Negli ultimi anni, il tema della cybersicurezza ha assunto un ruolo centrale nel dibattito giuridico e aziendale. Ne abbiamo già parlato anche in questo blog.
L’entrata in vigore del Decreto NIS (D. Lgs. n. 138/2024), che recepisce la Direttiva (UE) 2022/2555, rappresenta un ulteriore passo verso una maggiore protezione delle infrastrutture critiche e dei servizi essenziali. Tuttavia, come spesso accade nel diritto, l’applicazione delle norme deve tener conto della realtà operativa delle imprese. Qui entra in gioco la cosiddetta “clausola di salvaguardia”, regolamentata dal recente DPCM n. 221/2024, pubblicato in Gazzetta Ufficiale il 10 febbraio 2025.
Mi sono soffermato a riflettere su questa disposizione, che introduce un principio di proporzionalità rispetto agli obblighi imposti dal Decreto NIS. Non tutte le aziende collegate a un gruppo devono necessariamente essere trattate come un’unica entità giuridica, soprattutto se operano in modo indipendente sotto il profilo informatico e organizzativo. La clausola permette, infatti, di ottenere un trattamento normativo più adeguato alla struttura e al funzionamento reale dell’impresa.
Ma cosa significa, in concreto, per le aziende e le pubbliche amministrazioni?
Entro il 28 febbraio 2025, dovranno registrarsi sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale (ACN) e dichiarare la loro posizione rispetto agli obblighi previsti dal Decreto NIS. Se una società soddisfa due requisiti fondamentali – indipendenza dei sistemi informativi e autonomia operativa – potrà beneficiare di questa deroga. Un aspetto che, dal punto di vista legale, può fare la differenza per molte imprese, soprattutto quelle che rischiano di essere classificate come grandi aziende pur operando con dinamiche più vicine a quelle di una media impresa.
L’accoglimento della clausola di salvaguardia consente, infatti, di evitare l’applicazione dell’art. 6, par. 2, della Raccomandazione 2003/361/CE, con la possibilità di una riclassificazione aziendale che riduca gli obblighi normativi previsti dal Decreto NIS. Tuttavia, non tutte le imprese possono accedervi: chi esercita un’influenza dominante sulla sicurezza informatica di soggetti essenziali o importanti non può beneficiare della deroga. Un punto cruciale per chi gestisce infrastrutture critiche o assume decisioni strategiche in materia di cybersecurity.
Quello che emerge è una consapevolezza sempre più diffusa: la sicurezza informatica non è più un tema di nicchia, ma un elemento centrale della governance aziendale. La normativa evolve per cercare un equilibrio tra protezione e sostenibilità operativa, ma la sfida rimane complessa. Le imprese dovranno valutare attentamente la loro posizione e, se del caso, presentare richiesta attraverso il proprio Punto di contatto NIS in fase di registrazione. Sarà poi l’ACN, in collaborazione con le Autorità di settore, a esaminare le domande e fornire un riscontro.
Dal mio punto di vista, questa clausola rappresenta una risposta ragionevole a un problema reale: quello della rigidità normativa che, se applicata senza margine di adattamento, rischia di penalizzare realtà che operano con logiche differenti. Il diritto, come sempre, deve essere strumento di equilibrio, non di ostacolo. Il tema della cybersicurezza non si risolve solo con norme stringenti, ma con un quadro regolatorio che sappia distinguere tra esigenze di protezione e necessità operative.