Il quadro giuridico europeo non si limita al regolamento generale sulla protezione dei dati. Le aziende attive nel mercato interno affrontano un accumulo normativo in cui coesistono direttive settoriali, regolamenti di applicazione diretta e trasposizioni nazionali, a volte con calendari sfalsati di diversi anni tra gli Stati membri.
Obbligo di diligenza CSDDD: un calendario in tre fasi che la maggior parte delle guide omette
La direttiva (UE) 2024/1760 sull’obbligo di diligenza in materia di sostenibilità (CSDDD, nota anche come CS3D) adottata il 13 giugno 2024 struttura i suoi obblighi secondo tre livelli successivi. Raccomandiamo alle direzioni legali di mappare fin da ora la loro posizione in questo calendario.
- Nel 2027, le aziende dell’UE con oltre 5.000 dipendenti e 1,5 miliardi di euro di fatturato netto mondiale rientrano nell’ambito di applicazione.
- Nel 2028, la soglia scende a 3.000 dipendenti e 900 milioni di euro di fatturato.
- Nel 2029, ogni azienda con più di 1.000 dipendenti e 450 milioni di euro è coinvolta, comprese alcune aziende di paesi terzi che generano questo importo nell’UE.
Il perimetro è stato ristretto da modifiche successive all’adozione iniziale. Gli obblighi riguardano l’intera catena del valore, il che implica un audit dei fornitori di secondo livello e oltre. Gli Stati membri devono trasporre la direttiva tra il 2026 e il 2027 secondo le versioni consolidate.
In pratica, un’azienda sotto la soglia del 2027 può rientrare nell’ambito nel 2028 dopo un’acquisizione. Il monitoraggio delle soglie deve essere continuo, non occasionale. Le risorse disponibili su sito di Europe Entreprises per il giuridico consentono di seguire l’evoluzione delle trasposizioni nazionali in corso.
Diritto delle società europeo: libertà di stabilimento e forme giuridiche transfrontaliere
Articolo 49 e articolo 54 del trattato sul funzionamento dell’Unione europea (trattato FUE) fondano la libertà di stabilimento delle società all’interno del mercato interno. Questa base rimane sottoutilizzata dalle PMI, che continuano a creare filiali nazionali classiche senza esaminare le forme giuridiche unificate.
La Societas Europaea (SE) consente di costituire una società di diritto europeo operante in più Stati membri sotto un’unica forma giuridica. La direttiva sulle fusioni transfrontaliere, revisionata negli ultimi anni, facilita le ristrutturazioni tra entità situate in diversi paesi dell’UE.
La Commissione europea sta perseguendo la digitalizzazione delle procedure di costituzione delle società. I registri delle imprese interconnessi tramite il sistema BRIS (Business Registers Interconnection System) offrono un accesso centralizzato alle informazioni sulle società registrate negli Stati membri. Questa interconnessione riduce i tempi di verifica durante le operazioni transfrontaliere.
Direttiva sui diritti degli azionisti e governance
La direttiva sui diritti degli azionisti (SRD II) impone alle società quotate obblighi di trasparenza sulla politica di remunerazione dei dirigenti e sulle transazioni con le parti correlate. Gli investitori istituzionali devono pubblicare la loro politica di impegno azionario.
Osserviamo che le aziende non quotate trascurano spesso questi standard di governance, mentre un acquirente o un fondo procederà a un audit di conformità basato su questi stessi requisiti durante una due diligence.
Cybersecurity regolamentare: NIS 2 e Cyber Resilience Act
Il settore della cybersecurity del diritto europeo degli affari si è notevolmente rafforzato. La direttiva NIS 2 amplia il perimetro delle entità soggette a obblighi di notifica di incidenti e gestione dei rischi. Il Cyber Resilience Act impone requisiti di sicurezza fin dalla progettazione per i prodotti contenenti elementi digitali immessi sul mercato europeo.
Per un’azienda che commercializza oggetti connessi o software, ignorare il Cyber Resilience Act equivale a correre il rischio di un ritiro dal mercato. Le sanzioni previste da NIS 2 possono raggiungere una percentuale significativa del fatturato mondiale, a seconda della categoria dell’entità (importante o meno importante).
Articolazione tra regolamenti settoriali e diritto comune
La sovrapposizione tra RGPD, NIS 2 e Cyber Resilience Act crea zone di sovrapposizione. Una fuga di dati personali attiva simultaneamente una notifica RGPD (72 ore) e, se l’entità è coperta da NIS 2, una notifica complementare all’autorità competente in materia di cybersecurity.
Centralizzare la gestione degli incidenti in un’unica cellula evita duplicazioni e ritardi di notifica incoerenti tra i due regimi. Il registro dei trattamenti RGPD e la mappatura dei sistemi informativi NIS 2 traggono beneficio dall’essere costruiti su un riferimento comune.
Conformità multigiurisdizionale: strutturare il monitoraggio giuridico in azienda
Il diritto europeo stabilisce il livello minimo. Le trasposizioni nazionali aggiungono strati specifici, a volte contraddittori tra Stati membri durante i periodi transitori. La Francia, la Germania e i Paesi Bassi raramente traspongono allo stesso ritmo né con le stesse opzioni normative.
Raccomandiamo di mantenere una tabella di monitoraggio per direttiva, incrociando lo stato di trasposizione in ogni giurisdizione in cui il gruppo opera. Questa tabella deve essere aggiornata almeno ogni trimestre e integrare i progetti di legge in corso, non solo i testi adottati.
- Identificare le direttive a trasposizione obbligatoria che riguardano l’attività (CSDDD, NIS 2, SRD II, direttiva sulle fusioni transfrontaliere).
- Mappare le opzioni nazionali adottate da ciascuno Stato membro interessato.
- Anticipare le discrepanze di calendario tra paesi, che possono creare obblighi asimmetrici all’interno dello stesso gruppo.
La complessità normativa europea non diminuirà. Le aziende che strutturano il loro monitoraggio giuridico in anticipo assorbono i nuovi obblighi senza interruzioni operative, mentre quelle che reagiscono dopo la pubblicazione dei testi subiscono costi di conformità nettamente più elevati.
