Il decreto legislativo 4 settembre 2024, n. 138, che ha recepito la direttiva (UE) 2022/2555, la direttiva NIS2, è in vigore dal 16 ottobre 2024 e impone ai soggetti che rientrano nel suo ambito di registrarsi, o di aggiornare la registrazione, sulla piattaforma dell’Agenzia per la cybersicurezza nazionale dal 1° gennaio al 28 febbraio di ogni anno (Normattiva). Per la manifattura, gli allegati individuano alcuni comparti con il codice di attività economica della classificazione NACE Rev. 2. Una media impresa che produce ceramiche, laminati metallici, manufatti in plastica o carta non trova il proprio codice in quell’elenco e può essere indotta a concludere di esserne esclusa. La conclusione può essere affrettata: il punto 3 dell’allegato II non guarda al codice, ma al ruolo dell’impresa secondo il regolamento (CE) n. 1907/2006, il REACH.
Le divisioni manifatturiere elencate per codice
Nella direttiva, l’allegato I, fra i settori ad alta criticità, comprende nel settore sanitario i soggetti che fabbricano prodotti farmaceutici di base e preparati farmaceutici della divisione 21 della NACE Rev. 2. L’allegato II, al punto 5, dedicato alla fabbricazione, elenca i dispositivi medici e i dispositivi medico-diagnostici in vitro, individuati per rinvio ai rispettivi regolamenti, e le imprese che svolgono le attività delle divisioni 26 (computer e prodotti di elettronica e ottica), 27 (apparecchiature elettriche), 28 (macchinari e apparecchiature n.c.a.), 29 (autoveicoli, rimorchi e semirimorchi) e 30 (altri mezzi di trasporto); il punto 4 riguarda le imprese alimentari che si occupano della distribuzione all’ingrosso e della produzione industriale e trasformazione (EUR-Lex). Gli allegati del decreto n. 138 del 2024 riproducono la stessa impostazione (Normattiva). Secondo le FAQ dell’Agenzia, per questi sottosettori rileva l’attività economica sostanziale riconducibile a qualsiasi gruppo, classe o categoria della divisione indicata (ACN).
Restano fuori dall’elenco per codice, fra le altre, la fabbricazione di carta e di prodotti di carta (divisione 17), di prodotti chimici (divisione 20), di articoli in gomma e materie plastiche (divisione 22), di altri prodotti della lavorazione di minerali non metalliferi (divisione 23) e le attività metallurgiche (divisione 24) (EUR-Lex). L’assenza del codice dall’elenco non chiude la verifica, che prosegue sul terreno della disciplina delle sostanze chimiche.
Il punto 3 dell’allegato II: tre ruoli definiti dal REACH
Il punto 3 dell’allegato II, «Fabbricazione, produzione e distribuzione di sostanze chimiche», comprende le «Imprese che si occupano della fabbricazione di sostanze e della distribuzione di sostanze o miscele di cui all’articolo 3, punti 9) e 14), del regolamento (CE) n. 1907/2006» e le «imprese che si occupano della produzione di articoli quali definite all’articolo 3, punto 3), del medesimo regolamento, da sostanze o miscele» (EUR-Lex). Il testo non individua un comparto merceologico, ma tre posizioni giuridiche definite da un altro atto.
Il REACH definisce fabbricante chi, stabilito nell’Unione, fabbrica una sostanza al suo interno; distributore chi si limita a immagazzinare e a immettere sul mercato una sostanza, in quanto tale o in quanto componente di una miscela, ai fini della vendita a terzi; articolo «un oggetto a cui sono dati durante la produzione una forma, una superficie o un disegno particolari che ne determinano la funzione in misura maggiore della sua composizione chimica» (EUR-Lex). La terza categoria, la produzione di articoli, è quella che può estendere il perimetro ben oltre l’industria chimica in senso stretto, perché la definizione di articolo descrive la gran parte dei prodotti finiti della manifattura.
Le FAQ dell’Agenzia precisano che rientrano nel settore, come soggetti importanti, le organizzazioni che superano i massimali per le piccole imprese, «alle quali si applica il regolamento 2006/1907/CE (REACH)» e che sono riconducibili ad almeno una delle tipologie di fabbricante di sostanze, distributore di sostanze o di miscele, produttore di articoli; aggiungono che i soggetti esentati dagli obblighi di registrazione del titolo II del REACH, ai sensi del suo articolo 2, non rientrano nel decreto per questo settore (ACN). Il perimetro dipende dunque, ratione materiae, da qualificazioni che appartengono alla disciplina delle sostanze chimiche.
Le soglie dimensionali: oltre la piccola impresa
La direttiva, all’articolo 2, paragrafo 1, si applica ai soggetti degli allegati I e II che sono considerati medie imprese ai sensi della raccomandazione 2003/361/CE o che ne superano i massimali (EUR-Lex). Il decreto italiano formula la stessa soglia al contrario: si applica ai soggetti che superano i massimali per le piccole imprese dell’articolo 2, paragrafo 2, dell’allegato alla raccomandazione (articolo 3, comma 2), e per le imprese collegate o associate richiama l’aggregazione dei dati prevista dall’articolo 6, paragrafo 2, salvo che ciò non sia proporzionato (articolo 3, comma 4) (Normattiva). La raccomandazione definisce piccola impresa quella che occupa meno di 50 persone e realizza un fatturato annuo o un totale di bilancio annuo non superiori a 10 milioni di euro (EUR-Lex).
L’Agenzia chiarisce che l’obbligo riguarda le singole persone giuridiche, la legal entity, e non il gruppo, fermo restando il calcolo dimensionale che tiene conto delle imprese collegate e associate (ACN). Per i settori dell’allegato II, l’impresa che supera la soglia è di regola un soggetto importante, perché l’articolo 6 del decreto riserva la qualifica di soggetto essenziale, fra gli altri, ai soggetti dell’allegato I che superano i massimali per le medie imprese (Normattiva).
Ipotesi da autovalutare: minerali non metalliferi, metallurgia, gomma e plastica, carta
Sulla base di queste definizioni, riteniamo che alcuni comparti ad alto impatto debbano condurre la verifica con particolare attenzione. Si tratta di ipotesi, non di conclusioni: l’esito dipende dall’attività effettivamente svolta e dalla posizione dell’impresa rispetto al REACH.
Un’impresa dei minerali non metalliferi che da miscele di materie prime ottiene piastrelle, lastre o manufatti formati può trovarsi nella posizione di produttore di articoli. Un’impresa metallurgica deve chiedersi se ciò che immette sul mercato sia qualificabile come sostanza, miscela o articolo, perché la risposta ne determina il ruolo. Chi trasforma polimeri in componenti in gomma o in plastica, e chi produce carta e prodotti di carta, può ricadere nella stessa categoria dei produttori di articoli. In ciascun caso resta da verificare il presupposto che le FAQ pongono come condizione, l’applicabilità del REACH all’organizzazione, e l’eventuale esenzione dell’articolo 2 di quel regolamento. Per molte imprese manifatturiere la domanda decisiva non è quale sia il loro codice, ma quale ruolo rivestano ai sensi del REACH.
Un’impresa può rientrare nel perimetro per più vie: un costruttore di macchinari della divisione 28 è incluso per codice e, per i prodotti con elementi digitali, è interessato anche da altri atti dell’Unione, secondo quella sovrapposizione di perimetri che abbiamo esaminato a proposito di NIS 2, DORA e Cyber Resilience Act.
Le scadenze della registrazione sulla piattaforma dell’Agenzia
L’articolo 7 del decreto scandisce un calendario annuale. Dal 1° gennaio al 28 febbraio i soggetti si registrano o aggiornano la registrazione; entro il 31 marzo l’Agenzia redige l’elenco dei soggetti essenziali e importanti e comunica ai registrati l’inserimento, la permanenza o l’espunzione; dal 15 aprile al 31 maggio i soggetti inseriti forniscono ulteriori informazioni, fra cui lo spazio di indirizzamento IP pubblico, i nomi di dominio e i responsabili; ogni modifica va notificata entro quattordici giorni (Normattiva). L’Agenzia ricorda che la prima scadenza era il 28 febbraio 2025 (ACN). Un’impresa che riconosca ora di rientrare nel settore delle sostanze chimiche ha dunque davanti la finestra che si apre il 1° gennaio 2027, con una registrazione che, a nostro avviso, risulterà tardiva rispetto agli anni già trascorsi. Una volta iscritta, sarà esposta anche all’attività di vigilanza dell’Agenzia, di cui ci siamo occupati trattando le ispezioni NIS 2.
Profili critici: l’onere dell’autovalutazione e il costo dell’omissione
Il primo profilo riguarda l’allocazione dell’onere. Le FAQ dell’Agenzia indicano che le organizzazioni, prima di registrarsi, devono svolgere un’autovalutazione in tre passi, relativi alla giurisdizione, alla dimensione e alla riconducibilità alle tipologie di soggetto (ACN). L’onere di stabilire se si è dentro o fuori ricade interamente sull’impresa, e nel caso del punto 3 la verifica richiede competenze di diritto delle sostanze chimiche che spesso non appartengono a chi, in azienda, si occupa di sicurezza informatica. A nostro avviso l’autovalutazione va documentata per iscritto, con il contributo di chi gestisce gli adempimenti REACH, anche quando si conclude con l’esclusione.
Il secondo profilo riguarda le conseguenze. L’articolo 38, comma 10, lettera a), del decreto sanziona la mancata registrazione, comunicazione o aggiornamento delle informazioni previste dall’articolo 7; per i soggetti importanti la sanzione arriva fino allo 0,07 per cento del fatturato annuo su scala mondiale dell’esercizio precedente, fermi restando i minimi edittali del comma 9 (comma 11, lettera b). Il comma 13 aggiunge che, in caso di mancata o tardiva registrazione, «sono comunque contestate tutte le violazioni previste dai commi 8 e 10» e si applica la sanzione prevista per la violazione più grave aumentata fino al triplo (Normattiva). Chi omette la registrazione non resta fuori dalla disciplina, ma vede contestate tutte le violazioni dei commi 8 e 10, comprese quelle relative alla gestione del rischio e alla notifica degli incidenti.
Conclusioni
Per una PMI manifatturiera l’appartenenza al perimetro NIS2 non si esaurisce nel confronto fra il proprio codice di attività e le divisioni elencate negli allegati. Il punto 3 dell’allegato II apre una seconda via, che passa per le categorie del REACH e, in particolare, per la produzione di articoli da sostanze o miscele. Restano in capo all’impresa la qualificazione del proprio ruolo ai sensi del REACH, il calcolo dimensionale e la decisione di registrarsi; le FAQ dell’Agenzia sul settore delle sostanze chimiche non contengono, allo stato, indicazioni per comparto che riducano l’incertezza. Conviene svolgere e documentare l’autovalutazione prima della finestra di gennaio, coinvolgendo insieme le funzioni che presidiano la sicurezza informatica e quelle che gestiscono gli adempimenti sulle sostanze chimiche, così da presentarsi alla registrazione, o alla sua motivata esclusione, con una valutazione verificabile.
Autore: Valentina Grazia Sapuppo
