ADEGUATI ASSETTI: la compliance è tallone di Achille delle PMI?

​Dal 2019 l'art. 2086 c.c., riscritto dal Codice della Crisi d'Impresa e dell'Insolvenza, impone a ogni imprenditore, che operi in forma societaria o collettiva, di dotarsi di un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell'impresa, anche in funzione della rilevazione tempestiva della crisi. È una norma "contenitore", volutamente elastica: non prescrive un modello unico, ma un principio di proporzionalità e di adeguatezza che ogni organo amministrativo deve calare nella propria realtà aziendale.
Nella pratica, però, l'attuazione di questo obbligo si è concentrata quasi esclusivamente sulla dimensione economico-finanziaria: budget, piani di tesoreria, indicatori di allerta, reporting gestionale. È la lettura più immediata della norma, ed è anche quella su cui la giurisprudenza si è pronunciata con maggiore frequenza in tema di responsabilità degli amministratori.
Ma un "assetto adeguato", per essere davvero tale, dovrebbe intercettare tutti i rischi che possono minare la continuità aziendale — e oggi tra questi rientrano a pieno titolo i rischi di compliance normativa: protezione dei dati personali (GDPR), sicurezza delle reti e dei sistemi informativi (NIS2), cybersecurity in senso lato, e — non ultimo — la correttezza delle comunicazioni ambientali e di sostenibilità (rischio Greenwashing).
Il dato che dovrebbe preoccupare è che solo il 3,5% delle imprese italiane risulta dotato di adeguati assetti organizzativi, amministrativi e contabili ai sensi dell'art. 2086 c.c., a più di sei anni dall'entrata in vigore della riforma. L’assetto contabile è quello meglio presidiato — perché più normato, verificato dai sindaci e supportato da prassi consolidate — mentre gli assetti organizzativo e amministrativo, quelli che dovrebbero includere anche la gestione dei rischi di compliance, restano il punto debole, lasciati spesso a valutazioni soggettive e non formalizzate.
È in questa area grigia — tra ciò che la norma richiede e ciò che le imprese effettivamente formalizzano — che si annidano i rischi legati a privacy, cybersecurity e NIS2. Rischi che, a differenza dello squilibrio finanziario, spesso restano invisibili fino al giorno dell'incidente o dell'ispezione.

Cybersecurity: il costo reale per le imprese italiane
I numeri del cybercrime in Italia raccontano una vulnerabilità strutturale e non episodica.

• Secondo il Rapporto 2025 Clusit (associazione Italiana Sicurezza Informatica) nel 2024 l'Italia ha subito 357 incidenti informatici gravi, pari al 39% di tutti quelli registrati nel quinquennio 2020-2024, con una crescita del 15,2% sull'anno precedente. Il Paese rappresenta oltre il 10% degli incidenti globali, una quota sproporzionata rispetto al peso economico e demografico italiano nel contesto mondiale.
• Il primo semestre 2025 ha segnato un nuovo record: 2.755 attacchi gravi a livello globale (+36% sul semestre precedente) e 280 attacchi di particolare gravità in Italia, già pari al 75% dell'intero 2024.
• Il cybercrime resta la causa dominante degli incidenti italiani (78% del totale nel 2024, +40,6% sul 2023), e il manifatturiero — colonna portante del tessuto produttivo delle PMI italiane — si conferma tra i settori più colpiti.
• Il costo medio di un attacco informatico per le aziende italiane si attesta intorno ai 300 mila euro, con punte superiori al milione nei settori sanità e manifattura, secondo le stime Clusit, una cifra capace di mettere in crisi la continuità di una PMI. Un terzo delle PMI italiane (33%) ha già subito almeno un attacco informatico nell'ultimo anno.

A questo si aggiunge la cornice normativa NIS2 (D.Lgs. 138/2024), che ha ampliato drasticamente la platea dei soggetti obbligati: non più solo le grandi infrastrutture critiche, ma anche imprese di medie dimensioni (50-250 dipendenti o fatturato tra 10 e 50 milioni di euro) operanti in 18 settori, e — per effetto della responsabilità estesa lungo la filiera — anche molte piccole imprese che sono fornitrici di soggetti NIS2.
Le sanzioni sono modellate sul GDPR e niente affatto trascurabili. Ad esempio, fino a 10 milioni di euro di fatturato la sanzione è pari al 2% del fatturato stesso. L'art. 23 del decreto stabilisce inoltre che gli organi di amministrazione approvino e vigilino sulle misure di gestione del rischio, rispondendo personalmente delle violazioni — una responsabilizzazione diretta del board che richiama, non a caso, la stessa logica dell'art. 2086 c.c.
 
Il GDPR resta, a livello europeo, lo strumento sanzionatorio più maturo e testato. L'art. 83 prevede due fasce: fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per le violazioni "minori", fino a 20 milioni o il 4% per quelle più gravi, applicando sempre l'importo più alto tra i due parametri.
Qualche dato per contestualizzare il rischio:

• Solo nel 2025 sono state comminate in Europa oltre 300 sanzioni GDPR, per un valore complessivo superiore a 1,1 miliardi di euro.
• La Corte di Giustizia UE (settembre 2024, causa C-383/23) ha chiarito un punto rilevante per i gruppi societari: il fatturato di riferimento per il calcolo del massimale sanzionatorio è quello di gruppo se la violazione deriva da una strategia comune, altrimenti quello della singola società — un tema che riguarda direttamente le PMI inserite in filiere o gruppi più ampi.
• La Cassazione ha inoltre precisato che il tetto percentuale (2% o 4%) non è un limite assoluto: la sanzione può superarlo, purché non ecceda il tetto numerico fisso (10 o 20 milioni di euro) — un dettaglio tecnico che amplifica, non riduce, il rischio per le imprese con fatturati contenuti ma violazioni gravi.
• In Italia, il Garante Privacy ha inflitto nel 2024 la sanzione record di oltre 79 milioni di euro a Enel Energia per carenze nelle misure tecniche e organizzative a protezione delle banche dati.

Il Garante interviene anche su segnalazione di un singolo cliente o dipendente, e le imprese di piccole dimensioni sono tutt'altro che immuni, semplicemente perché sono statisticamente meno controllate — non perché siano meno esposte.
 
Il Greenwashing è al momento il rischio compliance meno percepito, ma largamente sottovalutato, nonostante un impianto sanzionatorio già operativo:

• La Direttiva UE 2024/825 ("Empowering Consumers"), recepita in Italia con il D.Lgs. 30/2026, vieta le asserzioni ambientali generiche ("verde", "ecosostenibile", "impatto zero") se non supportate da evidenze verificabili, e introduce sanzioni fino al 4% del fatturato annuo, oltre all'esclusione temporanea dalle gare d'appalto pubbliche.
• Il D.Lgs. 125/2024, attuativo della Direttiva CSRD, prevede inoltre sanzioni specifiche per le società di revisione e i revisori della sostenibilità in caso di reporting ESG non conforme.
• Nel gennaio 2025 l'AGCM ha sanzionato il gruppo GLS per 8 milioni di euro per pratiche commerciali scorrette legate al progetto di sostenibilità "Climate Protect".
• Sempre nel 2025, l'AGCM ha sanzionato per 1 milione di euro la società che gestisce in Europa la piattaforma Shein, per claim di circolarità e riciclabilità ritenuti ingannevoli.

Per una PMI che comunica la propria sostenibilità sul sito, in gara d'appalto o verso la grande impresa cliente (spesso obbligata CSRD e quindi esigente sui dati ESG di filiera), il rischio non è più solo reputazionale: è un rischio sanzionatorio concreto, e — aspetto meno intuitivo ma sempre più rilevante — un rischio di esclusione dal mercato, quando il cliente capo-filiera richiede garanzie di attendibilità che la PMI non è in grado di documentare.
                                                                                                                                                   ***
Il filo che lega GDPR, NIS2, cybersecurity e Greenwashing all'art. 2086 c.c. è la nozione stessa di adeguatezza dell'assetto. Un assetto organizzativo non può dirsi adeguato se:

• non individua e non gestisce il rischio di data breach o di incidente informatico come rischio aziendale a tutti gli effetti, con potenziale impatto sulle finanze aziendali e sulla continuità;
• non prevede una minima segregazione di ruoli e responsabilità su privacy e sicurezza informatica (chi tratta i dati, chi risponde in caso di incidente, chi decide sugli investimenti in sicurezza);
• non tiene conto degli obblighi normativi settoriali (NIS2, ma anche eventuali obblighi di filiera imposti da clienti soggetti a NIS2 o CSRD);
• comunica all'esterno claim di sostenibilità senza un processo interno di verifica e raccolta dati che li supporti.

La giurisprudenza sugli adeguati assetti, pur concentrandosi finora prevalentemente sugli aspetti economico-finanziari, ha già chiarito un principio che si applica per analogia: l'inerzia totale è colpevole, mentre l'amministratore che ha adottato misure organizzative proporzionate — anche se poi rivelatesi insufficienti — è tutelato dalla business judgment rule.

Il punto critico per la maggior parte delle PMI non è quindi "prevenire ogni rischio", ma dimostrare di aver ragionevolmente strutturato un presidio proporzionato alle proprie dimensioni.

Ed è esattamente qui che oggi la maggioranza delle imprese italiane risulta scoperta.
Il vero ostacolo per le PMI: non solo i soldi, ma le persone
Chi opera in consulenza di direzione conosce bene l'obiezione più frequente delle PMI: "non abbiamo il budget per un CISO, un DPO, un responsabile compliance dedicato". È un'obiezione fondata, ma solo a metà — perché il problema, prima ancora che economico, è di disponibilità di competenze:
Secondo il Cisco Cybersecurity Readiness Index 2025, l'80% delle PMI italiane segnala una carenza di specialisti in sicurezza informatica (contro il 70% delle grandi imprese), e solo il 33% delle PMI ha in programma attività di formazione o nuove assunzioni in quest'area.
A livello europeo, il rapporto ENISA 2025 conferma che il 76% delle organizzazioni fatica a trovare profili qualificati in cybersecurity; per le PMI il dato si traduce in una difficoltà quasi strutturale ad assumere anche una sola figura specializzata.
Meno del 30% delle PMI italiane, secondo diverse rilevazioni di settore, dispone di un programma strutturato di formazione/awareness per i propri dipendenti sui rischi informatici — un dato critico se si considera che la larghissima maggioranza degli incidenti ha una componente di errore umano. Ne consegue che anche se una PMI è  disposta a investire, fatica spesso a trovare sul mercato la persona giusta, o a giustificare il costo di una figura full-time per un fabbisogno che, nella realtà quotidiana, è parziale.
È un problema di modello organizzativo prima ancora che di budget.
L'errore più comune, quando si affronta il tema con le PMI, è proporre loro una versione ridotta dei presidi delle grandi aziende (CISO interno, DPO interno, funzione compliance strutturata). Il principio di proporzionalità che pervade lo stesso art. 2086 c.c. suggerisce invece un approccio diverso, costruito su alcune direttrici operative:

• Governance leggera ma formalizzata, non assente. Non serve un organigramma complesso: serve che il CdA (o l'amministratore unico) approvi formalmente — anche in poche pagine — una politica di gestione dei rischi digitali e di protezione dati, individui un referente interno (anche non full-time) e ne documenti la supervisione periodica.
  
• Figure "as a service" e condivise, non necessariamente interne. DPO esterno, CISO/vCISO in modalità frazionata (poche giornate al mese), consulenti privacy e compliance in convenzione: il mercato offre oggi soluzioni pensate proprio per imprese che non possono sostenere un costo fisso pieno
  
• Dare priorità agli interventi sulla base sul rischio, non con adempimenti a tappeto. Non tutte le PMI devono fare tutto: la prima cosa da fare è una gap analysis mirata che dica con chiarezza se l'impresa rientra nel perimetro NIS2, quali dati personali tratta e con quale livello di rischio, quali claim di sostenibilità comunica e se sono documentabili. Da lì si costruisce un piano di adeguamento a tappe, proporzionato e sostenibile nel tempo.
  
• Investire prima sulle persone, poi sulla tecnologia. I dati confermano che le imprese italiane investono ancora in modo sbilanciato: la maggioranza del budget cybersecurity va in tecnologia, una quota molto più contenuta in formazione del personale. Per una PMI, con budget limitati, la formazione di base su phishing e social engineering, la definizione di policy semplici producono un ritorno molto più immediato di un singolo strumento tecnologico sofisticato ma non presidiato.
  
• Sfruttare la filiera e gli strumenti di sistema. Molte PMI si trovano coinvolte in obblighi NIS2 o CSRD non perché rientrino direttamente nel perimetro, ma perché sono fornitrici di soggetti che vi rientrano. Questo è anche un'opportunità: i requisiti richiesti dal cliente capo-filiera possono diventare lo standard minimo di riferimento, spesso accompagnato da supporto tecnico o da modelli contrattuali già predisposti.  
  
• Documentare, sempre. Il tratto comune a tutte le aree di compliance qui trattate — assetti 2086, NIS2, GDPR, ESG — è che la difendibilità della posizione dell'organo amministrativo dipende dalla capacità di dimostrare un processo, non un risultato perfetto. Una PMI che ha fatto un assessment, adottato misure proporzionate e documentato le proprie scelte è in una posizione radicalmente diversa, in caso di incidente o ispezione, rispetto a una PMI che non ha fatto nulla — anche se entrambe, in astratto, potrebbero subire lo stesso evento.

In conclusione, gli adeguati assetti ex art. 2086 c.c. non sono, e non possono più essere solo un esercizio contabile-finanziario. La continuità aziendale, oggi, passa anche dalla capacità di gestire rischi e compliance. 
Per le PMI, la strada non è rincorrere i modelli organizzativi della grande impresa, ma costruire — con proporzione, priorità e l'aiuto di competenze esterne specializzate— un presidio credibile e documentato.

​È un investimento che si giustifica da solo: non nel confronto con il costo di un incidente che forse non accadrà, ma nella tutela concreta degli amministratori, nella fiducia di clienti e partner, e nella capacità dell'impresa di attraversare la prossima crisi — qualunque forma essa assuma — sapendo di aver fatto la propria parte.
 
Autori:
Mauro Premi e Stefano Bregni
 ESG and Compliance Advisory Dept.
Sigma Experience