dichiarazione, l’articolo 48 disciplina lamarcatura CE, imponendone l’apposizione in modo visibile e leggibile, anche in formato digitale quando il sistema sia fornito digitalmente, e prevedendo l’indicazione del numero identificativo dell’organismo notificato quando quest’ultimo sia intervenuto nella procedura.
Accanto a tali presidi, il Regolamento introduce, in determinati casi, obblighi diregistrazione nella banca datidell’Unione, disciplinati dall’articolo 49, che impongono al fornitore, o al rappresentante autorizzato ove applicabile, di registrarsi e registrare il sistema prima dell’immissione sul mercato o della messa in servizio, e al deployer pubblico di registrare l’uso quando previsto.
Le sanzioni previste dall’AI Act. Cosa rischiano le imprese?
L’articolo 99 del Regolamento (UE) 2024/1689 demanda agli Stati membri la definizione delle norme interne in materia di sanzioni e misure di esecuzione, chiarendo tuttavia che tali misure devono essere effettive, proporzionate e dissuasive, e in linea con le soglie previste dal Regolamento.
La soglia più elevata è riservata alla violazione dei divieti relativi allepratiche di IA vietate,di cui all’articolo 5, per le quali l’articolo 99, paragrafo 3, prevede sanzioni amministrative pecuniarie fino a 35.000.000 di euro o, se l’autore è un’impresa, fino al 7% del fatturato mondiale annuo complessivo dell’esercizio precedente, se superiore.
Un secondo livello sanzionatorio, previsto dall’articolo 99, paragrafo 4, riguarda la non conformità a una serie diobblighi strutturalidell’AI Act, tra cui quelli dei fornitori (art. 16), dei rappresentanti autorizzati (art. 22), degli importatori (art. 23), dei distributori (art. 24), dei deployer (art. 26), nonché gli obblighi di trasparenza ex articolo 50, con sanzioni fino a 15.000.000 di euro o fino al 3% del fatturato mondiale annuo.
Un terzo livello, infine, colpisce la fornitura diinformazioni inesatte, incomplete o fuorviantialle autorità competenti o agli organismi notificati, con sanzioni fino a 7.500.000 di euro o fino all’1% del fatturato mondiale annuo (art. 99, par. 5), ferma la regola di mitigazione per PMI e start-up.
Ai fini della quantificazione della sanzione, l’AI Act impone una valutazione caso per caso che tenga conto, tra l’altro, della natura, gravità e durata della violazione, del numero di persone interessate, del grado di cooperazione dell’operatore, delle misure tecniche e organizzative adottate e dell’eventuale carattere doloso o colposo della condotta, nel rispetto delle garanzie procedurali e del diritto a un ricorso effettivo.
Consulenza legale in materia di Intelligenza Artificiale. Rivolgiti a noi
La conformità all’AI Act richiede un sapiente approccio che coniughi conoscenza della normativa, governance organizzativa e conoscenza della tecnologia. Ilnostro Studiosupporta le imprese e le start-up nella delicata attività di compliance e nella predisposizione della documentazione e delle procedure richieste dal Regolamento (UE) 2024/1689, nonché nella gestione dei profili di rischio connessi a trasparenza, cybersecurity e responsabilità.
Contattaci per un confronto!
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Mar 3, 2026|Diritto d'Impresa
La normativa CER, introdotta a livello europeo con la Direttiva (UE) 2022/2557 e recepita nell’ordinamento italiano con ilD. Lgs. 4 settembre 2024, n. 134, si inserisce nel più ampio processo di rafforzamento della resilienza delle infrastrutture e dei servizi essenziali nel mercato interno. Fondata sull’art. 114 TFUE, la disciplina mira a garantire la continuità delle funzioni vitali della società e dell’economia attraverso un modello regolatorio che supera la tradizionale logica di protezione statica dell’infrastruttura e adotta una prospettiva dinamica, orientata alla capacità del soggetto di prevenire, assorbire, gestire e ripristinare eventi perturbativi di natura fisica, naturale o ibrida.
L’obiettivo del presente contributo è quello di offrire una panoramica degliobblighi di conformitàderivanti dalla normativa CER, con particolare attenzione alle attività che i soggetti individuati dalle Autorità sono chiamati a pianificare e integrare nei propri assetti organizzativi.
L’analisi si concentrerà, in chiave operativa, sulle implicazioni giuridiche e gestionali della disciplina, evidenziando la necessità di un processo continuo di valutazione del rischio, adeguamento organizzativo e responsabilizzazione interna.
Individuazione dei destinatari della normativa CER
Pe i destinatari della normativa CER, l’insorgenza degli obblighi di conformità è strettamente collegata al procedimento di individuazione del soggetto critico disciplinato dagli artt. 6 e 7 dellaDirettiva (UE) 2022/2557e recepito, nell’ordinamento italiano, dagli artt. 8 e 9 del D. Lgs. 4 settembre 2024, n. 134.
In particolare, l’art. 8 del decreto affida alleAutorità Settoriali Competenti(ASC), sotto il coordinamento del Punto di contatto unico istituito ai sensi dell’art. 5, co. 5, il compito di individuare gli enti che forniscono servizi essenziali e la cui eventuale perturbazione produrrebbe effetti negativi rilevanti sulla continuità del servizio.
L’inclusione nell’elenco adottato con DPCM, ai sensi dell’art. 8, co. 4, non soggetto a pubblicazione e sottratto all’accesso, è seguita dalla notifica individuale al soggetto interessato; da tale momento decorre il termine di dieci mesi per l’applicazione degli obblighi di cui aiCapi III e IV del decreto(art. 8, co. 5).
La notifica è un atto amministrativo a effetti costitutivi, che determina l’assoggettamento dell’ente al regime speciale previsto dalla normativa CER, inclusi gli obblighi di valutazione del rischio (art. 13) e di adozione delle misure di resilienza (art. 14).
In termini operativi, la ricezione della comunicazione impone l’attivazione di un processo interno di adeguamento, volto a delimitare il perimetro dei servizi essenziali coinvolti, a mappare le infrastrutture e le risorse strategiche e a verificare le interdipendenze intersettoriali e transfrontaliere, in coerenza con i criteri di cui all’art. 9 del decreto.
In questa fase assume rilievo anche l’analisi delle catene di fornitura e dei rapporti contrattuali critici, poiché la responsabilità dell’ente, nel quadro della normativa CER, si estende alla capacità di garantire la continuità del servizio in presenza di vulnerabilità derivanti da soggetti terzi.
Normativa CER e assetto di governance: responsabilità dell’organo amministrativo e dei suoi componenti
Nel delineare gli obblighi a carico dei soggetti critici, la normativa CER presuppone un adeguamento sostanziale degliassetti organizzativi.Sebbene il D. Lgs. 134/2024 non introduca una figura autonoma di “responsabile della resilienza”, l’art. 14, co. 3, impone espressamente al soggetto critico di designare un referente per i rapporti con l’Autorità Settoriale Competente e con il Punto di contatto unico, configurando così un obbligo di formalizzazione interna delle responsabilità.
Tale previsione si inserisce in un più ampio quadro di accountability organizzativa, coerente con l’art. 13 della Direttiva (UE) 2022/2557, che richiede l’adozione dimisure adeguate e proporzionatesulla base della valutazione del rischio.
Sul piano sistematico, l’adeguamento richiesto dalla normativa CER incide direttamente sulle responsabilità dell’organo amministrativo, il quale, ai sensi dell’art. 2086, co. 2, c.c., è tenuto a istituire assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell’impresa.
L’inclusione nell’elenco dei soggetti critici comporta dunque la necessità di integrare tali assetti con procedure specifiche di gestione della resilienza, flussi informativi interni, meccanismi di reporting e protocolli di escalation in caso di incidente. In presenza di un Modello di organizzazione, gestione e controllo ex D. Lgs. 231/2001, si impone una verifica di coerenza tra il sistema di prevenzione dei reati e le nuove esigenze di continuità operativa e protezione delle infrastrutture.
Normativa CER e valutazione del rischio
Uno degli snodi centrali della normativa CER risiede nell’obbligo di effettuare una valutazione del rischio a carico del soggetto critico, previsto dall’art. 12 della Direttiva.
In base a tale disposizione, entro nove mesi dalla notifica di individuazione ai sensi dell’art. 8, co. 5, il soggetto è tenuto a svolgere una propriarisk assessment,da aggiornare almeno ogniquattro anni, tenendo conto della valutazione del rischio nazionale elaborata ai sensi dell’art. 7 del decreto. La normativa CER impone che l’analisi consideri rischi naturali e di origine umana, minacce ibride, atti di sabotaggio o terrorismo, emergenze sanitarie e interdipendenze intersettoriali e transfrontaliere, secondo un approccio espressamente multi-rischio.
Sotto il profilo operativo, la valutazione del rischio non può risolversi in un documento meramente descrittivo, ma deve fondarsi su una mappatura puntuale dei servizi essenziali erogati, degli asset fisici e organizzativi coinvolti e delle catene di fornitura critiche.
L’art. 13, co. 2, del decreto consente di valorizzare valutazioni già effettuate ai sensi di normative settoriali, purché coerenti con le finalità della normativa CER; ciò impone un’attività di integrazione e armonizzazione con eventualirisk assessmentpredisposti ai sensi della disciplina di attuazione della Direttiva (UE) 2022/2555 (NIS 2) o di altre regolazioni speciali.
Normativa CER e misure di resilienza: protezione fisica, continuità operativa e gestione delle crisi
Per i destinatari della normativa CER, una volta effettuata la valutazione del rischio ai sensi dell’art. 13 del D. Lgs. 134/2024, si apre la parantesi dell’adozione di misure tecniche, organizzative e di sicurezza adeguate e proporzionate alla natura delle minacce individuate.
L’art. 13 della Direttiva (UE) 2022/2557 e il corrispondente art. 14 del decreto di recepimento stabiliscono che tali misure debbano essere finalizzate alla prevenzione degli incidenti, alla protezione fisica dei siti e delleinfrastrutture critiche, alla gestione delle crisi e alla garanzia della continuità operativa. La normativa CER richiede – in sostanza – un presidio reattivo e la costruzione di un sistema integrato di resilienza, capace di assicurare la prosecuzione del servizio essenziale anche in presenza di eventi perturbativi significativi.
In termini applicativi, ciò comporta la revisione dei sistemi di controllo degli accessi, dei protocolli di sicurezza perimetrale e delle procedure di protezione delle infrastrutture sensibili.
Parallelamente, assume rilievo la predisposizione dipiani di continuità operativae digestione delle crisi, che individuino ruoli, responsabilità, tempi di risposta e soluzioni alternative per il mantenimento dei servizi essenziali. L’art. 14, co. 4, prevede inoltre che le misure confluiscano in un piano di resilienza formalizzato e aggiornato almeno ogni tre anni, il quale costituisce il fulcro attraverso cui il soggetto critico dimostra la propria conformità alla normativa CER, anche in sede di vigilanza da parte delle Autorità competenti.
Normativa CER e misure di resilienza
La normativa CER, una volta effettuata la valutazione del rischio ai sensi dell’art. 13 del D. Lgs. 134/2024, impone al soggetto critico l’adozione di misure tecniche, organizzative e di sicurezza adeguate e proporzionate alla natura delle minacce individuate. L’art. 13 della Direttiva (UE) 2022/2557 e il corrispondente art. 14 del decreto di recepimento stabiliscono che tali misure debbano essere finalizzate alla prevenzione degli incidenti, alla protezione fisica dei siti e delle infrastrutture critiche, alla gestione delle crisi e alla garanzia della continuità operativa.
La normativa CER, dunque, non si limita a richiedere un presidio reattivo, ma pretende la costruzione di un sistema integrato di resilienza, capace di assicurare la prosecuzione del servizio essenziale anche in presenza di eventi perturbativi significativi.
In termini applicativi, ciò comporta la revisione dei sistemi di controllo degli accessi, dei protocolli di sicurezza perimetrale e delle procedure di protezione delle infrastrutture sensibili, in coerenza con quanto richiesto dall’art. 14, co. 1 e 2, del D. Lgs. 134/2024. Parallelamente, assume rilievo la predisposizione di piani di continuità operativa e di gestione delle crisi, che individuino ruoli, responsabilità, tempi di risposta e soluzioni alternative per il mantenimento dei servizi essenziali.
L’art. 14, co. 4, prevede inoltre che le misure confluiscano in un piano di resilienza formalizzato e aggiornato almeno ogni tre anni, il quale costituisce il documento cardine attraverso cui il soggetto critico dimostra la propria conformità alla normativa CER, anche in sede di vigilanza da parte delle Autorità competenti.
Normativa CER e NIS 2: integrazione tra resilienza fisica e sicurezza cibernetica
La normativa CER si colloca in un quadro regolatorio europeo caratterizzato da una stretta interrelazione tra sicurezza fisica e sicurezza cibernetica. L’art. 1, par. 2, della Direttiva (UE) 2022/2557 impone espressamente agli Stati membri di assicurare un’attuazione coordinata con la Direttiva (UE) 2022/2555 (NIS 2), in considerazione della relazione funzionale tra la resilienza delle infrastrutture e la protezione delle reti e dei sistemi informativi.
In modo speculare, l’art. 2, par. 3, e l’art. 3 dellaNIS 2qualificano i soggetti individuati come critici ai sensi della normativa CER quali “soggetti essenziali”, rendendo loro applicabili gli obblighi di gestione del rischio informatico e di notifica degli incidenti previsti dal quadro NIS.
Il legislatore italiano ha recepito tale principio di complementarità all’art. 1, co. 2, del D. Lgs. 134/2024, chiarendo che le misure di cybersicurezza restano disciplinate dalla normativa nazionale di attuazione della NIS 2, evitando duplicazioni.
Sul piano operativo, la coesistenza dei due regimi impone un’attività di integrazione procedurale e organizzativa. I soggetti critici devono armonizzare le rispettive valutazioni del rischio, coordinare le funzioni responsabili della sicurezza fisica e della sicurezza informatica e predisporre flussi informativi interni coerenti con i diversi obblighi di notifica.
L’adozione di documenti separati ma non coordinati espone al rischio di lacune o sovrapposizioni, soprattutto in presenza di incidenti ibridi che producano effetti sia fisici sia digitali.
Normativa CER e obblighi di notifica
Tra gli adempimenti di maggiore impatto operativo previsti dalla normativa CER rientra l’obbligo di notifica degli incidenti rilevanti, disciplinato dall’art. 15 della Direttiva (UE) 2022/2557 e recepito nell’ordinamento italiano dall’art. 16 del D. Lgs. 134/2024.
La disposizione impone al soggetto critico di comunicare senza indebito ritardo all’Autorità Settoriale Competentee al Punto di contatto unico gli incidenti che perturbano o possono perturbare in modo significativo la fornitura del servizio essenziale.
La normativa nazionale specifica una scansione temporale precisa: notifica iniziale, salvo impossibilità operativa, entro ventiquattro ore dalla conoscenza dell’evento, cui può seguire una relazione dettagliata entro trenta giorni (art. 16, co. 2). La significatività dell’incidente è valutata secondo parametri oggettivi, quali il numero di utenti coinvolti, la durata della perturbazione e l’area geografica interessata (art. 16, co. 3).
In termini organizzativi, la normativa CER impone la predisposizione preventiva di procedure interne di escalation e di modelli di comunicazione che consentano di rispettare i termini stringenti previsti dalla legge. È necessario definire soglie interne di allerta, flussi informativi tra funzioni operative e vertice aziendale, nonché meccanismi di conservazione e tracciabilità delle evidenze documentali relative all’evento. La mancata o tardiva notifica costituisce violazione sanzionabile ai sensi dell’art. 21 del D. Lgs. 134/2024, con possibili riflessi anche reputazionali.
Controlli delle Autorità, poteri ispettivi e preparazione alla verifica
La normativa CER attribuisce alle Autorità Settoriali Competenti poteri di vigilanza penetranti, volti a verificare l’effettiva attuazione degli obblighi imposti ai soggetti critici. L’art. 21 della Direttiva (UE) 2022/2557 e, in sede di recepimento, l’art. 20 del D. Lgs. 134/2024 prevedono che le Autorità possano effettuareispezioni in locopresso infrastrutture e siti critici, svolgere attività di vigilanza documentale e richiedere informazioni e prove circa l’adozione delle misure di resilienza. È altresì contemplata la possibilità di disporre verifiche tramite revisori indipendenti, con oneri a carico del soggetto vigilato (art. 20, co. 2).
Il sistema è strutturato secondo il principio di proporzionalità, ma si fonda su un obbligo pieno di collaborazione da parte dell’ente, la cui inosservanza integra una specifica violazione sanzionabile ai sensi dell’art. 21, co. 3.
La mancata ottemperanza agli obblighi sostanziali previsti dalla normativa CER è sanzionata, ai sensi dell’art. 21, co. 1 e 2, consanzioni amministrative pecuniariecomprese tra 25.000 e 125.000 euro, mentre l’inosservanza degli obblighi informativi o documentali può comportare sanzioni da 10.000 a 50.000 euro, con possibili aggravamenti in caso di reiterazione.
In prospettiva operativa, la normativa CER impone ai soggetti critici di organizzare la propria documentazione in modo coerente e costantemente aggiornato, al fine di dimostrare, ancheex post, la correttezza del percorso di adeguamento. Ciò implica la predisposizione di dossier di conformità, la tracciabilità delle decisioni assunte in materia di sicurezza e la formalizzazione delle verifiche interne periodiche. L’art. 20, co. 4–6, del D. Lgs. 134/2024 prevede inoltre che, in caso di irregolarità, l’Autorità possa adottare diffide e prescrivere misure correttive entro un termine definito.
Compliance e assistenza legale per soggetti CER e infrastrutture critiche. Rivolgiti al nostro Studio
L’esperienza maturata nell’ambito dellacorporate compliancee dellacybersicurezzaconsente di affrontare in modo integrato gli adempimenti derivanti dalla normativa CER, coordinando la resilienza fisica con la sicurezza informatica e con gli obblighi di gestione del rischio aziendale. Un approccio metodico, fondato su analisi documentale, gap analysis, strutturazione dei processi interni e formazione dei vertici e del personale, permette di trasformare gli obblighi della normativa CER in un percorso ordinato di adeguamento e di rafforzamento organizzativo.
Contattaci per un confronto!
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Feb 24, 2026|Diritto d'Impresa
Una nuova tassonomia degli incidenti o una conferma di quella già esistente? Con la pubblicazione nellaGazzetta Ufficiale del 17 febbraio 2026della determinazione adottata il 9 febbraio 2026 dall’Agenzia per la Cybersicurezza Nazionale, è stata formalmente introdotta la nuova tassonomia degli incidenti ai sensi dell’art. 1 dellaLegge 28 giugno 2024, n. 90.
Si tratta di un passaggio di particolare rilievo nel processo di attuazione del quadro nazionale di cybersicurezza, poiché l’atto dell’Autorità definisce in via tecnica e vincolante le categorie di eventi informatici che devono essere oggetto di segnalazione e notifica da parte dei soggetti obbligati. La nuova tassonomia degli incidenti assume una funzione di rilievo, incidendo direttamente sulle procedure interne di gestione del rischio cyber.
L’intervento dell’Agenzia si colloca in un contesto normativo già strutturato dal Decreto legislativo 4 settembre 2024, n. 138, attuativo della direttiva NIS 2, e si inserisce in un disegno di progressiva armonizzazione tra la disciplina della legge n. 90 del 2024 e quella del decreto NIS. La tassonomia degli incidenti funge da “raccordo” tra fonti primarie e fonti secondarie, con particolare riguardo a quei soggetti destinatari della Legge 90 e del Decreto NIS 2.
Obiettivo del presente contributo è offrire una sintesi ragionata delle determinazioni adottate dall’Agenzia in materia di tassonomia degli incidenti, illustrando il coordinamento tra la legge n. 90 del 2024 e D. Lgs. 138/2024.
La tassonomia degli incidenti nella Legge 90/2024
La disciplina della tassonomia degli incidenti trova il proprio fondamento nell’art. 1, comma 1, della Legge 28 giugno 2024, n. 90, che ha introdotto in capo ai soggetti ivi individuati un obbligo specifico di segnalazione e notifica degli incidenti aventi impatto su reti, sistemi informativi e servizi informatici (si vedaquiun articolo di approfondimento sul tema).
La norma primaria subordina l’adempimento alla preventiva individuazione degli incidenti da notificare mediante determinazione tecnica del Direttore generale dell’Agenzia per la Cybersicurezza Nazionale (Le pubbliche amministrazioni […]«notificano, con le modalità e nei termini di cui al comma 2 del presente articolo, gli incidenti indicati nella tassonomia, adottata con determinazione tecnica del direttore generale dell’Agenzia per la cybersicurezza nazionale, aventi impatto su reti, sistemi informativi e servizi informatici»).
La tassonomia degli incidenti svolge, pertanto, una funzione regolatoria, poiché delimita l’ambito oggettivo dell’obbligo di segnalazione e consente di distinguere gli eventi meramente interni o fisiologici dalle fattispecie che assumono rilievo ai fini della sicurezza nazionale cibernetica.
Attraverso la previsione di una tassonomia degli incidenti formalmente adottata dall’Autorità, si delinea un parametro oggettivo di riferimento, idoneo a garantire coerenza interpretativa e proporzionalità nell’attivazione dei meccanismi di segnalazione.
La tassonomia degli incidenti nel Decreto NIS 2
La disciplina della tassonomia degli incidenti non può essere compresa appieno senza considerare il quadro delineato dalDecreto legislativo 4 settembre 2024, n. 138.
In particolare, l’art. 31 attribuisce all’Autorità nazionale competente il compito di stabilire obblighi proporzionati in materia di gestione e notifica degli incidenti, tenendo conto del grado di esposizione ai rischi, delle dimensioni del soggetto e della gravità dell’impatto sociale ed economico dell’evento. In tale prospettiva, la tassonomia degli incidenti è lo strumento tecnico attraverso il quale il principio di proporzionalità viene tradotto in categorie operative.
L’Agenzia per la Cybersicurezza Nazionaleha dato attuazione a tali disposizioni, da ultimo, mediante la determinazione n. 379907 del 19 dicembre 2025, che definisce le modalità e le specifiche di base per l’adempimento degli obblighi previsti dal decreto NIS, con particolare riguardo alla gestione degli incidenti significativi.
In tale atto, la tassonomia degli incidenti si differenzia in relazione alla qualificazione dei soggetti come “importanti” o “essenziali”, prevedendo un nucleo comune di fattispecie e, per questi ultimi, un ampliamento delle categorie notificabili. Da ultimo l’Agenzia ha inoltre chiarito come l’obbligo di notifica si inserisce nel contesto del più ampio onere di predisporre una procedura di gestione degli incidenti informatici (sul punto rinviamo al nostroprecedente approfondimento).
La tassonomia degli incidenti e le tipologie di evento da notificare
La determinazione ACN del 9 febbraio 2026 introduce una formale della tassonomia degli incidenti contenuta nell’Allegato A. Tale allegato individua le categorie di eventi informatici che, ove riscontrati, impongono ai soggetti della L. 90/2024 l’attivazione degli obblighi di segnalazione e notifica all’Autorità competente. La tassonomia degli incidenti si articola in tre fattispecie principali, accomunate dalla presenza di eventi che producano un impatto verso l’esterno o che incidano in modo significativo sull’erogazione dei servizi.
La prima categoria (IS-1) concerne la perdita di riservatezza, configurata quale esposizione verso l’esterno di dati digitali di proprietà del soggetto o sui quali esso esercita un controllo, anche solo parziale. La seconda fattispecie (IS-2) riguarda la perdita di integrità, ossia l’alterazione non autorizzata di dati digitali con effetti esterni, tale da compromettere l’affidabilità delle informazioni trattate.
Infine, la terza categoria (IS-3) attiene alla violazione dei livelli di servizio attesi, individuati dal soggetto stesso sulla base dei parametri organizzativi e tecnici interni, e si riferisce a situazioni in cui l’incidente determini un disservizio significativo rispetto agli standard dichiarati.
Attraverso tale articolazione, la tassonomia degli incidenti recepisce le tre dimensioni fondamentali della sicurezza informatica – riservatezza, integrità e disponibilità – traducendole in categorie giuridicamente rilevanti ai fini dell’obbligo di notifica.
Similitudini e differenze con la tassonomia degli incidenti per soggetti importanti ed essenziali
La tassonomia degli incidenti delineata dalla determinazione del 9 febbraio 2026 si colloca all’interno di un quadro regolatorio più ampio, nel quale assume rilievo la distinzione operata dal Decreto legislativo 4 settembre 2024, n. 138 tra soggetti “importanti” e soggetti “essenziali”.
Per i soggetti importanti, la classificazione degli incidenti significativi di base si articola nelle tre categorie IS-1, IS-2 e IS-3, che trovano sostanziale corrispondenza nella tassonomia degli incidenti adottata ai sensi della legge n. 90 del 2024.
Per i soggetti essenziali, invece, l’obbligo di notifica riguarda anche l’ulteriore categoria (IS-4) dell’accesso non autorizzato o all’abuso dei privilegi concessi. Tale estensione riflette la maggiore esposizione di tali soggetti a minacce ad elevato impatto sistemico e la necessità di intercettare anche eventi che, pur non avendo ancora prodotto una perdita di riservatezza o integrità, rivelino una compromissione significativa dei presidi di sicurezza.
La scelta di limitare la tassonomia degli incidenti ex lege 90 alle tre categorie comuni ai soggetti importanti evidenzia la volontà dell’Autorità di allineare e semplificare gli adempimenti dei due testi normativi. Resta tuttavia fermo che tale scelta, per quanto condivisibile, non trova applicazione nei confronti delle pubbliche amministrazioni centrali dello Stato, le quali, qualificandosiex legequali soggetti essenziali ai sensi dell’art. 6, comma 1, lett. e), del Decreto legislativo 4 settembre 2024, n. 138, sono assoggettate alla tassonomia quadripartita prevista per tali soggetti e, conseguentemente, tenute a notificare anche la quarta categoria di incidente relativa all’accesso non autorizzato o all’abuso dei privilegi concessi.
Il coordinamento tra Legge 90 e Decreto NIS 2
La determinazione del 9 febbraio 2026 è stata adottato al precipuo scopo di garantire un’uniformità sostanziale tra gli adempimenti prescritti dall’art. 1 della Legge 90/2024 e quelli imposti dall’art. 25 del Decreto NIS 2.
Un simile coordinamento consente di ritenere assolto l’obbligo previsto dalla legge n. 90 del 2024 qualora la prenotifica e la notifica siano effettuate ai sensi dell’art. 25 del decreto NIS. La tassonomia degli incidenti diviene, pertanto, il perno di un meccanismo di integrazione tra fonti primarie e secondarie, evitando che i soggetti obbligati siano chiamati a duplicare comunicazioni aventi identico contenuto sostanziale.
La tassonomia degli incidenti assume dunque una funzione di raccordo tra la disciplina speciale della legge n. 90 e il più articolato impianto del decreto NIS 2, contribuendo a costruire un sistema delle notifiche unitario.
Tassonomia degli incidenti e procedure di gestione
La tassonomia degli incidenti, così come delineata nelle determinazioni dell’Autorità, incide in modo significativo sugli assetti organizzativi dei soggetti obbligati. La corretta individuazione di un evento riconducibile alle categorie IS-1, IS-2 o IS-3 presuppone, infatti, l’esistenza di procedure interne strutturate, di sistemi di monitoraggio adeguati e di una chiara attribuzione di responsabilità nella gestione dell’incidente.
Particolare rilievo assume, a questo riguardo, la definizione preventiva dei livelli di servizio attesi, che costituisce il parametro di riferimento per l’individuazione della terza categoria di incidente. La misurazione del disservizio non può essere rimessa a valutazioni estemporanee, ma deve fondarsi su criteri oggettivi previamente stabiliti e formalizzati nell’ambito della governance interna. Ne deriva che la tassonomia degli incidenti opera quale catalizzatore di un più ampio processo di maturazione organizzativa, imponendo ai soggetti obbligati di dotarsi di policy, procedure e sistemi di escalation coerenti con gli obblighi notificatori.
Sotto il profilo della responsabilità, la classificazione e la tempestiva notifica degli incidenti assumono rilevanza anche in relazione ai doveri degli organi amministrativi e direttivi, chiamati a garantire ilrispetto delle scadenze, l’adeguatezza dell’assetto organizzativo e dei presidi di sicurezza.
Supporto legale qualificato in materia di sicurezza informatica
Il nostro Studio, grazie all’expertise maturata dall’Avv. Luca D’Agostino, è riconosciuto per fornire assistenza legale in materia di cybersicurezza e compliance NIS 2, supportando imprese e pubbliche amministrazioni nell’analisi degli obblighi derivanti dalla disciplina vigente, nella predisposizione di procedure interne di gestione degli incidenti e nell’adeguamento degli assetti organizzativi ai requisiti previsti dalle determinazioni dell’Autorità.
Contattaci per un confronto!
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Feb 20, 2026|Diritto d'Impresa
Il marchio d’impresa, storicamente, è considerato lo strumento di identificazione, differenziazione e consolidamento della reputazione commerciale. Il segno distintivo consiste in elementi grafici o denominativi capaci di sintetizzare l’identità imprenditoriale, la qualità dei prodotti o dei servizi offerti e la percezione del pubblico di riferimento. I
Invero, la registrazione del marchio consente di attribuire al titolare un diritto di esclusiva sul segno, rafforzando la posizione competitiva dell’impresa e ponendo le basi per una valorizzazione economica del brand anche in termini di licenza, cessione o sfruttamento commerciale.
In assenza di registrazione del marchio, l’uso di fatto del segno espone l’imprenditore a rischi come, ad es., contestazioni di anteriorità, opposizioni o azioni di contraffazione da parte di soggetti che abbiano provveduto a formalizzare il proprio diritto.
Il presente contributo si propone di offrire una guida sintetica alla registrazione del marchio, analizzando le modalità operative previste dalla procedura nazionale dinanzi all’Ufficio Italiano Brevetti e Marchi (UIBM) e dalla procedura europea dinanzi all’EUIPO, con particolare attenzione ai profili che rendono opportuno il supporto professionale di un avvocato.
Cos’è il marchio d’impresa?
Il marchio d’impresa è il segno distintivo che consente di individuare e differenziare sul mercato i prodotti o i servizi di un operatore economico rispetto a quelli offerti da altri soggetti.
La nozione giuridica trova fondamento, nell’ordinamento interno, nell’art. 7 delD.lgs. 10 febbraio 2005, n. 30,recante il Codice della Proprietà Industriale, il quale stabilisce che«possono costituire oggetto di registrazione come marchio d’impresa tutti i segni, in particolare le parole, compresi i nomi di persone, i disegni, le lettere, le cifre, i suoni, la forma del prodotto o della confezione di esso, le combinazioni o le tonalità cromatiche, purché siano atti: a distinguere i prodotti o i servizi di un’impresa da quelli di altre imprese; e ad essere rappresentati nel registro in modo tale da consentire alle autorità competenti ed al pubblico di determinare con chiarezza e precisione l’oggetto della protezione conferita al titolare».
La disciplina nazionale si coordina con il diritto dell’Unione Europea, in particolare con ilRegolamento (UE) 2017/1001sul marchio dell’Unione Europea, che prevede un titolo unitario avente efficacia in tutti gli Stati membri.
La registrazione del marchio presuppone la sussistenza direquisiti sostanziali, primo fra tutti il carattere distintivo, inteso quale capacità del segno di svolgere una funzione identificativa dell’origine imprenditoriale del prodotto o del servizio. Il segno non deve essere descrittivo delle caratteristiche essenziali dei beni o servizi, né generico o divenuto di uso comune nel linguaggio commerciale.
Ulteriori impedimenti assoluti alla registrazione del marchio riguardano, tra l’altro, i segni contrari alla legge, all’ordine pubblico o al buon costume, nonché quelli idonei a trarre in inganno il pubblico circa la natura o la provenienza dei prodotti.
Accanto agli impedimenti assoluti operano gli impedimenti relativi, che attengono alla tutela di diritti anteriori di terzi, quali marchi precedentemente registrati o notori, denominazioni sociali, ditti, insegne e altri segni distintivi. In tali ipotesi, la registrazione del marchio può essere oggetto di opposizione o, successivamente, di azione di nullità.
Quali tutele offre la registrazione del marchio?
La registrazione del marchio attribuisce al titolare un diritto di esclusiva avente ad oggetto il segno così come depositato e registrato, in relazione ai prodotti o ai servizi indicati nelle classi prescelte (sulle classi v.infra). L’oggetto della tutela non si esaurisce nella mera riproduzione identica del marchio, ma si estende anche ai segni che, pur presentando differenze formali, risultino identici o simili sotto il profilo visivo, fonetico o concettuale, qualora sussista un rischio di confusione per il pubblico di riferimento.
La registrazione del marchio consente, pertanto, di impedire non soltanto l’uso di un segno perfettamente coincidente, ma anche di varianti che possano generare un’associazione indebita con l’impresa titolare. A titolo esemplificativo, ove un’impresa registri un marchio denominativo per servizi sanitari in una determinata classe, la tutela coprirà non solo l’uso del medesimo nome da parte di terzi per servizi identici, ma potrà estendersi anche a denominazioni graficamente o foneticamente simili, qualora idonee aingenerare confusionenel consumatore medio.
Analogamente, nel caso di un marchio figurativo composto da un elemento grafico distintivo, la registrazione del marchio consente di contrastare l’adozione di loghi che riproducano in modo sostanzialmente analogo l’impianto iconografico o i tratti essenziali del segno registrato.
La portata della tutela varia in funzione dell’estensione territoriale del titolo e dell’ambito merceologico prescelto. La registrazione del marchio nazionale produce effetti nel territorio dello Stato, mentre la registrazione del marchio dell’Unione Europea garantisce una protezione unitaria in tutti gli Stati membri. In entrambi i casi, il diritto esclusivo attribuisce al titolare la possibilità di agire in sede civile per ottenere l’inibitoria dell’uso illecito, il risarcimento del danno e la rimozione degli effetti della violazione, oltre ad attivare strumenti cautelari volti a prevenire l’aggravarsi del pregiudizio.
Registrazione del marchio a livello nazionale: la procedura dinanzi all’UIBM
A livello nazionale la registrazione del marchio si perfeziona mediante deposito della domanda presso l’Ufficio Italiano Brevetti e Marchi (UIBM), oggi normalmente eseguito attraverso la piattaforma deiServizi OnLine.
In questa fase iniziale, la registrazione del marchio richiede l’indicazione del soggetto richiedente (persona fisica o giuridica), del suo rappresentante (avvocato, procuratore) e del domicilio elettivo per le comunicazioni; qualora vi siano più aventi diritto, la domanda può essere presentata anche in contitolarità, indicando icontitolarie la ripartizione delle rispettive quote, secondo una logicapro quotatipica della comunione sul bene immateriale, utile soprattutto quando il marchio è destinato a essere gestito congiuntamente (ad esempio in iniziative imprenditoriali “a più mani”).
Quanto al contenuto tecnico della domanda, la registrazione del marchio postula la selezione dellatipologia del segno(ad esempio denominativo o figurativo), la sua riproduzione e, ove opportuno, una descrizione neutra del marchio, soprattutto quando l’elemento figurativo presenti caratteristiche che si intendono circoscrivere con precisione.
Elemento fondamentale è poi l’indicazione dei prodotti e servizi per i quali si richiede tutela, mediante selezione delle classi della Classificazione di Nizza e della relativalista merceologica. L’UIBM procederà, dunque, alla verifica preliminare di “ricevibilità” della domanda, volta ad accertare che la la stessa sia compilata nei suoi elementi essenziali.
La domanda telematica si accompagna al pagamento delle somme dovute; sul sito istituzionale è espressamente richiamata, per il deposito telematico, un’imposta di bollo “omnicomprensiva” (indicata in euro 48) e la variabilità delle tasse in funzione del tipo di deposito e del numero delle classi rivendicate.
All’interno di questo perimetro si colloca la procedura accelerata, comunemente denominata “fast track”, che non costituisce un diverso titolo di tutela, ma un diverso “canale” di trattazione amministrativa della domanda di registrazione del marchio.
L’UIBM chiarisce che il fast track è utilizzabile solo per i depositi telematici e segue le regole del deposito telematico quanto a firma digitale, marca da bollo e procedura, aggiungendo che per accedervi il richiedente deve utilizzare esclusivamente i prodotti e servizi inclusi nella vigente classificazione di Nizza presente nel sistema, evitando la scelta “libera”; ciò consente di ridurre i tempi dell’esame di merito, poiché la corrispondenza tra classe e prodotti/servizi viene gestita automaticamente in fase di deposito.
Una volta depositata la domanda, l’UIBM procede all’esame secondo l’ordine cronologico di deposito e distingue una verifica di ricevibilità e un esame di merito, precisando che l’Ufficionon effettua ricerche di anterioritàvolte ad accertare la “novità” del marchio, profilo che resta affidato alla diligenza preventiva del depositante e, soprattutto, al sistema dell’opposizione e alle successive azioni di nullità/contraffazione.
L’esame di merito è volto a verificare che il marchio presenti i requisiti di legge e che i prodotti e servizi siano correttamente indicati e appartenenti alla classe richiesta; in presenza di criticità l’Ufficio trasmette comunicazioni ufficiali (rilievi) al domicilio elettivo, assegnando un termine per replicare o integrare, con la conseguenza che la mancata risposta o una risposta non idonea a superare il rilievo può condurre al rigetto della domanda.
Se la domanda supera l’esame e risulta “registrabile”, viene pubblicata nel Bollettino delle domande registrabili e si apre la fase in cui “chiunque abbia titolo” può opporsi alla registrazione del marchio: l’UIBM indica espressamente che l’opposizione deve essere propostaentro tre mesi dalla pubblicazione; decorso tale termine senza opposizioni, la domanda viene registrata.
Registrazione del marchio a livello europeo: la procedura dinanzi all’EUIPO
La registrazione del marchio può essere richiesta, in alternativa al deposito nazionale, mediante presentazione di una domanda di marchio dell’Unione Europea presso l’European Union Intellectual Property Office (EUIPO). La differenza sostanziale rispetto alla registrazione del marchio nazionale risiede nella natura unitaria del titolo: ilmarchio UEproduce effetti simultaneamente in tutti gli Stati membri dell’Unione Europea e costituisce un diritto indivisibile, che non può essere limitato territorialmente a singoli Paesi.
La procedura si svolge integralmente online attraverso ilportale ufficiale EUIPO. Il richiedente, previa registrazione e autenticazione, compila la domanda inserendo i dati del titolare, l’eventuale rappresentante, la riproduzione del segno e l’indicazione dei prodotti e servizi secondo la classificazione di Nizza. Anche a livello europeo la corretta individuazione delle classi riveste un ruolo determinante, poiché delimita l’ambito oggettivo della tutela e incide direttamente sulle tasse dovute.
Una volta depositata la domanda e versati gli importi previsti, EUIPO procede a un esame formale e a una verifica degli impedimenti assoluti alla registrazione, quali la mancanza di carattere distintivo o la contrarietà all’ordine pubblico. Diversamente da quanto talvolta si ritiene, l’Ufficio non rigetta d’ufficio la domanda per conflitto con diritti anteriori di terzi. Tuttavia, a differenza del sistema nazionale, EUIPO effettua unaricerca automatizzata di anterioritàe trasmette ai titolari di marchi anteriori potenzialmente confliggenti una comunicazione informativa (alert).
La domanda, ove superi l’esame preliminare, viene pubblicata nelBollettino dei marchi dell’Unione Europea. Dalla data di pubblicazione decorre un termine di tre mesi entro il quale i titolari di diritti anteriori possono proporre opposizione. In assenza di opposizioni, o a seguito della loro definizione favorevole al richiedente, la registrazione del marchio viene concessa con effetti retroattivi alla data di deposito e condurata decennale rinnovabile.
Sotto il profilo economico, la registrazione del marchio europeo comportacostisignificativamente superiori rispetto al deposito nazionale. Le tasse ufficiali EUIPO prevedono un importo base per la prima classe e maggiorazioni per le classi ulteriori; complessivamente, la registrazione del marchio UE può risultare anche tre o quattro volte più onerosa rispetto alla registrazione del marchio nazionale presso l’UIBM, soprattutto quando si richiedano più classi.
Registrazione a livello italiano o europeo? Criteri di scelta
La scelta tra registrazione del marchio nazionale e registrazione del marchio dell’Unione Europea deve essere compiuta alla luce di una ponderazione complessiva degli interessi imprenditoriali coinvolti. Il marchio nazionale produce effetti esclusivamente nel territorio dello Stato italiano, offrendo una tutela circoscritta ma pienamente efficace nel mercato interno. Il marchio dell’Unione Europea, invece, attribuisce un diritto unitario valido in tutti gli Stati membri, con la conseguenza che la protezione si estende simultaneamente a un mercato significativamente più ampio.
Dal punto di vista strategico, la registrazione del marchio nazionale può risultare adeguata per imprese che operano prevalentemente in ambito locale o nazionale e che intendano contenere i costi iniziali di protezione del segno. La registrazione del marchio europeo, al contrario, si rivela particolarmente opportuna per società che svolgono attività di commercio elettronico, esportazione o prestazione di servizi digitali transfrontalieri, ove il rischio di conflitti in altri Stati membri sia concreto. Rileva anche, tra i criteri di scelta, la circostanza che l’impresa sia titolare di unbrevetto.
Occorre tuttavia considerare che la natura unitaria del marchio UE comporta anche un rischio unitario: un’eventuale opposizione fondata su un diritto anteriore esistente in un solo Stato membro può pregiudicare l’intera domanda.
Vi è inoltre una differenza rilevante in termini di impatto economico e gestionale. La registrazione del marchio nazionale comporta costi più contenuti e una gestione amministrativa più semplice; la registrazione del marchio europeo, pur più onerosa, consente di evitare la frammentazione della tutela in più titoli nazionali e garantisce un’uniformità di protezione particolarmente funzionale in un contesto di mercato integrato.
La valutazione comparativa tra le due opzioni deve dunque essere condotta con attenzione, con il supporto di un professionista, tenendo conto della dimensione dell’impresa, dei mercati di riferimento, della presenza di concorrenti esteri e delle prospettive di sviluppo nel medio-lungo periodo.
La ricerca di anteriorità e scelta delle classi
Prima di procedere alla registrazione del marchio, è opportuno svolgere un’attenta attività preliminare volta a verificare la disponibilità del segno e la corretta delimitazione dell’ambito di tutela richiesto. La fase della ricerca di anteriorità permette di prevenire opposizioni, azioni di nullità o controversie per contraffazione. Tale verifica dovrebbe essere condotta non solo sui registri nazionali, ma, ove si intenda procedere a una registrazione del marchio con estensione europea o con prospettive di internazionalizzazione, anche sulle banche dati dell’Unione Europea e, se del caso, internazionali.
La ricerca dovrebbe estendersi ai marchi simili sotto il profilo visivo, fonetico e concettuale, valutando il rischio di confusione in relazione ai prodotti o servizi interessati.
Parimenti determinante è la scelta delle classi di prodotti e servizi secondo laClassificazione di Nizza, sistema internazionale adottato in virtù dell’Accordo di Nizza del 1957 e periodicamente aggiornato. Tale classificazione suddivide i prodotti e i servizi inquarantacinque classi:dalla classe 1 alla classe 34 sono ricompresi i prodotti, mentre dalla classe 35 alla classe 45 sono elencati i servizi. Ciascuna classe contiene una descrizione generale e un elenco esemplificativo di voci merceologiche. La registrazione del marchio tutela esclusivamente i prodotti e i servizi espressamente indicati nella domanda e ricompresi nelle classi selezionate; non esiste, dunque, una protezione “generale” su tutte le attività economiche.
Un’erronea individuazione delle classi può comportare una tutela insufficiente rispetto all’effettiva attività dell’impresa, ad esempio qualora un operatore attivo nel settore farmaceutico registri il marchio limitatamente ai servizi medici senza considerare eventuali attività di consulenza, formazione o commercializzazione di prodotti correlati.
Assistenza legale nella registrazione del marchio. Affidati al nostro Studio
Pur essendo accessibile anche al singolo imprenditore attraverso le piattaforme telematiche istituzionali, la registrazione del marchio presenta elementi di criticità che rendono opportuno il supporto di un avvocato. L’apparente semplicità della procedura di deposito non deve indurre a sottovalutare la complessità delle valutazioni sottese alla scelta del segno, alla delimitazione delle classi e alla verifica dei rischi di conflitto con diritti anteriori.
Il nostro Studio offre assistenza qualificata in materia diproprietà industrialee diritto dell’innovazione, accompagnando l’impresa in tutte le fasi della procedura di registrazione del marchio, con particolare attenzione alle esigenze delle start-up, delle PMI innovative e delle società operanti nei settori tecnologici e digitali.
Contattaci per un confronto!
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
daRedazione|Feb 16, 2026|Diritto d'Impresa
La figura della PMI innovativa è stata introdotta nell’ordinamento italiano dall’art. 4 delD.L. 24 gennaio 2015, n. 3, convertito con modificazioni dalla L. 24 marzo 2015, n. 33, quale naturale evoluzione della disciplina già prevista per le startup innovative dalD.L. 18 ottobre 2012, n. 179.
L’intervento normativo si colloca nel più ampio quadro delle politiche pubbliche volte a favorire la competitività del sistema produttivo nazionale, sostenendo quelle imprese che, pur avendo superato la fase iniziale tipica dellastartup innovativa, continuano a caratterizzarsi per un elevato contenuto tecnologico e innovativo.
La disciplina si coordina con laRaccomandazione della Commissione europea 2003/361/CE, che definisce i parametri dimensionali delle piccole e medie imprese, e individua nella PMI innovativa una categoria speciale di società di capitali dotate di specifici requisiti oggettivi e soggettivi. L’istituto si propone di incentivare gli investimenti in ricerca e sviluppo, la valorizzazione del capitale umano qualificato e la tutela della proprietà intellettuale, attraverso un sistema articolato di agevolazioni fiscali, societarie e finanziarie.
Con il presente contributo vogliamo offrire ai lettori una guida all’istituto della PMI innovativa, illustrandone i presupposti normativi, le modalità di iscrizione nella sezione speciale del Registro delle Imprese e i principali vantaggi connessi allo status.
La nozione di PMI innovativa nell’ordinamento italiano ed europeo
La qualificazione di PMI innovativa presuppone, in primo luogo, l’inquadramento dell’impresa nella categoria delle piccole e medie imprese secondo i criteri dimensionali stabiliti dalla Raccomandazione della Commissione 2003/361/CE. In base a tale atto, sono considerate PMI le imprese che occupano meno di250 personee il cui fatturato annuo non supera i50 milioni di euro, ovvero il cui totale di bilancio annuo non eccede i43 milioni di euro.
La disciplina nazionale recepisce tali parametri e li integra con ulteriori requisiti di natura sostanziale, così delineando una figura di PMI innovativa che si caratterizza non soltanto per le dimensioni, ma soprattutto per il contenuto tecnologico e per la capacità di generare innovazione.
Sotto il profilo soggettivo, la PMI innovativa deve assumere la forma disocietà di capitali,anche in forma cooperativa. Tale scelta legislativa risponde all’esigenza di garantire assetti organizzativi idonei ad attrarre investimenti e a sostenere percorsi di crescita strutturata.
Diversamente dalla startup innovativa, non è previsto un limite massimo di età dell’impresa, né una fase temporale circoscritta entro la quale mantenere lo status. Non vi è inoltre un limite direttamente collegato all’ammontare delcapitale sociale.
La PMI innovativa rappresenta una sorta di “ponte” tra la disciplina delle startup e il regime ordinario delle società di capitali, consentendo all’impresa che abbia già avviato la propria attività commerciale di continuare a beneficiare di un quadro regolatorio favorevole, purché mantenga un effettivo contenuto innovativo e rispetti gli obblighi di legge.
I requisiti oggettivi della PMI innovativa ai sensi dell’art. 4 D.L. 3/2015
La qualifica di PMI innovativa è subordinata al possesso di specificirequisiti oggettiviprevisti dall’art. 4 del D.L. 3/2015, che delimitano in modo puntuale l’ambito applicativo dell’istituto. In primo luogo, l’impresa deve avere lasede in Italia, ovvero in altro Stato membro dell’Unione europea purché – in questo secondo caso – disponga di una sede produttiva o di una filiale in Italia.
Ulteriore requisito imprescindibile è lacertificazione dell’ultimo bilancioe dell’eventuale bilancio consolidato da parte di un revisore legale o di una società di revisione iscritti nel registro dei revisori. La normativa esclude inoltre che la PMI innovativa possa essere quotata in un mercato regolamentato e che possa risultare contemporaneamente iscritta nella sezione speciale del Registro delle Imprese dedicata alle startup innovative.
Oltre ai presupposti oggettivi, la qualificazione come PMI innovativa richiede il possesso di un contenuto innovativo effettivo, individuato dal legislatore attraverso tre indicatori alternativi, dei quali l’impresa deve possederne almeno due.
Il primo indicatore concernela quantità di investimenti in ricerca, sviluppo e innovazione, che devono essere pari ad almeno il tre per cento della maggiore entità tra costo e valore totale della produzione risultanti dall’ultimo bilancio approvato. Le relative spese devono essere adeguatamente descritte in nota integrativa, così da consentire un controllo effettivo sulla natura e sulla consistenza degli investimenti effettuati dalla PMI innovativa.
Il secondo parametro riguardal’impiego di personale altamente qualificato, in percentuali significative rispetto alla forza lavoro complessiva, mentre il terzo attiene allatitolarità o disponibilità di privative industriali o di software registratidirettamente afferenti all’oggetto sociale. In entrambi i casi, la disciplina intende assicurare che la PMI innovativa disponga di competenze specialistiche e di asset immateriali idonei a sostenere un vantaggio competitivo fondato sull’innovazione.
Iscrizione della PMI innovativa nella sezione speciale del Registro delle Imprese
Il riconoscimento dello status di PMI innovativa non opera automaticamente al ricorrere dei requisiti sostanziali, ma richiede un’apposita iscrizione nella sezione speciale del Registro delle Imprese istituita presso le Camere di Commercio.
L’accesso avviene mediante autocertificazione resa dal legale rappresentante, il quale attesta il possesso dei requisiti previsti dall’art. 4 del D.L. 3/2015 sotto la propria responsabilità. Tale meccanismo, improntato a principi di semplificazione amministrativa, consente alla PMI innovativa di beneficiare tempestivamente del regime agevolato, ferma restando la possibilità di controlli successivi da parte dell’amministrazione competente.
Elemento centrale della disciplina è l’obbligo di conferma annuale del mantenimento dei requisiti di innovatività. Ai sensi dei commi 4 e 6-bis dell’art. 4 citato, la PMI innovativa è tenuta ad aggiornare le informazioni presso la Camera di Commercio territorialmente competente, previa compilazione e conferma del profilo pubblico dell’impresa sul portale startup.registroimprese.it. L’adempimento ha natura sostanziale e non meramente formale, poiché l’omessa conferma comporta la perdita dello status speciale, con conseguente cessazione delle agevolazioni connesse.
Gli incentivi fiscali per chi investe in una PMI innovativa
Uno dei principali strumenti di sostegno connessi allo status di PMI innovativa è rappresentato dagli incentivi fiscali riconosciuti agli investitori che apportano capitale di rischio nell’impresa. A decorrere dal 1° gennaio 2017, la normativa prevede una detrazione dall’imposta lorda IRPEF pari al trenta per cento dell’ammontare investito per le persone fisiche, entro il limite massimo di un milione di euro annui, nonché una deduzione dall’imponibile IRES pari alla medesima percentuale per le persone giuridiche, fino a un massimo di 1,8 milioni di euro per periodo d’imposta.
La fruizione dell’agevolazione è subordinata al mantenimento dellapartecipazione nella PMI innovativaper almeno tre anni, secondo il meccanismo del cosiddettoholding period,volto a favorire investimenti stabili e non meramente speculativi.
Accanto a tale regime ordinario, il legislatore ha introdotto, con il D.L. 34/2020, una misura rafforzata in regimede minimis, che consente alle persone fisiche di beneficiare di una detrazione IRPEF pari al cinquanta per cento dell’investimento effettuato nel capitale di una PMI innovativa, entro il limite di 300.000 euro per periodo d’imposta. L’accesso a tale incentivo è subordinato alla preventiva presentazione di apposita istanza sulla piattaforma ministeriale dedicata e al rispetto dei limiti complessivi previsti dalla disciplina europea sugli aiuti di Stato in regimede minimis.
Il Fondo di Garanzia per le PMI
Accanto agli incentivi fiscali per gli investitori, la disciplina della PMI innovativa prevede misure volte a facilitare l’accesso alcredito bancarioe agli strumenti di finanza strutturata. In particolare, le imprese iscritte nella sezione speciale del Registro delle Imprese possono beneficiare dell’intervento del Fondo di Garanzia per le Piccole e Medie Imprese, istituito con finalità di sostegno alla competitività del sistema produttivo.
Il Fondo opera attraverso la concessione di unagaranzia pubblicasui finanziamenti bancari, coprendo una quota significativa del rischio assunto dall’istituto erogante e riducendo, conseguentemente, le difficoltà di accesso al credito per la PMI innovativa.
Diversamente da quanto previsto per le startup innovative, per le quali l’accesso al Fondo avviene in modo automatico, la PMI innovativa è soggetta a una valutazione del merito creditizio secondo un sistema articolato in fasce di rating. L’ammissione alla garanzia è subordinata al superamento di tale valutazione, con esclusione nei casi di classificazione nella fascia di rischio più elevata. Ciò nonostante, la misura rappresenta uno strumento di rilievo per le imprese che intendano finanziare programmi di investimento, progetti di ricerca o percorsi di espansione commerciale.
Nel più ampio quadro degli strumenti pubblici di sostegno, la PMI innovativa può inoltre accedere a iniziative di venture capital promosse dal Fondo Nazionale Innovazione, gestito da Cassa Depositi e Prestiti, che interviene mediante investimenti diretti o indiretti nel capitale di imprese innovative, rafforzandone la struttura finanziaria e la capacità di crescita nel medio-lungo periodo.
Le deroghe societarie e i vantaggi strutturali della PMI innovativa
La disciplina della PMI innovativa introduce anche significative deroghe alla disciplina societaria ordinaria, con l’obiettivo di favorire modelli organizzativi flessibili e funzionali alla raccolta di capitali.
In particolare, qualora la PMI innovativa sia costituita in forma di società a responsabilità limitata, essa può creare categorie di quote dotate di diritti particolari, anche in deroga al principio di proporzionalità tra partecipazione e diritti amministrativi o patrimoniali (si pensi anche a strumenti che si inseriscono inpiani di equityo simili). Ciò consente di modulare l’assetto dei poteri e degli utili in funzione delle esigenze degli investitori e delle strategie di sviluppo dell’impresa.
La PMI innovativa può altresì emetterestrumenti finanziari partecipativie compiere operazioni sulle proprie quote, ampliando le possibilità di strutturazione dellagovernancee della compagine sociale. Tale flessibilità si rivela particolarmente rilevante nelle fasi di ingresso di nuovi soci o di riorganizzazione interna, in quanto consente di contemperare l’esigenza di apertura al mercato dei capitali con la tutela dell’equilibrio decisionale.
Ulteriore profilo di favore concerne la possibilità di remunerare collaboratori e fornitori attraverso strumenti di partecipazione al capitale, quali stock option e schemi diwork for equity, il cui trattamento fiscale e contributivo risulta agevolato. La PMI innovativa può inoltre beneficiare della proroga dei termini per la copertura delle perdite e dell’esclusione dalla disciplina delle società di comodo, rafforzando così la propria stabilità nella fase di crescita e consolidamento.
Le ulteriori agevolazioni complementari per la PMI innovativa
Oltre agli incentivi fiscali e alle deroghe societarie, la PMI innovativa può accedere a una pluralità distrumenti complementariche rafforzano il percorso di crescita, in particolare nei settori dell’internazionalizzazione, della digitalizzazione e dell’innovazione tecnologica.
In materia di apertura ai mercati esteri, le imprese iscritte nella sezione speciale beneficiano di condizioni agevolate per l’acquisto dei servizi offerti dall’Agenzia ICE, con una riduzione significativa dei costi dei servizi a catalogo.
Tale misura favorisce la proiezione internazionale della PMI innovativa, sostenendone la presenza in fiere, missioni commerciali e iniziative promozionali all’estero. Sul versante della raccolta di capitali, la normativa consente alla PMI innovativa di ricorrere all’equity crowdfunding attraverso portali autorizzati e vigilati da Consob, ampliando le modalità di finanziamento rispetto ai canali tradizionali.
La PMI innovativa può inoltre beneficiare di misure quali laNuova Sabatini,finalizzata all’acquisto di beni strumentali, e del Piano Transizione 4.0, che riconosce crediti d’imposta per investimenti in beni tecnologicamente avanzati, ricerca e sviluppo e formazione del personale.
Consulenza e assistenza legale per PMI e start-up
Il nostro Studio ha maturato una rilevante esperienza nel supporto legale a imprese, startup e PMI innovative, offrendo consulenza in ambito di diritto commerciale, acquisizione di partecipazioni, tutela della proprietà intellettuale e contrattualistica commerciale.
Contattaci per un confronto!
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.
