Direttiva (UE) 2022/2555 (NIS2) e applicabilità alle società di autotrasporto: cosa si intende per “Corriere”?

La Direttiva (UE) 2022/2555, meglio nota come NIS2, stabilisce un quadro normativo comune per la cibersicurezza introducendo l’obbligo della registrazione sulla Piattaforma digitale.

Si applica ai soggetti pubblici o privati che operano nei settori elencati negli Allegati I o II e che rientrano nella definizione di medie imprese o superiori, purché prestino i loro servizi o svolgano le loro attività all’interno dell’Unione Europea.

Volendo sintetizzare, quindi, per determinare se un soggetto rientra nell’ambito di applicazione della Direttiva NIS 2, è necessario valutare tre aspetti: la dimensione dell’impresa, il settore di attività e l’ubicazione geografica delle operazioni. 

Soffermandoci alle dimensioni e al settore di attività, è pacifico che NIS2 si rivolge a entità essenziali ed entità importanti.

Le imprese sono considerate essenziali se operano in uno dei settori ad alta criticità -elencati nell’Allegato 1- e hanno più di 250 dipendenti o un fatturato annuo superiore a 50 milioni di Euro.

Le imprese sono considerate importanti se appartengono a uno dei settori elencati nell’Allegato 1 o nell’Allegato 2 e hanno più di 50 dipendenti o un fatturato annuo superiore a 10 milioni di Euro.

In altre parole, sono:

·       Entità essenziali: Grandi aziende (>250 dipendenti) in un settore dell’Allegato 1.

·       Entità importanti: Aziende di medie dimensioni (>50 dipendenti) dell’Allegato 1 e aziende grandi e medie dell’Allegato 2.

Fermo il requisito delle dimensioni -per cui ci si riferisce ad aziende che abbiano perlomeno più di 50 dipendenti o un fatturato annuo superiore a 10 milioni di Euro-, quanto al Settore, l’Allegato II) compie riferimento al settore del trasporto ed elenca, tra gli altri destinatari, i “Servizi postali e di corriere”.

Il termine “Corriere” -privo di alcuna ulteriore specificazione- desta certamente alcuni dubbi interpretativi dal momento che con esso si intende -in senso lato- “Chi esercita l’attività di recarsi periodicamente da una città all’altra, da un paese a un altro e viceversa, per lo più con automezzo proprio, trasportando merci per conto di terzi e con altri svariati incarichi; estens., l’automezzo stesso, la società di spedizione che provvede al trasporto, e il servizio ch’essa esercita: spedire un pacco per c., col c.; c. espresso, che esegue la consegna della merce subito dopo l’arrivo” (cfr. Enciclopedia Treccani) e ad oggi è usualmente utilizzato per indicare, in senso lato, colui che è incaricato della consegna o, al più, in senso più ristretto, chi compie l’atto terminale della catena d’approvvigionamento.

A parere di chi scrive, peraltro, nell’interpretare la norma in oggetto, deve osservarsi a) che la stessa contempla contemporaneamente chi fornisce “Servizi postali e di corriere” per cui non si può prescindere da tale interconnessione merceologica e, soprattutto, b) che essa indica in calce all’espressione “Tipologia di soggetto”, i “Fornitori di servizi postali quali definiti all’art.2), punto 1 bis) della direttiva 97/67/CE, TRA CUI i fornitori di servizi di corriere”[1].

Appare piuttosto evidente, di conseguenza, che la norma è indirizzata esclusivamente alle imprese di settore che concorrono a fornire il servizio postale e che operano nel settore postale.

Il legislatore, invero, ha con tutta probabilità inteso puntualizzare che gli obblighi di cui alla Disciplina NIS2 riguardano non solo il fornitore del servizio universale (e, quindi, in Italia, soltanto Poste Italiane), ma anche tutti i fornitori che operano nel settore postale (come i corrieri espressi).

Tale precisazione nasce verosimilmente dall’esigenza  rimarcata dal Consiglio di Stato con la sentenza n. 7980 del 2022 “anche in ossequio ad una corretta interpretazione delle disposizioni unionali – in particolare dell’art. 9 della direttiva 97/67/CE, a seguito delle modifiche introdotte dalla direttiva 2008/6/CE - per come suggerita dalla Corte di giustizia UE” di “disciplinare non solo i servizi che rientrano nell’ambito del servizio universale, ma anche le attività di tutti i fornitori di servizi postali” rappresentata dall’ampio mondo dei “corrieri espressi”.

Il Consiglio di Stato, nello specifico, ha qualificato la figura dei corrieri espressi nel senso che: “Alla luce della giurisprudenza dell’unione europea è ormai conclamato che, ai sensi dell'art. 2, punti 1-bis e 6, della direttiva 97/67/CE, un’impresa deve essere qualificata come “fornitore di un servizio postale”, quando essa svolge almeno uno dei servizi (raccolta, smistamento, trasporto e distribuzione) elencati all'art. 2, punto 1, della menzionata direttiva e il servizio o i servizi così svolti riguardano un invio postale, non dovendo tuttavia la sua attività essere limitata unicamente al servizio di trasporto. Ne consegue che le imprese di autotrasporto, di spedizione o di corriere espresso che forniscono servizi di raccolta, smistamento, trasporto e distribuzione degli invii postali costituiscono, salvo nel caso in cui la loro attività sia limitata al trasporto degli invii postali, fornitori di servizi postali”.

Nell’ambito di una serie di ricorsi avanzati da corrieri espressi che ritenevano -e auspicavano- di non essere assoggettati agli obblighi inerenti i servizi postali,  il TAR del Lazio, con sentenza n.14370/2023, in aderenza all’orientamento giurisprudenziale della Corte di Giustizia con la pronuncia del 31 maggio 2018 e del Consiglio di Stato con la già richiamata sentenza n.7980 del 2022, ha osservato che, laddove le imprese di autotrasporto, di spedizione o di corriere espresso forniscono servizi di raccolta, smistamento, trasporto e distribuzione degli invii postali costituiscono -salvo il caso in cui la loro attività sia limitata al solo trasporto degli invii postali-, “tanto il servizio universale quanto il servizio di corriere espresso costituiscono “servizi postali”, ai sensi della menzionata disposizione”.

Alla luce di quanto esposto, pertanto, un’interpretazione letterale e complessiva della Direttiva NIS2, accompagnata dalla giurisprudenza che ancora di recente ha valutato nella sua ampiezza la normativa che riguarda i servizi di invio postale, pare a chi scrive che verosimilmente il legislatore abbia indirizzato -e limitato- la normativa in materia di cibersicurezza ai soli corrieri espressi che svolgono servizi inerenti un invio postale -nel senso più puntualmente indicato dal Consiglio di Stato- e non a tutti gli operatori che, in generale e con riferimento ad ogni settore operativo, svolgono prestazioni di spedizione e/o trasporto di altre categorie merceologiche.

Lo Studio resta come di consueto a disposizione per qualsiasi necessità di supporto o chiarimento.

[1] L’art.2, lett.1 bis cita testualmente: “Ai fini della presente direttiva s'intende per: fornitore di un servizio postale: l’impresa che fornisce uno o più servizi postali”.