8/11/2019
FRANCESCA SACCAVINO
Si riaccende in sede legislativa il dibattito sulla cybersecurity e sulla tecnologica 5G: il giorno 24 ottobre la Camera ha approvato il disegno di legge di conversione in legge del decreto-legge 21 settembre 2019, n.105, il cui esame ora passa al Senato. Questo decreto prevede l’istituzione di un perimetro di sicurezza nazionale cibernetica e di misure volte a garantire la sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, nonché degli enti e degli operatori nazionali, pubblici e privati, al fine di garantire i necessari standard di sicurezza necessari per minimizzare i rischi. Nel corso dell’esame, sono state inoltre proposte nuove disposizioni per l’esercizio dei poteri speciali del Governo (c.d. golden powers). Tali proposte emendative per un verso ricalcano quelle già apportate dal decreto-legge 64/2019 il quale però non è stato poi convertito in legge, per altro verso introducono degli elementi di novità rispetto a quanto previsto da quest’ultimo, andando ad allargare ancora di più l’ambito di applicazione dei poteri speciali ed inasprendo il comparto sanzionatorio. L’istituzione del perimetro di sicurezza nazionale cibernetica e l’inclusione in tale manovra di previsioni relative ai golden powers rientrano senz’altro nella volontà del legislatore italiano di adeguarsi il più velocemente possibile alle raccomandazioni dell’Unione Europea in materia di cybersecurity e di controllo degli investimenti esteri, mostrando anche una spinta verso la riorganizzazione e la sistematizzazione della materia al fine di evitare sovrapposizioni normative.
Il nuovo articolo 4-bis, introdotto in sede d’esame alla Camera infatti, riprendendo ed integrando le previsioni del D.L. 64/2019, non convertito in legge, andrebbe a modificare il D.L. n. 21/2012 in tema di poteri speciali del Governo nei settori della difesa e della sicurezza nazionale, nonché per le attività di rilevanza strategica nei settori dell’energia, dei trasporti e delle comunicazioni. Le novità introdotte hanno chiaramente una portata espansiva delle disposizioni relative ai poteri speciali, permettendo al governo di avere un più ampio controllo sugli investimenti stranieri che entrano nel nostro paese; allo stesso tempo vengono introdotti tempi più lunghi per l’esercizio dei poteri speciali con contestuale arricchimento dell’informativa resa dalle imprese detentrici degli asset strategici, al fine di permettere una valutazione più approfondita degli effetti dei suddetti investimenti. Sono inoltre previsti dei criteri più specifici e chiari per individuare fattori di pericolo, per determinare se un investimento estero è suscettibile di incidere sulla sicurezza o sull’ordine pubblico. Nello specifico questi sono quelli che vengono già indicati dal nuovo regolamento europeo in materia, ovvero: (i) che l’acquirente sia direttamente o indirettamente controllato dall’amministrazione pubblica, inclusi organismi statali o forze armate, di un paese esterno all’Unione europea, anche attraverso l’assetto proprietario o finanziamenti consistenti; (ii) che l’acquirente sia già stato coinvolto in attività che incidono sulla sicurezza o sull’ordine pubblico in uno Stato membro dell’Unione europea; (iii) che vi sia un grave rischio che l’acquirente intraprenda attività illegali o criminali.
La volontà di riorganizzare e razionalizzare la materia viene espressa chiaramente nella modifica della disciplina dei poteri speciali in tema di tecnologie 5G, per rendere il procedimento sostanzialmente simmetrico rispetto a quello per l’esercizio dei poteri speciali nei settori della difesa e della sicurezza nazionale e nella ridefinizione del concetto di “soggetto esterno all’Unione europea” sempre al fine di rendere omogenee le discipline nei vari settori. Ma soprattutto, data la parziale sovrapposizione delle discipline relative alla cybersicurezza ed ai golden powers, dalla previsione dell’articolo 3 del decreto modificato nel corso dell’esame di disposizioni di raccordo tra le due, disponendo al comma 1 che poiché le disposizioni del decreto in esame si applicano ai soggetti inclusi nel perimetro di sicurezza nazionale cibernetica (da individuarsi tramite un DPCM), anche per i contratti o gli accordi – ove conclusi con soggetti esterni all’Unione europea – relativi ai servizi di comunicazione elettronica a banda larga basati sulla tecnologia 5G, rispetto ai quali è prevista dall’articolo 1-bis del D.L. 21/2012, una notifica alla Presidenza del Consiglio dei ministri al fine dell’eventuale esercizio dei poteri speciali, è esclusa l’applicazione dell’articolo 1, comma 6, lettera a) del D.L. 105/19 che dispone la previsione di un obbligo di comunicazione al CVCN con riferimento all’affidamento di forniture di beni, sistemi e servizi ICT destinati a essere impiegati sulle reti, sui sistemi informativi e per l’espletamento dei servizi informatici, appartenenti alle categorie individuate con apposito DPCM. Inoltre il comma 2 stabilisce che dalla data di entrata in vigore del regolamento relativo alle procedure di notifica del D.L. 105/2019 i poteri speciali saranno esercitati valutando gli elementi indicanti la presenza di fattori di vulnerabilità che potrebbero compromettere l’integrità e la sicurezza delle reti e dei dati che vi transitano, da parte del CVCN e il Centro di valutazione del Ministero della difesa. Infine, il comma 3, modificato in sede referente, stabilisce la possibilità di ridefinire entro sessanta giorni dalla data di entrata in vigore del predetto regolamento, le condizioni o le prescrizioni relative ai beni e servizi acquistati con contratti già autorizzati con i provvedimenti di esercizio dei poteri speciali, compresi quelli esercitati ai sensi dell’articolo 1-bis del D.L. 22/2019, relativi a soggetti inclusi nel perimetro di sicurezza nazionale, al fine di garantire livelli di sicurezza equivalenti a quelli previsti dal decreto-legge in esame.
Rispetto al contenuto del Decreto Legge 64/2019, l’articolo aggiuntivo 4bis garantisce una maggiore espansione dell’ambito di applicazione dei golden powers: (ii) sottopone all’obbligo di notifica anche l’acquisizione, a qualsiasi titolo – in luogo del solo acquisto – di beni o servizi relativi alle reti 5G, quando posti in essere con soggetti esterni all’Unione europea, ampliando enormemente l’ambito di applicazione dei poteri speciali in tale settore; (ii) consente di aggiornare i regolamenti che individuano gli attivi di rilevanza strategica tramite decreti del Presidente del Consiglio dei ministri, in luogo di decreti del Presidente della Repubblica, anche in deroga alle procedure richieste dalla legge n. 400 del 1988; (iv) disciplina la notifica riguardante delibere, atti e operazioni relativi a specifici asset di rilevanza strategica per l’interesse nazionale nei settori dei trasporti, dell’energia e delle comunicazioni, in presenza di condizioni particolari relative alla provenienza dell’acquirente ovvero agli effetti delle operazioni compiute; (v) estende gli obblighi di notifica previsti dall’articolo 1, comma 5, del decreto legislativo n. 21 del 2012, ai casi in cui l’acquisizione abbia ad oggetto azioni o quote di una società non ammessa alla negoziazione nei mercati regolamentati. Questo comporterebbe che potrebbero essere oggetto di notifica anche operazioni che abbiano ad oggetto quote di società a responsabilità limitata.
Interessante anche la modifica e integrazione dell’impianto sanzionatorio prevedendo l’applicazione della sanzione amministrativa pecuniaria fino al doppio del valore dell’operazione e, comunque, non inferiore all’uno per cento del fatturato cumulato realizzato dalle imprese coinvolte nell’ultimo esercizio per il quale sia stato approvato il. Mentre nell’ipotesi della tecnologia 5G la sanzione amministrativa pecuniaria può arrivare fino al centocinquanta per cento del valore dell’operazione e comunque non inferiore al venticinque per cento del medesimo valore. Tale importo risulta anche più elevato di quello previsto dal decreto-legge n. 64, che prevedeva una sanzione fino al doppio del valore dell’operazione e comunque non inferiore all’uno per cento del medesimo valore.
Le proposte coinvolgono anche l’esercizio dei poteri speciali nei settori ad alta intensità tecnologica. Verrebbe infatti amplianto il perimetro dei beni che possono essere sottoposti applicazione di tale disciplina, in caso di pericolo per la sicurezza e l’ordine pubblico, includendo “i beni e i rapporti di rilevanza strategica per l’interesse nazionale […] nei settori di cui all’articolo 4, paragrafo 1, del regolamento (UE) n. 2019/452 del Parlamento europeo e del Consiglio, del 19 marzo 2019 […]”. Il comma 2 inoltre, prevede che fino all’entrata in vigore delle norme secondarie che individuano puntualmente i settori rilevanti (come previsto dall’articolo 2, comma 1-ter del D.L. n. 21/2012), sono assoggettati a notifica al Governo gli acquisti, da parte di soggetti esterni all’Unione europea, di partecipazioni in società che detengono specifici beni e rapporti nei settori relativi alle infrastrutture e le tecnologie critiche legate alla gestione dei dati e alla cybersicurezza, nonché alle infrastrutture finanziarie. La notifica in particolare riguarda gli acquisti rilevanti, ovvero in grado di determinare l’insediamento stabile dell’acquirente, in ragione dell’assunzione del controllo della società. Anche questa novità rientra perfettamente nel percorso di adeguamento del legislatore italiano alla disciplina prevista dal regolamento europeo in materia, ed è degno di nota che venga ripresa esattamente la formulazione contenuta nel regolamento europeo che per la prima volta da una definizione giuridicamente rilevante di “investimento estero diretto”.
Infine, l’articolo 2-ter coordina l’esercizio dei poteri speciali con i procedimenti disciplinati dalle norme europee (Reg. 2019/452/UE) sul controllo degli investimenti esteri diretti nell’Unione, disciplinando il dialogo tra autorità nazionali e Commissione europea.Viene stabilito (comma 3) che presso la Presidenza del Consiglio dei Ministri sia istituito il punto di contatto per l’attuazione del regolamento sugli investimenti esteri diretti (di cui all’articolo 11 del Regolamento (UE) n. 2019/452). Si affida a un DPCM la disciplina dell’organizzazione e il funzionamento del punto di contatto, senza nuovi o maggiori oneri a carico della finanza pubblica.
Si tratta di un intervento che qualora venisse convertito in legge, potrebbe avere degli impatti molto rilevanti anche sull’economia italiana considerando che le tempistiche più ampie, la necessità di fornire una grande quantità di informazioni e il forte impatto dei poteri governativi potrebbero scoraggiare possibili investitori soprattutto nel settore tecnologico. Fattori questi da prendere in considerazione dato che in questo caso, a differenza di quanto avvenuto per il D.L: 64/2019, la conversione in legge è data praticamente per certa.
