da Redazione | Ott 10, 2024 | Diritto d'Impresa, Diritto Penale
Negli ultimi mesi, la Legge n. 90 del 2024, comunemente definita “Legge sulla cybersicurezza”, è stata oggetto di numerose interpretazioni fuorvianti, spesso amplificate dalla diffusione di fake news. Alcune voci, prive di fondamento, hanno sostenuto che la normativa equiparasse i reati informatici a quelli mafiosi, creando confusione circa la reale portata della riforma.
Altri ancora hanno erroneamente affermato che la legge abbia abolito la fattispecie di reato legata alla diffusione di malware, senza dar conto della corrispondente introduzione di una nuova fattispecie nel sistema repressivo del danneggiamento informatico.
La Legge in commento è strutturata in due capi. Il Capo I introduce misure per il rafforzamento della cybersicurezza, imponendo obblighi specifici alle pubbliche amministrazioni, quali l’obbligo di notifica degli incidenti informatici e la nomina di un referente per la cybersicurezza. Queste disposizioni mirano a rendere più sicure le infrastrutture digitali critiche, aumentando la capacità di risposta e prevenzione agli attacchi cibernetici.
Il Capo II, invece, incide direttamente sugli strumenti repressivi a disposizione dell’ordinamento, apportando modifiche significative al codice penale (in specie ai reati informatici) e al codice di procedura penale. Questi interventi ampliano la gamma delle condotte punibili e, soprattutto, inaspriscono le pene per i responsabili di crimini informatici, con l’obiettivo di rendere più efficace la lotta al cybercrime.
L’articolo che segue si propone di analizzare e commentare le principali novità introdotte dalla Legge n. 90/2024 sul fronte sostanziale (con particolare riferimento ai reati informatici) e processuale, con l’intento di chiarire l’effettiva portata della riforma; in un successivo approfondimento ci occuperemo invece delle disposizioni del Capo I relativi alle Pubbliche Amministrazioni.
Modifiche al codice penale e ai reati informatici
La Legge n. 90/2024 ha introdotto rilevanti modifiche al codice penale in materia di reati informatici, con l’obiettivo di rafforzare il trattamento sanzionatorio e di inasprire le pene per le condotte illecite nel cyberspazio. Una delle principali novità riguarda l’inasprimento delle pene previste per il reato di accesso abusivo a sistemi informatici o telematici, di cui all’art. 615-ter c.p.
Le ipotesi aggravate, in particolare, prevedono ora una reclusione da due a dieci anni, ulteriormente innalzata da quattro a dodici anni nel caso in cui la condotta illecita sia rivolta contro sistemi di interesse pubblico. Inoltre, è esteso il perimetro dell’aggravante per quelle condotte che, oltre al danneggiamento o distruzione dei sistemi, provocano la sottrazione, riproduzione, trasmissione o l’inaccessibilità ai dati e ai programmi in essi contenuti.
La novella ha altresì ampliato il dolo specifico richiesto per il reato previsto all’art. 615-quater c.p., che ora contempla, in luogo del profitto, il concetto più generico di “vantaggio”. È stato introdotto un terzo comma che prevede una pena più severa, da tre a otto anni di reclusione, per le condotte che riguardano sistemi di interesse pubblico. In questo modo, il legislatore ha voluto rafforzare la tutela di infrastrutture critiche contro i reati informatici, rendendo estremamente seria la risposta sanzionatoria per un reato che, nella sua forma base, ha un trattamento sanzionatorio piuttosto indulgente.
Tra le modifiche ai reati informatici, altra importante novità riguarda l’art. 617-bis c.p., relativo alla detenzione, diffusione e installazione abusiva di apparecchiature e mezzi atti a intercettare, impedire o interrompere comunicazioni. In questo caso, sono state introdotte nuove aggravanti per punire in modo più severo le condotte commesse da pubblici ufficiali, incaricati di pubblico servizio o da operatori di sistema, con pene più alte qualora le condotte siano rivolte contro sistemi di interesse pubblico.
Anche l’art. 617-quater c.p., che disciplina l’intercettazione illecita di comunicazioni informatiche o telematiche, è stato oggetto di modifiche, con un inasprimento delle pene e l’introduzione di aggravanti analoghe, rafforzando così la repressione delle condotte lesive della sicurezza delle comunicazioni digitali.
Significativa è l’introduzione dell’art. 623-quater c.p., che prevede una nuova circostanza attenuante speciale per reati informatici di lieve entità. Tale attenuante si applica nei casi in cui il danno o il pericolo risultino di particolare tenuità. Consente poi una diminuzione delle pene comminate fino a due terzi nel caso in cui l’autore del reato si adoperi concretamente per evitare conseguenze ulteriori, collaborando con le autorità nella raccolta di prove o nel recupero dei proventi illeciti. Questo istituto tempera il rigore sanzionatorio, permettendo una riduzione delle pene per i reati minori e per coloro che cooperano con la giustizia.
La Legge n. 90 del 2024 ha anche introdotto il nuovo reato di estorsione informatica, disciplinata dal terzo comma dell’art. 629 c.p. Tale reato punisce con la reclusione da sei a dodici anni, e con la multa, chiunque, mediante accesso abusivo, intercettazioni, danneggiamento di dati o sistemi informatici, o minacciando di compiere tali condotte, costringa qualcuno a fare o omettere qualcosa, procurando a sé o ad altri un ingiusto profitto con altrui danno.
Questa nuova fattispecie – che idealmente può essere inserita tra i reati informatici – si pone come risposta normativa al fenomeno crescente dell’estorsione informatica mediante ransomware, prevedendo un trattamento sanzionatorio particolarmente severo per tali condotte. Si tratta di una fattispecie autonoma di reato, che lascia adito ad alcuni dubbi sulla disciplina applicabile ex art. 2 c.p. (in particolare se alcune delle condotte descritte dalla norma potessero considerarsi reato in base alla legge previgente).
La riforma ha investito anche i reati informatici di danneggiamento logico e fisico, per i quali sono stati innalzati i limiti di pena e introdotte nuove aggravanti, con particolare riferimento alle condotte commesse da pubblici ufficiali, incaricati di pubblico servizio o operatori di sistema. Anche il reato di detenzione, diffusione e installazione abusiva di apparecchiature, dispositivi o programmi informatici diretti a danneggiare o interrompere un sistema informatico ha subito modifiche significative. L’art. 615-quinquies c.p. è stato abrogato, e la fattispecie è stata inserita nel nuovo art. 635-quater.1 c.p.
Nonostante non muti la sostanza del reato, la collocazione sistematica è sicuramente più opportuna; inoltre sono state introdotte nuove aggravanti per punire più severamente le condotte commesse da soggetti con qualifiche pubblicistiche o relative a sistemi di interesse pubblico. Vale anche in questo caso la considerazione pocanzi svolta a proposito delle aggravanti del reato di cui all’art. 615-quater c.p.
Per temprare il rigore delle nuove sanzioni, la Legge n. 90/2024 ha introdotto una nuova circostanza attenuante all’art. 639-ter c.p., che prevede la diminuzione delle pene per i reati di estorsione informatica e per il danneggiamento di sistemi informatici, qualora il fatto risulti di lieve entità. Come per l’art. 623-quater c.p., è prevista una riduzione delle pene fino a due terzi per coloro che collaborano attivamente con le autorità per evitare conseguenze ulteriori del reato o per favorire il recupero dei proventi delittuosi.
Infine, nel contesto dell’art. 640 c.p., è stata introdotta una nuova aggravante per la “truffa via web”, disciplinata dal nuovo comma 2-ter dell’art. 640 c.p. Questo prevede un aumento della pena per le truffe commesse a distanza mediante strumenti informatici o telematici, idonei a ostacolare l’identificazione del colpevole. Tuttavia, nonostante l’aggravamento del trattamento sanzionatorio, la procedibilità d’ufficio per questa fattispecie non è prevista, richiedendo quindi la presentazione di querela da parte della persona offesa per l’avvio del procedimento penale.
Quanto alla responsabilità da reato dell’ente, l’art. 19 della Legge n. 90 del 2024 introduce significative modifiche all’art. 24-bis del Decreto Legislativo 8 giugno 2001, n. 231. Le modifiche riguardano, in particolare, l’inasprimento delle sanzioni pecuniarie.
Il comma 1 dell’art. 24-bis, infatti, viene modificato prevedendo un aumento delle sanzioni, che passano da un minimo di cento a cinquecento quote, a un nuovo intervallo compreso tra duecento e settecento quote. Tale aumento è finalizzato a intensificare l’impatto economico delle sanzioni in capo agli enti responsabili di tali condotte illecite.
Un’ulteriore rilevante novità è rappresentata dall’introduzione del nuovo comma 1-bis, il quale prevede l’applicazione di una sanzione pecuniaria, variabile da trecento a ottocento quote, in caso di commissione del reato di estorsione informatica, di cui al terzo comma dell’art. 629 del codice penale.
Il comma 2 dell’art. 24-bis viene anch’esso modificato, sostituendo il riferimento all’art. 615-quinquies del codice penale con l’art. 635-quater.1, che disciplina la detenzione e diffusione di programmi informatici dannosi. Anche in questo caso, si registra un aumento delle sanzioni pecuniarie, che passano da un massimo di trecento a un massimo di quattrocento quote.
Infine, il comma 4 prevede l’applicazione di sanzioni interdittive nei confronti dell’ente condannato per il reato di estorsione informatica, secondo quanto previsto dal nuovo comma 1-bis. Tali sanzioni interdittive, che comprendono misure come il divieto di contrattare con la Pubblica Amministrazione, devono avere una durata non inferiore a due anni.
Queste modifiche si collocano nel più ampio contesto di rafforzamento della repressione dei crimini informatici, con l’obiettivo di aumentare l’efficacia delle sanzioni pecuniarie e delle misure interdittive a carico degli enti coinvolti in tali illeciti.
Modifiche al codice di procedura penale e alle leggi speciali
La Legge n. 90 interviene anche su numerose disposizioni del codice di procedura penale e di leggi speciali.
Uno dei principali interventi normativi riguarda l’ampliamento della competenza della Procura distrettuale. L’art. 51, comma 3-quinquies c.p.p., che disciplina i reati di competenza della Procura distrettuale, è stato modificato per includere i reati previsti dagli artt. 635-quater, 635-quater.1 e 635-quinquies c.p. (danneggiamento fisico, detenzione e diffusione di programmi informatici dannosi e danneggiamenti informatici di sistemi di pubblica utilità).
Inoltre, sono state aggiunte le condotte di falso che incidono sui poteri di controllo e ispettivi relativi ai soggetti inclusi nel Perimetro di Sicurezza Nazionale Cibernetica, come stabilito dall’art. 1, comma 11, del D.L. n. 105/2019. Questo intervento mira a garantire un più rigido controllo dei reati che impattano sulla sicurezza nazionale cibernetica, facendo leva sulle capacità investigative della Procura distrettuale.
Un ulteriore emendamento riguarda la disciplina della proroga delle indagini preliminari. L’art. 406, comma 5-bis, c.p.p., introduce una deroga alla disciplina ordinaria basata sul contraddittorio delle parti. Questo permette agli inquirenti di ottenere la proroga inaudita altera parte. Inoltre, la durata massima delle indagini preliminari è stata estesa a due anni per tutti i principali reati informatici, tenuto conto della particolare difficoltà che tali indagini comportano.
I reati informatici più gravi, quali l’accesso abusivo aggravato a sistemi informatici, il danneggiamento fisico e logico di sistemi di pubblica utilità e i reati previsti dagli artt. 617-quater, 617-quinquies e 617-sexies c.p. (se commessi contro sistemi informatici o telematici di interesse pubblico, utilizzati dallo Stato o da imprese esercitanti servizi pubblici), sono stati inclusi in alcuni istituti speciali previsti dal D.L. n. 8/1991(“Norme per la protezione e il trattamento sanzionatorio di coloro che collaborano con la giustizia”).
Più precisamente si prevede, da un lato, che l’applicazione di speciali misure di protezione in favore di collaboratori di giustizia sia ammissibile anche per tali reati; dall’altro che la liberazione condizionale, la concessione dei permessi premio e l’ammissione alla misura della detenzione domiciliare siano disposte sentito il procuratore nazionale antimafia e antiterrorismo.
Inoltre, la Legge 90 modifica alcune disposizioni del D.L. 152/1991, estendendo anche ai reati informatici più gravi (per tali intendendosi quelli pocanzi indicati) la previsione per cui le intercettazioni sono disposte con decreto motivato se sussistono sufficienti indizi; vieppiù l’intercettazione tra presenti è consentita anche se non vi è motivo di ritenere che nei luoghi predetti si stia svolgendo l’attività criminosa.
Un altro rilevante intervento riguarda la disciplina delle speciali misure di protezione per i testimoni di giustizia, prevista dall’art. 11 della Legge n. 6 /2018. Per queste si prevede che, nei casi di reati informatici particolarmente gravi, la proposta di ammissione alle misure di protezione debba essere sottoposta al parere del Procuratore nazionale antimafia e antiterrorismo. Anche in questo caso, si evidenzia l’importanza attribuita alla dimensione cibernetica nell’ambito della sicurezza nazionale, con un rafforzamento delle misure di protezione per coloro che collaborano nelle indagini sui reati informatici.
Infine, l’art. 22 della Legge n. 90 del 2024 introduce importanti modifiche al decreto-legge 14 giugno 2021, n. 82, istitutivo dell’Agenzia per la Cybersicurezza Nazionale (ACN).
Tra le principali novità, il comma 4 dell’art. 17 è stato modificato prevedendo che il personale dell’Agenzia, impegnato presso il CSIRT Italia, assuma la qualifica di pubblico ufficiale nello svolgimento delle proprie funzioni. Inoltre, viene stabilito che la trasmissione delle notifiche di incidenti informatici al Ministero dell’Interno adempie agli obblighi di denuncia previsti dall’art. 331 c.p.p.
Si prevede inoltre che, in caso di reati informatici ai danni di sistemi di interesse pubblico, oppure quando siano coinvolti soggetti rilevanti previsti dal Perimetro di Sicurezza Cibernetica o dal Decreto NIS (al riguardo rinviamo al nostro precedente approfondimento), l’Agenzia per la Cybersicurezza Nazionale debba immediatamente informare il Procuratore nazionale antimafia e antiterrorismo. Contestualmente, l’Agenzia è tenuta a proseguire con le attività necessarie per mitigare il rischio informatico.
Allo stesso modo, il Pubblico Ministero quando ha notizia di reati informatici di particolare gravità (v. art. 371, comma 4-bis c.p.p.), deve tempestivamente informare l’Agenzia per la Cybersicurezza e coordinarsi con il Ministero dell’Interno. Inoltre, è attribuito al pubblico ministero il potere di posticipare alcune attività di resilienza informatica qualora esse possano interferire con lo svolgimento delle indagini penali.
Infine, si prevede che, qualora si svolgano accertamenti tecnici irripetibili in relazione a reati informatici gravi e di interesse pubblico, l’Agenzia debba essere informata tempestivamente e possa partecipare alle indagini tecniche. Questa disposizione si applica anche nel caso in cui si proceda mediante incidente probatorio, garantendo così un coordinamento tra le attività investigative e le esigenze di cybersicurezza.
Conclusioni
In conclusione, è importante chiarire che la Legge n. 90 del 2024 non equipara i reati informatici a quelli di stampo mafioso. Sebbene la riforma abbia introdotto un significativo irrigidimento della risposta sanzionatoria, soprattutto in relazione ai reati più gravi che riguardano la sicurezza di dati e sistemi di interesse pubblico, non vi è alcuna assimilazione normativa tra i crimini informatici e quelli mafiosi. L’estensione dei poteri investigativi, come l’inclusione di alcuni reati informatici tra quelli di competenza della Procura distrettuale o l’adozione di misure speciali per reati che colpiscono infrastrutture critiche, è volta a garantire una maggiore protezione per la cybersicurezza nazionale.
Tuttavia, tale inasprimento non implica una parificazione tra le due categorie di reato, e sarebbe un errore concettuale considerarle sullo stesso piano. La riforma si limita a rafforzare la risposta dell’ordinamento giuridico ai crescenti rischi del cyberspazio, senza creare sovrapposizioni con la normativa antimafia.
Per aggiornamenti seguici anche su: https://www.linkedin.com/company/dagostinolex
Studio legale Avv. Luca D’Agostino, specializzato in reati informatici, ransomware, frodi online e truffe tramite mail.
da Redazione | Ott 7, 2024 | Diritto d'Impresa, Diritto Penale
Il decreto legislativo di recepimento della Direttiva NIS 2 ha introdotto una regolamentazione che, in parte, si sovrappone all’ambito disciplinato dal Decreto-Legge 105/2019, istitutivo del Perimetro di Sicurezza Nazionale Cibernetica (PSNC). Tale parziale coincidenza emerge chiaramente dall’analisi degli ambiti soggettivi delle due normative. Da un lato, l’articolo 3 e l’articolo 6 del decreto NIS 2 individuano come destinatari gli operatori essenziali e importanti di settori rilevanti, tra cui molti rientrano nelle infrastrutture strategiche e nei servizi essenziali definiti dal D.L. 105/2019. In particolare, il DPR 30 luglio 2020, n. 131, ha esplicitamente elencato quei settori considerati di interesse nazionale, che coincidono con alcuni dei settori ricompresi anche nell’ambito di applicazione della normativa NIS 2.
L’introduzione di queste due normative mira a garantire una maggiore protezione delle infrastrutture critiche e dei sistemi informativi nazionali, attraverso la gestione del rischio cibernetico e l’adozione di misure di sicurezza proporzionate. Tuttavia, per gli operatori già inseriti nel PSNC, le nuove disposizioni della NIS 2 possono comportare obblighi aggiuntivi o diversamente modulati. L’articolo si propone di fornire un quadro completo e chiaro degli adempimenti che tali operatori devono rispettare per garantire la compliance con entrambe le normative.
A conclusione dell’articolo, forniremo una checklist degli adempimenti fondamentali e un calendario delle principali scadenze, utili per aiutare le imprese e gli enti pubblici a rispettare le disposizioni del D. Lgs. 138/2024 e del D.L. 105/2019. Questo strumento sarà essenziale per gestire in maniera efficiente le fasi di adeguamento richieste dalla normativa NIS di nuovo conio.
Perimetro di Sicurezza Nazionale Cibernetica: quali obblighi?
Il Perimetro di Sicurezza Nazionale Cibernetica (PSNC), istituito con il D.L. 105/2019, impone una serie di obblighi a carico dei soggetti che ne fanno parte, con l’obiettivo di garantire la protezione delle infrastrutture e dei sistemi essenziali per la sicurezza nazionale. Di seguito una breve disamina dei principali obblighi.
I soggetti inclusi nel Perimetro, una volta ricevuta la comunicazione ufficiale della loro inclusione, sono tenuti a predisporre e aggiornare periodicamente un elenco dettagliato dei beni ICT impiegati. Questo elenco deve includere i sistemi informativi e i servizi informatici che utilizzano tali beni, con l’indicazione specifica di quelli che, in caso di incidente, potrebbero causare l’interruzione totale o parziale delle funzioni essenziali o dei servizi essenziali. In particolare, devono essere evidenziati quei beni la cui compromissione potrebbe avere effetti irreversibili sulla riservatezza, integrità o disponibilità dei dati gestiti.
Entro sei mesi dalla comunicazione di inclusione nelle liste del PSNC, i soggetti devono trasmettere all’Autorità competente l’elenco completo dei beni ICT, accompagnato dai modelli che descrivono l’architettura di tali beni. Questo trasferimento di informazioni avviene attraverso una piattaforma digitale dedicata, garantendo così la sicurezza delle informazioni inviate.
In aggiunta a questi obblighi, i soggetti inclusi nel Perimetro sono tenuti a rispettare rigorose misure di sicurezza che mirano a prevenire e mitigare gli effetti di eventi dannosi in grado di pregiudicare il normale svolgimento delle loro attività. Tali misure, elaborate ai sensi dell’articolo 1, comma 4, del D.L. 105/2019, sono oggi elencate nel DPCM 81/2021, e impongono standard elevati di protezione.
Un ulteriore obbligo riguarda la notifica tempestiva di ogni incidente informatico al Gruppo di intervento per la sicurezza informatica in caso di incidente italiano (CSIRT Italia). Questa notifica deve essere effettuata senza indugio per consentire una gestione rapida e coordinata degli eventi.
Infine, i soggetti inclusi nel PSNC devono segnalare al Centro di valutazione e certificazione nazionale (CVCN) l’avvio di qualsiasi procedura di affidamento per la fornitura di beni ICT che saranno utilizzati su reti, sistemi informativi e servizi essenziali, al fine di garantire il rispetto delle misure di sicurezza nazionali anche nei processi di approvvigionamento tecnologico.
Il coordinamento tra PSNC e disciplina NIS 2
Il coordinamento tra il Perimetro di Sicurezza Nazionale Cibernetica (PSNC) e la disciplina introdotta dalla Direttiva NIS 2, come regolamentato dall’art. 33 del D. Lgs. 138/2024, rappresenta un aspetto cruciale per garantire una gestione integrata e coerente della sicurezza cibernetica a livello nazionale. Il legislatore ha voluto evitare sovrapposizioni e ridondanze normative tra le due discipline, garantendo al contempo che i soggetti già inseriti nel PSNC continuino a rispettare gli obblighi di sicurezza stabiliti dal D.L. 105/2019, senza dover duplicare le misure previste dal nuovo assetto normativo introdotto dalla NIS 2.
In primo luogo, il decreto stabilisce che gli obblighi di gestione del rischio per la sicurezza informatica e di notifica degli incidenti previsti dal D.L. 105/2019 sono considerati almeno equivalenti a quelli imposti dal D. Lgs. 138/2024. Questo significa che i soggetti inclusi nel Perimetro di Sicurezza Nazionale Cibernetica non sono tenuti ad adempiere contemporaneamente agli obblighi di entrambe le normative, ma possono continuare a rispettare le disposizioni del PSNC, considerate sufficienti anche ai fini della NIS 2.
Tuttavia, il coordinamento tra le due discipline non implica una completa esenzione dalla normativa NIS 2. Infatti, l’art. 33 chiarisce che le reti, i sistemi informativi e i servizi inseriti nell’elenco del Perimetro di Sicurezza non sono soggetti alle disposizioni del decreto NIS 2, ma soltanto per quanto riguarda i beni strettamente rientranti nell’ambito del PSNC. Per tutti gli altri sistemi o servizi non compresi nel perimetro di sicurezza nazionale, continuano ad applicarsi le disposizioni del D. Lgs. 138/2024. Ciò garantisce che ogni infrastruttura critica e ogni soggetto essenziale o importante sia adeguatamente tutelato, senza lasciare lacune nel sistema di protezione cibernetica nazionale.
Un altro aspetto rilevante riguarda la notifica degli incidenti. I soggetti del Perimetro che notificano un incidente ai sensi del D.L. 105/2019 non devono ripetere la notifica seguendo le disposizioni del D. Lgs. 138/2024 per lo stesso evento. Anche in questo caso, il legislatore ha voluto evitare duplicazioni procedurali, garantendo una gestione più snella e coerente degli incidenti cibernetici.
La scelta del legislatore di coordinare il PSNC con la disciplina della Direttiva NIS 2 risponde all’esigenza di armonizzare le normative nazionali ed europee in materia di sicurezza cibernetica, garantendo che i soggetti coinvolti possano adottare misure di sicurezza efficaci, senza doversi confrontare con obblighi duplicati o conflittuali. Questo approccio garantisce una protezione ottimale delle infrastrutture critiche, pur mantenendo la coerenza tra le diverse normative applicabili.
Soggetti inclusi nel Perimetro, registrazione nella piattaforma, e obblighi NIS.
I soggetti già inclusi nel Perimetro di Sicurezza Nazionale Cibernetica (PSNC) devono affrontare un’analisi preliminare per determinare se rientrano anche nell’ambito di applicazione del Decreto NIS 2. Questa valutazione è essenziale per stabilire se operano nei settori considerati critici o altamente critici, elencati negli Allegati I e II del D. Lgs. 138/2024, o se possiedono una delle qualifiche di soggetti pubblici o privati elencati negli Allegati III e IV. Qualora un soggetto operi in uno di questi ambiti, è tenuto a rispettare anche gli obblighi imposti dalla normativa NIS 2, oltre a quelli già previsti dal D.L. 105/2019.
Una volta confermata l’applicabilità del decreto NIS 2, i soggetti dovranno verificare se all’interno della loro organizzazione esistano reti e sistemi informativi che non rientrano nella clausola di esclusione prevista dall’art. 33, comma 1, lettera b), del D. Lgs. 138/2024.
Tale clausola esclude dall’ambito di applicazione della NIS 2 le reti e i sistemi già sottoposti alla disciplina del PSNC. Tuttavia, qualora esistano reti o sistemi informativi che non ricadano nel PSNC, ma che siano comunque rilevanti ai fini della NIS 2, questi soggetti dovranno procedere alla registrazione sulla piattaforma digitale predisposta dall’Agenzia per la Cybersicurezza Nazionale (ACN). La registrazione deve essere effettuata – a seconda dei casi – entro il 17 gennaio 2025 o entro il 28 febbraio 2025, come già approfondito in un precedente articolo.
Per quanto riguarda l’obbligo di notifica degli incidenti, il Decreto NIS 2 prevede una deroga per gli incidenti che riguardano reti e sistemi informativi già sottoposti alla disciplina del PSNC. In questi casi, gli incidenti non devono essere notificati secondo le disposizioni del D. Lgs. 138/2024. Tuttavia, se l’incidente riguarda reti o sistemi esterni al PSNC, ma comunque soggetti alla normativa NIS 2, si ritiene che i soggetti debbano rispettare i termini di notifica stabiliti dagli artt. 25 e 42 del decreto.
Un ulteriore obbligo riguarda la comunicazione dell’elenco delle attività e dei servizi svolti dai soggetti, con la loro caratterizzazione e categorizzazione. Tale obbligo entrerà in vigore a partire dal 1° gennaio 2026, e da quella data i soggetti saranno tenuti a fornire annualmente le informazioni relative alle sole reti e sistemi che non rientrano nel Perimetro di Sicurezza Nazionale.
Entro 18 mesi dalla ricezione della comunicazione di inserimento nell’elenco dei soggetti NIS, gli enti già inclusi nel PSNC dovranno inoltre adottare le misure di gestione del rischio e le misure di sicurezza previste dal Decreto NIS 2 per le reti e i sistemi non coperti dal PSNC. È possibile ritenere che, se tali misure sono analoghe a quelle previste dall’art. 1, comma 3, lettera b), del D.L. 105/2019, esse saranno considerate equivalenti a quelle richieste dal D. Lgs. 138/2024.
In conclusione, questa checklist fornisce un quadro orientativo degli adempimenti necessari per i soggetti già inclusi nel Perimetro e ora soggetti anche alla normativa NIS 2. Tuttavia, la complessità della disciplina e le peculiarità di ciascun soggetto richiedono una valutazione approfondita che solo una consulenza legale esperta può offrire. Il nostro studio legale è a disposizione per assistere le imprese e le pubbliche amministrazioni in tutte le fasi del processo di conformità alle normative sulla cybersicurezza.
Checklist di adempimenti
- Verifica se l’organizzazione rientra nei settori degli Allegati I e II, o se possiede una qualifica prevista dagli Allegati III e IV del D. Lgs. 138/2024.
- Valuta se ci sono reti o sistemi informativi che non ricadono nella clausola di esclusione ai sensi dell’art. 33, comma 1, lett. b) D. Lgs. 138/2024
- Se esistono reti o sistemi extra Perimetro, procedi alla registrazione sulla piattaforma ACN entro il 17 gennaio 2025 o 28 febbraio 2025.
- Fornisci le ulteriori informazioni richieste dal Decreto NIS 2 entro il 31 maggio 2025
- Gli incidenti relativi a reti intra Perimetro non richiedono notifica secondo il D. Lgs. 138/2024, mentre gli incidenti extra Perimetro devono essere notificati secondo le tempistiche NIS 2.
- Dal 1° gennaio 2026, comunica annualmente l’elenco delle attività e dei servizi per le reti e sistemi extra Perimetro, includendo caratterizzazione e categorizzazione.
- Entro 18 mesi dall’inserimento nell’elenco NIS, adotta le misure di gestione del rischio e sicurezza per le reti e sistemi extra Perimetro, con possibili equivalenze alle misure PSNC.
Per aggiornamenti seguici anche su: https://www.linkedin.com/company/dagostinolex
SCARICA QUI IL PDF DELLA CHECKLIST: Checklist_NIS2_Perimetro_dagostinolex
Studio Legale D’Agostino: assistenza in cyber security e sicurezza informatica con focus sul Decreto NIS 2 e Perimetro, gestione del rischio e incidenti informatici
da Redazione | Ott 6, 2024 | Diritto d'Impresa, Consulenze Legali
Con il Decreto Legislativo 138/2024, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024, l’Italia ha finalmente recepito la Direttiva NIS 2. Il decreto introduce un quadro normativo più rigoroso e articolato, imponendo a soggetti pubblici e privati nuovi obblighi di gestione del rischio e di notifica di incidenti di sicurezza informatica. Nel dettaglio la normativa individua due principali categorie di soggetti: essenziali e importanti, imponendo loro differenti livelli di adempimento.
In questo articolo, intendiamo offrire una guida pratica per le imprese sulle principali scadenze e adempimenti previsti dal decreto, fornendo un quadro chiaro delle tempistiche e delle misure da adottare per evitare le pesanti sanzioni previste per le violazioni. In attesa di una nostra successiva pubblicazione più dettagliata, questo contributo vuole essere un primo strumento di orientamento per conformarsi alla nuova normativa in modo efficace e tempestivo.
Chi sono i soggetti tenuti all’applicazione del Decreto NIS 2?
Il D. Lgs. 138/2024 NIS 2 si applica a una vasta gamma di soggetti, pubblici e privati, che operano in settori considerati di primaria rilevanza per gli interessi della collettività. L’articolo 3, unitamente agli Allegati I, II, III e IV, identifica con precisione tali soggetti, distinguendoli in due grandi categorie: amministrazioni pubbliche e soggetti essenziali/ importanti.
Senza pretese di esaustività, basti in questa sede ricordare che, per quanto riguarda gli enti pubblici, il Decreto NIS 2 si applica a tutte le amministrazioni centrali dello Stato, come individuate nell’Allegato III, comprendendo, tra gli altri, ministeri, agenzie governative, autorità indipendenti, amministrazioni regionali, comuni oltre i 100.000 abitanti e altri enti pubblici (che forniscono, ad esempio, servizi di interesse economico generale, società in house, società partecipate e società a controllo pubblico etc.).
D’altro lato, per gli enti (essenzialmente) privati, il decreto distingue tra soggetti essenziali e soggetti importanti, in base alla rilevanza dei settori in cui operano. I soggetti essenziali, come definiti nell’Allegato I, operano in settori altamente critici per la sicurezza nazionale, tra cui l’energia, i trasporti, la sanità, la gestione delle risorse idriche e le infrastrutture digitali. Tuttavia, la qualifica spetta ai soggetti che superano i massimali previsti per le medie imprese, come stabilito dalla raccomandazione 2003/361/CE. Ciò esclude che le imprese di più ridotte dimensioni, a meno che non siano esplicitamente classificate come critiche o operino in determinati ambiti (es. prestatori di servizi fiduciari qualificati e i gestori di registri dei nomi di dominio di primo livello), siano annoverate tra i soggetti essenziali. Le P.A. centrali figurano di diritto tra i soggetti essenziali.
Rientrano invece tra i soggetti importanti, per sottrazione, quelli che non sono ritenuti essenziali e coloro che operano nei settori di cui all’Allegato II. Quest’ultimo individua alcuni settori come i servizi postali, la gestione dei rifiuti la produzione di sostanze chimiche o di dispositivi medici, e i fornitori di servizi digitali. Anche in questo caso, l’applicazione della normativa è subordinata, salvo eccezioni, al superamento dei massimali per le piccole imprese.
NIS 2: la registrazione sulla piattaforma e il meccanismo di designazione. Quali termini?
Con il recepimento della Direttiva NIS 2 è stato significativamente ampliato il numero di soggetti tenuti a conformarsi agli obblighi di cybersicurezza. Rispetto al passato, la NIS 2 coinvolge una gamma più ampia di settori e soggetti, estendendo gli obblighi anche a categorie di soggetti e settori di attività prima non considerati. Questo ampliamento ha reso opportuno prevedere la creazione di una piattaforma digitale, gestita dall’Autorità nazionale competente NIS, attraverso la quale i soggetti interessati devono registrarsi o aggiornare le informazioni necessarie.
Nel dettaglio, l’art. 7, comma 1, del decreto NIS 2 stabilisce che a partire dal 1° gennaio di ogni anno, e non oltre il 28 febbraio, i soggetti obbligati devono registrarsi o aggiornare la propria registrazione sulla piattaforma digitale. Questa registrazione è fondamentale per consentire all’Autorità NIS di svolgere le sue funzioni di controllo e monitoraggio, e include la comunicazione di informazioni essenziali quali la ragione sociale, i recapiti aggiornati, l’indicazione di un punto di contatto e, ove applicabile, i settori e le tipologie di attività svolte.
In sostanza, l’ampiezza del perimetro di applicazione della normativa impone ora una maggiore responsabilità in capo ai soggetti privati, i quali devono attivarsi autonomamente per la registrazione sulla piattaforma, senza attendere un intervento attivo da parte dell’Autorità. Tale obbligo si applica sia ai soggetti essenziali che ai soggetti importanti, i quali devono comunicare tutte le informazioni relative alle proprie attività entro i termini previsti.
Tuttavia, l’art. 42 del decreto NIS 2 prevede un regime di prima applicazione per la registrazione, stabilendo che per alcune categorie specifiche di soggetti, come i fornitori di servizi di sistema dei nomi di dominio, di cloud computing e data center, la registrazione debba essere effettuata entro il 17 gennaio 2025.
Per gli altri soggetti, invece, il termine per completare la registrazione (in base al combinato disposto dagli artt. 7, comma 1 e 42) sembra fissato al 28 febbraio 2025. Tale obbligo appare comunque condizionato all’effettiva attivazione della piattaforma da parte dell’Autorità. Resta ferma la possibilità per i soggetti essenziali e importanti di registrarsi a partire dalla data di pubblicazione della piattaforma in esame.
Dopo aver ricevuto la registrazione sulla piattaforma, l’Autorità NIS verifica le informazioni trasmesse dai soggetti registrati; entro il 31 marzo di ogni anno, redige l’elenco dei soggetti essenziali e importanti. Successivamente, tramite la piattaforma digitale, comunica ai soggetti registrati il loro inserimento nell’elenco o eventuali aggiornamenti della loro posizione, e richiede eventuali integrazioni o ulteriori informazioni necessarie.
In caso di mancata registrazione o di tardiva registrazione sulla piattaforma digitale entro i termini stabiliti dall’art. 7 del D. Lgs. 138/2024 NIS 2, si applicano le sanzioni amministrative pecuniarie previste dall’art. 38. Le violazioni relative alla mancata registrazione sono punite con sanzioni che, per i soggetti essenziali, possono arrivare fino allo 0,1% del fatturato annuo su scala mondiale (o per i soggetti importanti, lo 0,07% del fatturato annuo). Inoltre, in caso di mancata registrazione, potranno essere comunque contestate, ricorrendone i presupposti, anche le altre violazioni (si applica, in tal caso, la sanzione prevista per la violazione più grave aumentata fino al triplo).
NIS 2, adozione di misure di sicurezza e elencazione di attività e servizi. Quali termini?
Il D. Lgs. 138/2024 NIS 2 prevede una serie di obblighi stringenti in materia di sicurezza informatica che i soggetti essenziali e importanti devono rispettare, come delineato dagli articoli 23, 24 e 30. L’articolo 23 impone agli organi di amministrazione e direttivi dei soggetti essenziali e importanti di approvare e sovrintendere all’implementazione delle misure di gestione del rischio per la sicurezza informatica. Tali organi sono inoltre tenuti a promuovere una formazione specifica in materia di sicurezza informatica, sia per i dirigenti che per i dipendenti.
L’articolo 24 stabilisce gli obblighi specifici di gestione del rischio per la sicurezza informatica. I soggetti obbligati devono adottare misure tecniche, operative e organizzative adeguate e proporzionate per prevenire o ridurre al minimo l’impatto di incidenti di sicurezza sui propri sistemi informativi e sui servizi offerti. Le misure devono essere basate su un approccio multi-rischio e comprendere politiche di sicurezza, gestione degli incidenti, continuità operativa, gestione della catena di approvvigionamento e sicurezza del personale.
L’articolo 30 del Decreto NIS 2, invece, prevede l’obbligo per i soggetti essenziali e importanti di fornire, attraverso la piattaforma digitale, un elenco delle attività e dei servizi svolti, comprensivo della loro caratterizzazione e categorizzazione, al fine di permettere una valutazione accurata dei rischi associati a ciascuna attività. Tale elenco deve essere comunicato annualmente tra il 1° maggio e il 30 giugno, a partire dall’anno successivo alla registrazione sulla piattaforma digitale.
Tuttavia, come previsto dall’articolo 42 del decreto NIS 2, l’obbligo di comunicare l’elenco delle attività e dei servizi entrerà in vigore a partire dal 1° gennaio 2026, fornendo così ai soggetti coinvolti un ampio margine di tempo per adeguarsi.
Per quanto riguarda gli obblighi previsti dagli articoli 23 e 24 del Decreto NIS 2, essi dovranno essere rispettati entro 18 mesi dalla ricezione della comunicazione di inserimento nell’elenco dei soggetti essenziali o importanti, come stabilito dall’articolo 42. Questo termine dilazionato garantisce ai soggetti il tempo necessario per implementare tutte le misure di sicurezza richieste dalla normativa, evitando che l’applicazione sia immediata e repentina.
Notifica degli incidenti. Quali termini?
Il decreto di recepimento della NIS 2, all’art. 25, introduce un obbligo stringente per i soggetti essenziali e importanti di notificare ogni incidente significativo che possa avere un impatto rilevante sulla fornitura dei loro servizi. L’incidente è considerato significativo quando provoca o ha il potenziale di provocare gravi perturbazioni operative o perdite finanziarie per il soggetto, o quando ha ripercussioni significative su altre persone fisiche o giuridiche, causando perdite materiali o immateriali rilevanti.
La norma stabilisce i termini precisi per la notifica degli incidenti al CSIRT Italia. Entro 24 ore dal momento in cui un soggetto è venuto a conoscenza di un incidente significativo, è richiesto l’invio di una pre-notifica, che, ove possibile, deve indicare se l’incidente può essere il risultato di atti illegittimi o malevoli o se ha un impatto transfrontaliero.
Successivamente, entro 72 ore dalla scoperta dell’incidente, il soggetto deve trasmettere una notifica completa, contenente una valutazione iniziale dell’incidente, comprensiva della sua gravità e impatto. In seguito, il soggetto può essere tenuto a fornire una relazione intermedia, seguita da una relazione finale entro un mese dall’invio della notifica completa, contenente una descrizione dettagliata dell’incidente, le misure di attenuazione adottate e l’impatto transfrontaliero, ove noto.
In base a quanto previsto dall’art. 42, l’obbligo di notifica degli incidenti si applicherà gradualmente. Nella fase di prima applicazione, il termine per l’adempimento degli obblighi di notifica è fissato in nove mesi dalla ricezione della comunicazione di inserimento nell’elenco dei soggetti essenziali o importanti da parte dell’Autorità nazionale competente NIS.
Tuttavia, per i soggetti che sono già stati identificati come operatori di servizi essenziali ai sensi del D. Lgs. 65/2018, l’obbligo di notifica degli incidenti e gli altri obblighi previsti dalle vecchie disposizioni continueranno a rimanere in vigore fino all’applicazione delle nuove regole stabilite dal D. Lgs. 138/2024 NIS 2.
In particolare, i capi IV e V del D. Lgs. 65/2018, che disciplinano rispettivamente la gestione della sicurezza informatica e la notifica degli incidenti, continueranno ad applicarsi ai soggetti già inclusi nell’elenco NIS. Questo regime transitorio sarà valido fino all’adozione dei nuovi provvedimenti attuativi previsti dall’articolo 40 del D. Lgs. 138/2024 NIS 2. Tali provvedimenti attuativi definiranno nel dettaglio le nuove modalità di applicazione della normativa NIS 2 e sostituiranno definitivamente le vecchie regole.
Calendario delle scadenze per i destinatari del D. Lgs. 138/2024 NIS 2
Per le imprese e le pubbliche amministrazioni interessate, è fondamentale monitorare con attenzione le scadenze previste e procedere tempestivamente all’adempimento degli obblighi imposti dal decreto. Pertanto, a chiusura di questa breve guida operativa riportiamo, a valere come riassunto delle considerazioni dei paragrafi precedenti, uno scadenziario delle deadline che – presumibilmente – i destinatari della disciplina si troveranno a dover rispettare.
In ogni caso, si tenga presente che, ai sensi dell’art. 40 del D. Lgs. 138/2024 NIS 2, con apposite determinazioni dell’Agenzia per la Cybersicurezza Nazionale (ACN), saranno stabiliti i termini, le modalità e i procedimenti di utilizzo e accesso alla piattaforma digitale prevista dall’articolo 7, comma 6. Saranno inoltre specificate le ulteriori informazioni che i soggetti obbligati dovranno fornire. Analogamente, l’ACN stabilirà le categorie di rilevanza e le modalità di elencazione e categorizzazione delle attività e dei servizi, in linea con l’art. 30. Pertanto, alcune delle scadenze previste dal calendario potrebbero essere condizionate all’effettiva attivazione della piattaforma di registrazione e alla pubblicazione delle determinazioni dell’ACN.
Il nostro studio legale è a disposizione per fornire assistenza e consulenza su ogni aspetto della normativa NIS 2, aiutandovi a comprendere appieno gli obblighi e a rispettare le scadenze, al fine di garantire la piena conformità alle nuove disposizioni. Per aggiornamenti seguici anche su: https://www.linkedin.com/company/dagostinolex
Ecco un dettaglio delle scadenze.
17 gennaio 2025:
Entro questa data, alcune categorie specifiche di soggetti, come fornitori di servizi di sistema dei nomi di dominio, gestori di registri di nomi di dominio, fornitori di cloud computing e data center, dovranno completare la registrazione sulla piattaforma digitale. Questa scadenza è condizionata all’attivazione della piattaforma di registrazione e alla pubblicazione delle modalità di accesso stabilite dall’ACN.
28 febbraio 2025:
Entro il 28 febbraio 2025, tutti gli altri soggetti essenziali e importanti identificati dal decreto dovranno completare la registrazione o l’aggiornamento delle informazioni richieste sulla piattaforma digitale, in conformità all’art. 7, comma 1 del Decreto NIS 2. Anche questa scadenza dipende dall’attivazione effettiva della piattaforma.
31 marzo 2025:
L’Autorità nazionale competente NIS redigerà, entro il 31 marzo di ogni anno, l’elenco dei soggetti essenziali e importanti sulla base delle registrazioni effettuate. Anche il rispetto di tale scadenza dipenderà, verosimilmente, dall’attivazione effettiva della piattaforma.
31 maggio 2025:
I soggetti che hanno ricevuto la comunicazione di inserimento nell’elenco dei soggetti essenziali o importanti (prevista entro il 31 marzo 2025), sono tenuti, tramite la piattaforma digitale, a fornire o aggiornare le seguenti informazioni: lo spazio di indirizzamento IP pubblico e i nomi di dominio in uso, l’elenco degli Stati membri in cui forniscono servizi rilevanti ai sensi del decreto, e i nominativi degli apicali responsabili dell’adempimento degli obblighi previsti dal decreto. Ciò postula che siano state adottate le determine di attivazione della piattaforma e sia stato comunicato l’effettivo inserimento nell’elenco dei destinatari della disciplina.
Entro 9 mesi dalla comunicazione di inserimento nell’elenco:
A partire dalla data della comunicazione di inserimento nell’elenco, i soggetti avranno un termine di nove mesi per iniziare ad adempiere agli obblighi di notifica degli incidenti previsti dall’art. 25. Resta fermo quanto previsto dalla disciplina transitoria per soggetti già inclusi tra gli operatori NIS.
1° gennaio 2026:
L’obbligo di comunicare l’elenco delle attività e dei servizi, comprensivo della loro caratterizzazione e categorizzazione, entrerà in vigore a partire dal 1° gennaio 2026. Da tale data, i soggetti dovranno fornire annualmente tali informazioni, come previsto dall’art. 30 del Decreto NIS 2. Anche questa scadenza appare condizionata alla definizione delle categorie di rilevanza e dei criteri di elencazione da parte dell’ACN.
Entro 18 mesi dalla comunicazione di inserimento nell’elenco:
Entro 18 mesi dalla ricezione della comunicazione, probabilmente a partire dal mese di ottobre 2026, i soggetti essenziali e importanti dovranno adempiere agli obblighi di gestione del rischio e delle misure di sicurezza previste dagli articoli 23 e 24 del Decreto NIS 2. Questo include l’approvazione delle politiche di gestione del rischio informatico e l’implementazione delle misure di sicurezza adeguate.
N.B. Le date sopra indicate sono orientative e non sostituiscono un parere legale circostanziato in base alle specifiche caratteristiche dell’operatore destinatario della disciplina NIS 2.
SCARICA QUI IL PDF: Deadlines_decreto_NIS2_dagostinolex
Contatta il nostro Studio per una consulenza sull’implementazione del Decreto NIS 2
Studio Legale D’Agostino: assistenza in cyber security e sicurezza informatica con focus sul Decreto NIS 2, gestione del rischio e incidenti informatici
da Redazione | Ott 3, 2024 | Diritto d'Impresa, Diritto Penale
Il falso in bilancio è un tema sempre attuale. Invero la redazione del bilancio rappresenta un momento di cruciale importanza per la vita di ogni impresa, poiché costituisce il principale strumento attraverso cui viene data evidenza della situazione patrimoniale, economica e finanziaria della società. Tale documento, destinato a essere scrutinato da una molteplicità di soggetti – dagli azionisti agli investitori, dai creditori agli enti regolatori – deve riflettere con la massima trasparenza la realtà aziendale, garantendo così la tutela dell’affidamento che il mercato ripone nell’impresa.
In un simile contesto, l’attenzione posta alla rappresentazione veritiera e corretta dei dati contabili non è solo una questione di precisione tecnica, ma costituisce una vera e propria responsabilità giuridica. Gli amministratori e i dirigenti delle società sono tenuti a rispettare rigorosi obblighi di legge in merito alla veridicità delle informazioni finanziarie riportate nei bilanci.
Il mancato rispetto di tali obblighi, come noto, espone gli organi apicali dell’impresa non solo a sanzioni di natura civile e amministrativa, ma anche a gravi responsabilità penali, in particolar modo in relazione al reato di falso in bilancio (i.e. false comunicazioni sociali, art. 2621 c.c.). La delicatezza della materia impone, pertanto, una riflessione approfondita sui rischi derivanti da una rappresentazione contabile non conforme alle norme, con particolare riferimento alle implicazioni penalmente rilevanti.
L’obiettivo di questo contributo è quello di destare attenzione sull’importanza della corretta redazione dei bilanci e delle conseguenze derivanti da eventuali violazioni delle disposizioni di legge in materia (in particolare per falso in bilancio). Verranno analizzati i principali profili di rilevanza penale connessi alla redazione di bilanci non veritieri, con particolare riferimento al reato di false comunicazioni sociali, evidenziando altresì il ruolo fondamentale della prevenzione per una gestione aziendale conforme alla normativa e alle best practices di settore.
Sottovalutazione o sopravvalutazione delle voci patrimoniali. Falso in bilancio e impatto sulle decisioni economico-finanziarie
La corretta valutazione delle voci patrimoniali rappresenta un elemento centrale nella redazione del bilancio di esercizio, in quanto consente di fornire una rappresentazione veritiera e corretta della situazione economica e finanziaria dell’impresa. In tal senso, la sopravvalutazione o la sottovalutazione delle attività e delle passività costituiscono fattori distorsivi che possono alterare significativamente la percezione della salute finanziaria dell’azienda, con ripercussioni sulle decisioni degli stakeholder, quali investitori, creditori e partner commerciali.
La sopravvalutazione delle attività si verifica, ad esempio, quando i beni materiali o immateriali dell’impresa vengono iscritti a bilancio con valori superiori a quelli effettivi, violando il principio della prudenza contabile. Un esempio tipico riguarda l’iscrizione di immobili aziendali a un valore superiore a quello di mercato, basandosi su perizie non aggiornate o su criteri di valutazione eccessivamente ottimistici. Similmente, un altro caso ricorrente di sopravvalutazione si riscontra nella contabilizzazione di crediti verso clienti, che vengono mantenuti a bilancio come integralmente recuperabili, pur in presenza di segnali di difficoltà nel recupero, come inadempimenti protratti o situazioni di insolvenza degli stessi debitori. Questo comporta una rappresentazione artificiosa della liquidità e della capacità di incasso dell’impresa.
Dall’altra parte, la sottovalutazione delle passività si manifesta quando le obbligazioni dell’impresa vengono iscritte in bilancio a un valore inferiore a quello effettivo o vengono omesse del tutto, con il risultato di presentare una situazione finanziaria più solida di quella reale. Un esempio concreto di sottovalutazione riguarda il mancato accantonamento o un accantonamento insufficiente per passività potenziali, come le vertenze legali in corso, che potrebbero comportare esborsi significativi nel futuro. Un altro caso comune è la sottostima dei debiti verso fornitori o degli oneri fiscali, attraverso una rappresentazione dilazionata o inadeguata delle scadenze imminenti.
Tali distorsioni nella valutazione delle voci patrimoniali non solo compromettono la trasparenza e la veridicità del bilancio, ma incidono anche sulle scelte operative e strategiche di chi esamina questi dati. Un investitore, di fronte a una sopravvalutazione delle attività, potrebbe essere indotto a sovrastimare la redditività potenziale dell’impresa e a intraprendere decisioni di investimento basate su un quadro non realistico. Analogamente, un creditore potrebbe valutare erroneamente la capacità dell’impresa di onorare i propri debiti in presenza di una sottovalutazione delle passività, con conseguente rischio di esposizione finanziaria.
La responsabilità penale per falso in bilancio
La disciplina del falso in bilancio, contenuta negli artt. 2621 e 2622 del codice civile, individua tra i soggetti attivi del reato gli amministratori, i direttori generali, i sindaci e i liquidatori, ovvero coloro che rivestono un ruolo di responsabilità nella gestione e nella rappresentazione contabile della situazione economico-finanziaria dell’impresa.
La condotta incriminata consiste nella falsificazione o omissione di informazioni rilevanti all’interno dei bilanci, delle relazioni o di altre comunicazioni sociali destinate ai soci o al pubblico. Tali atti, se finalizzati a ingannare i destinatari o a ottenere per sé o per altri un vantaggio ingiusto, violano il principio della trasparenza contabile e la corretta informazione societaria.
Il reato si fonda sull’elemento soggettivo del dolo specifico, che si manifesta nell’intento fraudolento di alterare la rappresentazione della realtà societaria, influenzando in modo distorto le decisioni di terzi (investitori, creditori, soci, ecc.). Non basta, quindi, la semplice negligenza o imperizia; è richiesta la volontà consapevole di esporre fatti non rispondenti al vero o di omettere informazioni dovute.
Particolare rilievo assume il concetto di “fatti materiali rilevanti non rispondenti al vero”, che abbraccia tanto le falsità di natura oggettiva quanto le valutazioni soggettive che si discostano gravemente dai criteri ragionevoli o dalle prassi contabili generalmente accettate.
La questione del falso in bilancio valutativo è stata a lungo dibattuta in dottrina e giurisprudenza, con una svolta significativa nella sentenza delle Sezioni Unite della Corte di Cassazione n. 22474 del 31 maggio 2016. In questa decisione, la Corte ha chiarito che il falso valutativo, pur incentrato su stime e giudizi soggettivi, può configurare reato laddove tali valutazioni siano effettuate in maniera irragionevole e tale da alterare sostanzialmente la rappresentazione della situazione patrimoniale, economica o finanziaria della società.
Le Sezioni Unite hanno infatti sancito che, affinché si configuri il reato di falso in bilancio, non è necessario che la falsità riguardi un dato oggettivo e numerico. Anche le valutazioni soggettive, se basate su criteri manifestamente inappropriati, possono avere rilevanza penale, in quanto la legge mira a garantire la veridicità sostanziale del bilancio, non limitandosi ai meri aspetti formali. In questo senso, il falso valutativo si verifica quando gli amministratori adottano parametri di valutazione che si discostano in maniera irragionevole dai principi contabili o dalla realtà economica, con il risultato di fornire una falsa immagine della solidità patrimoniale e finanziaria della società.
La decisione ha, in sostanza, confermato l’importanza del rispetto dei principi di verità e prudenza nella redazione dei bilanci, confermando che il falso valutativo rappresenta ancora oggi un profilo rilevante nella prassi giudiziaria.
Tale condotta è spesso contestata dalle procure, soprattutto nei casi in cui la discrezionalità nella valutazione degli asset aziendali viene utilizzata in modo fraudolento per mascherare difficoltà economiche o manipolare le informazioni destinate al mercato. Di conseguenza, il falso valutativo continua a costituire un terreno centrale per le indagini in ambito societario, specie in contesti di crisi o di operazioni straordinarie, come fusioni o acquisizioni.
Prevenzione del falso in bilancio valutativo e responsabilità dell’ente ex D. Lgs. 231/2001
Il reato di falso in bilancio, rientrante tra i reati societari previsti dal nostro ordinamento, costituisce uno dei presupposti per la responsabilità amministrativa dell’ente ai sensi del D. Lgs. 231/2001. Qualora tale reato sia commesso da soggetti apicali o subordinati nell’interesse o a vantaggio dell’ente, la società può essere chiamata a rispondere con pesanti sanzioni, soprattutto in mancanza di un modello organizzativo idoneo e dell’istituzione di un Organismo di Vigilanza (OdV) deputato al controllo. Le sanzioni applicabili in tali casi possono variare dalle sanzioni pecuniarie fino a quelle interdittive, quali l’interdizione dall’esercizio dell’attività, il divieto di contrarre con la pubblica amministrazione e la sospensione o revoca di autorizzazioni e licenze, con gravi ripercussioni sulla continuità operativa dell’impresa.
Per prevenire efficacemente la commissione di reati come il falso in bilancio, i modelli organizzativi ex D. Lgs. 231/2001 devono prevedere un complesso di protocolli decisionali e di procedure di controllo volti a ridurre la discrezionalità nella valutazione delle voci patrimoniali, garantendo la veridicità e trasparenza delle comunicazioni sociali.
La costruzione di tali modelli richiede un’analisi approfondita delle specificità dell’impresa, ma in generale è necessario che essi prevedano misure che assicurino una rigorosa aderenza ai principi contabili generalmente accettati e che i criteri di valutazione adottati siano costantemente aggiornati in conformità alle migliori prassi. È altresì fondamentale che all’interno dell’organizzazione siano predisposte procedure interne per la revisione dei bilanci e delle valutazioni da parte di soggetti indipendenti rispetto a chi ha operato le stime contabili, garantendo così una separazione funzionale tra i ruoli di chi produce e chi verifica i dati contabili.
In aggiunta, è imprescindibile che ogni valutazione patrimoniale e finanziaria venga adeguatamente documentata, affinché vi sia traccia dei criteri seguiti e delle motivazioni sottostanti, a tutela dell’azienda nel caso di contestazioni future. Un altro aspetto rilevante è rappresentato dal ruolo dell’Organismo di Vigilanza, il cui compito è quello di monitorare l’efficace attuazione dei protocolli e delle procedure interne, con particolare attenzione a quei processi che lasciano margini di discrezionalità valutativa e che potrebbero esporre l’ente a rischi di false rappresentazioni contabili.
Accanto al reato di falso in bilancio e alla responsabilità amministrativa dell’ente, altre sanzioni possono trovare applicazione in tali contesti. In particolare, il sequestro preventivo e la confisca del profitto del reato rappresentano misure ulteriori a disposizione dell’autorità giudiziaria. Inoltre, sul piano civilistico, la società potrebbe essere esposta a azioni di responsabilità promosse da soci o creditori che abbiano subito un danno a causa della falsificazione contabile o di una rappresentazione non veritiera della situazione patrimoniale e finanziaria dell’impresa. A ciò si aggiunge il rischio di danno reputazionale, con un conseguente impatto negativo sulla fiducia del mercato e degli investitori.
In conclusione, la prevenzione del falso in bilancio valutativo assume una rilevanza fondamentale non solo per evitare le sanzioni penali e amministrative previste dalla normativa, ma anche per avviare efficaci pratiche di self-cleaning in situazioni di irregolarità ereditate da precedenti gestioni aziendali. L’adozione di modelli organizzativi conformi al D. Lgs. 231/2001 e la nomina di un adeguato Organismo di Vigilanza permettono all’impresa di dimostrare la propria buona fede e l’impegno nel prevenire illeciti futuri, contribuendo così a preservare la stabilità e la continuità aziendale, nonché a ristabilire un rapporto di fiducia con i propri interlocutori economici e finanziari.
Conclusioni sul falso in bilancio: sopravvalutazioni e sottovalutazioni
Le pratiche di sopravvalutazione e sottovalutazione delle voci patrimoniali e finanziarie della società sono purtroppo fenomeni diffusi in ambito aziendale, spesso frutto di una gestione non conforme ai principi contabili o di una volontà di alterare la percezione della salute economica dell’impresa.
In molti casi, i nuovi soggetti apicali, subentrando nella guida dell’azienda, si trovano a dover fronteggiare una situazione contabile non veritiera, frutto di scelte operate dalla precedente gestione. Questi ultimi sono chiamati a recuperare un quadro realistico delle consistenze patrimoniali, operando un’attenta revisione delle valutazioni precedenti per restituire un’immagine corretta della situazione economico-finanziaria.
Il falso in bilancio valutativo, come si è visto, riveste un ruolo di particolare rilevanza e non può essere trascurato, poiché non solo altera la rappresentazione contabile della società, ma può altresì configurare ipotesi di reato penalmente rilevanti. La giurisprudenza ha chiarito come anche le valutazioni soggettive possano dar luogo a responsabilità penali, qualora effettuate con criteri palesemente irragionevoli e tali da indurre in errore i destinatari delle informazioni societarie. Pertanto, le conseguenze di una gestione errata o fraudolenta dei bilanci non si limitano alla sfera civilistica o amministrativa, ma possono estendersi al piano penale, con ripercussioni dirette sugli organi di gestione della società.
Alla luce di tali considerazioni, si evidenzia l’importanza non solo di una corretta redazione e revisione periodica del bilancio, ma anche dell’implementazione e dell’aggiornamento costante del modello di organizzazione, gestione e controllo ex D. Lgs. 231/2001. Tale strumento costituisce una difesa fondamentale per prevenire la commissione di reati societari, tra cui il falso in bilancio, e per garantire una gestione aziendale trasparente e conforme alla normativa vigente.
In questo contesto, il ruolo di una consulenza legale specializzata in diritto penale d’impresa si dimostra cruciale per assistere l’impresa nella predisposizione di adeguati protocolli di controllo e per tutelare gli organi apicali dai rischi connessi alla responsabilità penale e amministrativa.
Per aggiornamenti seguici anche su: https://www.linkedin.com/company/dagostinolex
da Redazione | Ott 2, 2024 | Diritto civile
Il Decreto-legge 69/2024, meglio conosciuto come Decreto Salva Casa, rappresenta una svolta importante nel campo dell’edilizia e dell’urbanistica. Le nuove norme mirano a semplificare le procedure per la regolarizzazione di piccoli abusi edilizi e a facilitare la compravendita degli immobili. L’obiettivo di questo articolo è quello di spiegare in modo chiaro e accessibile le principali modifiche introdotte dal decreto al DPR 380/2001, evidenziando le opportunità che ne derivano per i proprietari di immobili e per i professionisti del settore edilizio.
Le novità del Salva Casa riguardano diversi aspetti chiave, come l’edilizia libera, lo stato legittimo degli immobili, i cambi di destinazione d’uso e le tolleranze costruttive, e puntano a risolvere alcune rigidità normative che spesso ostacolavano la gestione e la valorizzazione del patrimonio immobiliare, specialmente residenziale.
Questo articolo si propone di illustrare in dettaglio tali modifiche e di sottolineare l’importanza di un’assistenza legale specializzata per affrontare queste nuove sfide e opportunità con sicurezza.
Decreto Salva Casa: semplificazioni nell’attività edilizia libera (art. 6 DPR 380/2001)
Una delle principali novità del Decreto Salva Casa riguarda l’attività edilizia libera, disciplinata dall’art. 6 del DPR 380/2001. Con le nuove modifiche, viene ampliata la gamma di interventi che possono essere realizzati senza bisogno di un permesso edilizio, offrendo maggiori possibilità ai proprietari di apportare miglioramenti alle proprie abitazioni in modo più rapido e semplice.
In particolare, il decreto Salva Casa introduce la possibilità di installare vetrate panoramiche amovibili (VEPA) e strutture per la protezione dal sole e dagli agenti atmosferici in regime di edilizia libera. Questo significa che tali interventi, se rispettano determinati requisiti tecnici ed estetici, possono essere realizzati senza dover ottenere un titolo abilitativo, rendendo più agevole la loro esecuzione.
Ad esempio, le vetrate panoramiche amovibili dovranno essere trasparenti e rimovibili, senza creare spazi stabilmente chiusi o aumentare le volumetrie dell’edificio. La loro funzione è principalmente quella di migliorare le prestazioni energetiche e acustiche degli edifici, proteggendo allo stesso tempo dagli agenti atmosferici. Le strutture di protezione dal sole (come tende o pergole con teli retrattili) possono anch’esse essere installate senza permesso, a patto che non modifichino le superfici o i volumi dell’immobile e che siano in linea con l’estetica dell’edificio.
Queste modifiche rispondono all’esigenza di semplificare gli interventi di miglioramento energetico e di protezione degli immobili, permettendo ai proprietari di agire con maggiore libertà e rapidità, senza dover affrontare complessi iter burocratici.
Decreto Salva Casa: nuove regole sullo stato legittimo degli immobili (art. 9-bis DPR 380/2001)
Una delle innovazioni più rilevanti introdotte dal Decreto Salva Casa riguarda la definizione e la dimostrazione dello stato legittimo degli immobili, oggetto dell’art. 9-bis del DPR 380/2001. Le modifiche mirano a risolvere le difficoltà legate alla ricostruzione della conformità edilizia, semplificando la documentazione necessaria e, di conseguenza, agevolando la regolarizzazione degli immobili, soprattutto in occasione di compravendite o interventi di riqualificazione.
In base alle nuove disposizioni, lo stato legittimo di un immobile può essere dimostrato non solo attraverso il titolo abilitativo originario che ne ha autorizzato la costruzione, ma anche tramite l’ultimo titolo edilizio che ha riguardato l’immobile o l’unità immobiliare. Questo elimina l’obbligo di ricostruire la storia edilizia completa dell’edificio, consentendo di fare affidamento sull’ultimo intervento autorizzato. Inoltre, le modifiche chiariscono che, nei casi in cui il titolo abilitativo sia stato già oggetto di verifiche da parte della pubblica amministrazione, non è necessaria una nuova verifica da parte del proprietario o del richiedente, semplificando ulteriormente le procedure.
Un aspetto significativo di questa riforma è la possibilità di considerare regolarizzati anche quegli immobili per i quali è stata presentata una sanatoria edilizia, inclusi gli interventi per i quali è stata pagata una sanzione pecuniaria. Le nuove regole comprendono, tra i titoli legittimanti, anche quelli ottenuti attraverso procedimenti di conformità in sanatoria, ampliando così le possibilità di regolarizzare situazioni che in passato avrebbero potuto creare ostacoli alla commerciabilità dell’immobile.
Inoltre, per gli immobili costruiti in epoche in cui non era necessario un titolo abilitativo edilizio, è possibile fare riferimento alle informazioni catastali di primo impianto o ad altre fonti documentali, quali fotografie, documenti d’archivio o atti privati, integrati eventualmente con i titoli successivi. In questo modo, il decreto riconosce la difficoltà di reperire documentazione storica completa e offre soluzioni pratiche per dimostrare lo stato legittimo, rendendo più agevole la regolarizzazione di immobili di vecchia data.
Decreto Salva Casa: facilitazioni nei cambi di destinazione d’uso (art. 23-ter DPR 380/2001)
Il Decreto Salva Casa introduce anche importanti modifiche all’art. 23-ter del DPR 380/2001, con l’obiettivo di semplificare i cambi di destinazione d’uso degli immobili, riducendo i vincoli burocratici e ampliando le possibilità di riconversione funzionale. La nuova disciplina consente di effettuare cambi d’uso anche in assenza di opere edilizie, a condizione che tali modifiche non incidano sulle categorie urbanistiche principali.
Secondo le nuove regole del Salva Casa, il cambio di destinazione d’uso di un immobile viene considerato rilevante dal punto di vista urbanistico solo se comporta il passaggio da una categoria funzionale all’altra, come ad esempio da residenziale a turistico-ricettiva, produttiva o commerciale. Questo significa che le modifiche all’interno della stessa categoria funzionale, come il passaggio da abitazione a studio professionale, non richiedono l’ottenimento di un nuovo permesso e possono essere realizzate in regime di edilizia libera, a condizione che siano rispettate le normative di settore e le disposizioni comunali. Ciò rappresenta una significativa semplificazione, che rende più rapido e meno oneroso il processo di riconversione funzionale degli immobili, soprattutto nelle aree urbane.
Per i cambi di destinazione d’uso che comportano il passaggio tra diverse categorie funzionali, il decreto Salva Casa prevede comunque una maggiore flessibilità, consentendo tali modifiche senza la necessità di reperire ulteriori aree per standard urbanistici, come parcheggi o spazi pubblici. In questo modo, i proprietari immobiliari possono riconvertire immobili situati in zone urbane, come quelle classificate A, B o C secondo il DM 1444/1968, senza dover affrontare gli oneri aggiuntivi tipicamente richiesti dalle normative urbanistiche. Il tutto, ovviamente, nel rispetto delle condizioni previste dai piani urbanistici comunali, che possono imporre restrizioni specifiche.
Questa riforma del Salva Casa si inserisce in un quadro normativo che cerca di incentivare la riconversione degli immobili dismessi o inutilizzati, promuovendo interventi di rigenerazione urbana e facilitando il riuso di edifici per soddisfare nuove esigenze economiche e sociali. Il cambiamento di destinazione d’uso, infatti, rappresenta uno strumento fondamentale per adattare il patrimonio immobiliare esistente alle mutevoli necessità del mercato e dei territori.
Decreto Salva Casa: nuove soglie di tolleranza per le difformità costruttive e accertamento di conformità
Il Decreto Salva Casa introduce significative modifiche all’art. 34-bis del DPR 380/2001, ampliando e precisando il regime delle tolleranze costruttive. Tali modifiche sono volte a semplificare la gestione delle piccole difformità rispetto ai progetti approvati, riducendo gli ostacoli normativi per i proprietari immobiliari che si trovano ad affrontare irregolarità minime nelle opere realizzate.
La nuova disciplina stabilisce che le tolleranze costruttive ordinarie, già previste in misura del due per cento per gli scostamenti relativi a cubatura, altezza, distacchi e superficie coperta, restano valide per tutti gli immobili. Tuttavia, il decreto introduce soglie di tolleranza differenziate in base alla superficie utile dell’immobile, applicabili agli interventi eseguiti entro il 24 maggio 2024. Tali nuove soglie consentono maggiore flessibilità per gli edifici di dimensioni ridotte, prevedendo tolleranze fino al cinque per cento per le unità immobiliari più piccole. Questo rappresenta un passo avanti significativo nella regolamentazione delle piccole difformità, permettendo la regolarizzazione di interventi che, pur non perfettamente conformi al progetto autorizzato, non incidono in maniera sostanziale sulle caratteristiche edilizie dell’immobile.
Oltre alle tolleranze costruttive, il decreto Salva Casa prevede anche specifiche tolleranze esecutive, applicabili agli errori materiali o difformità di carattere tecnico che si verificano durante l’esecuzione delle opere. In questi casi, le irregolarità, purché non pregiudichino l’agibilità o la sicurezza dell’immobile, non costituiscono violazioni edilizie e non richiedono ulteriori autorizzazioni per la regolarizzazione.
Tale quadro normativo permette una gestione più agevole delle piccole difformità edilizie, riducendo il rischio di sanzioni e facilitando il processo di regolarizzazione delle proprietà, contribuendo così alla valorizzazione del patrimonio immobiliare esistente.
Il Decreto Salva Casa introduce, inoltre, l’accertamento di conformità per le opere edilizie realizzate in difformità parziale dal titolo abilitativo. Il nuovo art. 36-bis introduce una procedura semplificata per la regolarizzazione delle difformità che non alterano in modo sostanziale l’opera originaria, superando in parte l’obbligo della doppia conformità previsto dall’art. 36 del DPR 380/2001.
In particolare, mentre l’art. 36 mantiene il requisito della conformità sia alle norme urbanistiche ed edilizie vigenti al momento della realizzazione delle opere sia a quelle in vigore al momento della domanda di sanatoria, l’art. 36-bis introduce una significativa deroga per le difformità parziali. Per queste ultime, infatti, è sufficiente che l’opera sia conforme alla normativa urbanistica vigente al momento della presentazione della domanda di sanatoria, senza la necessità di verificare la conformità alle norme vigenti al tempo della realizzazione dell’opera. Questo cambiamento ha un impatto rilevante sulla regolarizzazione edilizia, poiché semplifica notevolmente il processo per i proprietari immobiliari, eliminando uno degli ostacoli principali legati alla doppia conformità.
Inoltre, il nuovo accertamento di conformità prevede l’obbligo, per il richiedente, di presentare una dichiarazione di conformità da parte di un tecnico abilitato, che attesti la conformità delle opere eseguite alle norme urbanistiche ed edilizie attuali. In alcuni casi, le autorità possono subordinare il rilascio della sanatoria all’esecuzione di interventi correttivi per garantire la sicurezza e l’efficienza dell’edificio. In termini di sanzioni, la procedura prevede il pagamento di una somma proporzionale all’aumento del valore venale dell’immobile derivante dalle opere realizzate, una misura pensata per bilanciare la necessità di regolarizzazione con la tutela del bene pubblico.
L’introduzione di questa procedura rappresenta un’innovazione importante, poiché consente ai proprietari di sanare difformità che, pur essendo irregolari, non comportano gravi violazioni edilizie o urbanistiche. La maggiore flessibilità del nuovo accertamento di conformità, unita alla semplificazione delle procedure, offre un’occasione preziosa per la regolarizzazione degli immobili, favorendo al contempo una gestione più efficiente delle risorse urbanistiche e il miglioramento del patrimonio edilizio esistente.
Decreto Salva Casa: alienazione degli immobili abusivi: regole più stringenti (modifica art. 31 DPR 380/2001)
Un ulteriore intervento significativo introdotto dal Decreto Salva Casa riguarda la disciplina dell’alienazione degli immobili abusivi, modificando l’art. 31 del DPR 380/2001. La normativa prevede ora regole più stringenti per la vendita o il trasferimento di immobili che presentano irregolarità edilizie. In particolare, viene ribadito il principio secondo cui non è possibile alienare un immobile abusivo a meno che non sia stato precedentemente regolarizzato tramite sanatoria. Questo divieto di alienazione rappresenta una garanzia per il mercato immobiliare, assicurando che gli immobili trasferiti siano in regola con le normative edilizie e urbanistiche vigenti.
Il Decreto Salva Casa chiarisce che, in caso di trasferimento di un immobile irregolare, è obbligatorio presentare la documentazione che attesti la conformità edilizia. Il ruolo del notaio, in questo contesto, diventa cruciale: egli deve verificare la presenza di tale documentazione prima di procedere con l’atto di vendita o di trasferimento di proprietà. In mancanza della conformità edilizia, l’atto di trasferimento potrebbe essere dichiarato nullo, con conseguenze giuridiche rilevanti sia per il venditore che per l’acquirente.
Le nuove disposizioni non solo tutelano gli acquirenti, ma incentivano anche i proprietari a regolarizzare preventivamente gli immobili prima di metterli in vendita. Inoltre, la normativa prevede sanzioni nei confronti di coloro che cercano di alienare immobili abusivi senza aver provveduto alla loro regolarizzazione, rafforzando ulteriormente il regime di conformità e trasparenza nel mercato immobiliare. Tali misure si inseriscono in una strategia più ampia di tutela del patrimonio edilizio e del corretto sviluppo urbanistico, incentivando comportamenti virtuosi da parte dei proprietari immobiliari.
Conclusioni sul Decreto Salva Casa
Le numerose novità introdotte dal Decreto Salva Casa offrono senza dubbio opportunità significative per i proprietari immobiliari e per i professionisti del settore edilizio, ma allo stesso tempo richiedono una conoscenza approfondita delle normative e delle procedure applicabili. Le semplificazioni apportate dalla riforma, pur essendo concepite per facilitare la regolarizzazione e la gestione degli immobili, impongono una scrupolosa attenzione agli aspetti tecnici e giuridici, al fine di evitare errori che potrebbero avere conseguenze rilevanti, sia in termini di sanzioni sia di commerciabilità degli immobili.
In un contesto normativo così articolato, il nostro studio legale offre un servizio di consulenza specializzata in diritto civile e amministrativo, con particolare attenzione al settore dell’urbanistica e dell’edilizia. Assistiamo i nostri clienti nella gestione delle pratiche di sanatoria, nell’interpretazione delle norme relative alle tolleranze costruttive e alle difformità parziali, e nella regolarizzazione degli immobili ai fini della compravendita. La nostra competenza sul Salva Casa ci consente di supportare i proprietari immobiliari, le imprese e i professionisti del settore nell’adozione delle soluzioni più adeguate per affrontare le sfide normative.
Per aggiornamenti seguici anche su: https://www.linkedin.com/company/dagostinolex
Difendiamo la tua casa e la tua proprietà. Consulenza legale su pratiche di urbanistica ed edilizia presso lo Studio Legale Luca D’Agostino a Roma.
