CSDDD: la soglia sale a 5.000 dipendenti, il dato sui fornitori di filiera resta sparso
7 min di lettura
Uno scenario tipico, non un caso nostro. Un’impresa italiana di componentistica meccanica di precisione — fornitrice di un grande gruppo europeo della difesa — riceve dall’ufficio acquisti del cliente un questionario di due diligence sulla sostenibilità: condizioni di lavoro nei propri stabilimenti, elenco dei fornitori di materie prime, misure di sicurezza ambientale. L’ufficio commerciale sa quanto fattura con quel cliente. L’ufficio acquisti sa chi sono i fornitori diretti di acciaio e leghe speciali. Nessuno dei due sa dire, con certezza, se il subfornitore che esegue i trattamenti galvanici rispetti gli standard di sicurezza sul lavoro nel proprio stabilimento, né da dove arrivi il nichel che utilizza.
Due modifiche in due anni: la soglia sale a 5.000 dipendenti
La direttiva (UE) 2024/1760 del 13 giugno 2024 — il dovere di diligenza delle imprese ai fini della sostenibilità, nota con l’acronimo inglese CSDDD — è stata pubblicata nella Gazzetta ufficiale dell’Unione europea L 2024/1760 del 5 luglio 2024. L’articolo 1 fissa l’oggetto: obblighi rispetto agli «impatti negativi sui diritti umani e agli impatti ambientali negativi» che riguardano le società, le loro filiazioni e i loro partner commerciali nella «catena di attività». Il testo originario non è però quello in vigore oggi: due direttive lo hanno modificato.
La prima, la direttiva (UE) 2025/794 del 14 aprile 2025 — pubblicata in GUUE L 2025/794 il 16 aprile 2025, in vigore il giorno successivo — ha rinviato di un anno il termine di recepimento e le date di applicazione, senza toccare le soglie di ambito. La seconda, la direttiva (UE) 2026/470 del 24 febbraio 2026 — pubblicata in GUUE L 2026/470 il 26 febbraio 2026, in vigore il 18 marzo 2026, primo pacchetto del cosiddetto Omnibus — ha riscritto l’articolo 2, paragrafo 1, lettera a): rientrano le società che hanno avuto, in media, «più di 5 000 dipendenti e un fatturato netto a livello mondiale superiore a 1 500 000 000 EUR nell’ultimo esercizio». Rispetto al testo del 2024 — mille dipendenti, 450 milioni — il perimetro diretto si restringe a un numero molto più ristretto di imprese. Le stesse due direttive hanno riscritto anche l’articolo 37: gli Stati membri recepiscono entro il 26 luglio 2028; le disposizioni si applicano dal 26 luglio 2029 a tutte le società in ambito, «ad eccezione delle misure necessarie per conformarsi all’articolo 16», la dichiarazione pubblica annuale, che decorre dagli esercizi che iniziano dal 1° gennaio 2030.
Dove sta, davvero, il dato
Chi rientra nella soglia non risponde solo delle proprie attività: risponde della «catena di attività», definita all’articolo 3, paragrafo 1, lettera g). A monte comprende le «attività di un partner commerciale […] inerenti alla produzione di beni o alla prestazione di servizi […], compresi la progettazione, l’estrazione, l’approvvigionamento, la produzione, il trasporto, l’immagazzinamento e la fornitura di materie prime, prodotti o parti di prodotti». A valle, solo distribuzione, trasporto e immagazzinamento del prodotto della società stessa — non l’intero fine vita — e con un’esclusione che riguarda direttamente chi lavora per la difesa: resta fuori il prodotto «soggetto al controllo delle esportazioni» ai sensi del regolamento sul dual-use o ai controlli export su armi, munizioni e materiale bellico. È lo stesso confine della conformità dual-use: ciò che passa dal controllo export resta fuori dalla catena di attività, tutto il resto no.
L’Omnibus ha anche riscritto il modo in cui quella catena va guardata. Il nuovo articolo 8, paragrafo 2, impone un processo in due fasi: prima un «esercizio esplorativo, sulla base unicamente delle informazioni ragionevolmente disponibili», per individuare i settori e le aree geografiche dove è «più probabile che gli impatti negativi si verifichino e siano di maggiore gravità»; poi, solo lì, una «valutazione approfondita». L’esercizio esplorativo attinge a dati che oggi vivono in sistemi separati dentro l’impresa capofila: la mappa fornitori per area geografica e merceologia sta nel gestionale acquisti; le segnalazioni pregresse stanno nel canale di notifica e reclamo dell’articolo 14; le classificazioni di rischio-Paese sono acquistate da un fornitore esterno di dati ESG. Nessuno di questi sistemi, da solo, risponde alla domanda che l’esercizio esplorativo pone.
Il nuovo paragrafo 2 bis aggiunge una tutela per i fornitori più piccoli: le informazioni si chiedono a un partner con meno di 5.000 dipendenti — cioè quasi ogni impresa italiana di fascia media — «soltanto qualora […] non possano ragionevolmente essere ottenute con altri mezzi», e in via prioritaria ai partner diretti. Per il fornitore italiano significa che la richiesta arriva solo se il proprio settore o la propria area sono già stati segnalati a rischio a monte — ma quando arriva, i dati da fornire stanno nell’ufficio del personale (orari, contratti, sicurezza sul lavoro), nell’ufficio ambientale — stessa logica documentale del tracciamento dei rifiuti industriali —, negli archivi di qualità (audit di parte terza, certificazioni) e nell’anagrafica acquisti, con l’elenco dei propri fornitori di materia prima.
Il dato che nessun sistema aziendale contiene per intero
Il pezzo che manca quasi sempre è ricorsivo. La catena di attività, per definizione, comprende anche il «partner commerciale indiretto» — quello che il fornitore diretto usa a sua volta e che la capofila non conosce per nome. Ma nessuna impresa lungo la filiera ha, in un solo sistema, la mappa aggiornata dei propri sub-fornitori di secondo livello: chi fa il trattamento galvanico, da dove viene il metallo che lavora, se quel rapporto è cambiato dall’ultima volta che qualcuno lo ha chiesto. È lo stesso buco già visto sul passaporto della batteria, dove la filiera delle materie prime critiche nasce alla miniera e attraversa fornitori che l’assemblatore finale spesso non conosce per nome — lo stesso schema già raccontato per gli imballaggi. Qui, però, il buco si ripete a ogni anello: ogni impresa interrogata scopre di dover chiedere, a sua volta, a un fornitore che non ha mai messo quei dati per iscritto prima d’ora.
Se domattina il questionario del cliente capofila arrivasse davvero, in quanti sistemi — personale, acquisti, qualità, ambiente — dovreste entrare per rispondere, e quanto tempo servirebbe per scoprire se la vostra mappa dei sub-fornitori è ancora quella giusta?
Vedi il servizio · Parlane con un tecnico
Quello che non sappiamo
Non diamo consulenza legale sul dovere di diligenza né stabiliamo se una specifica impresa rientri nelle soglie dell’articolo 2: il calcolo dipende dal fatturato netto mondiale, anche su base di gruppo, e va fatto caso per caso. Il termine di recepimento italiano è il 26 luglio 2028: a oggi non esiste alcun decreto legislativo di attuazione da verificare, e non ne anticipiamo il contenuto. Sulle sanzioni, l’articolo 27, paragrafo 4, come riscritto dall’Omnibus, impone che «il limite massimo delle sanzioni pecuniarie sia fissato al 3 % del fatturato netto mondiale della società»: è un tetto massimo armonizzato, non un livello garantito, e la sanzione effettiva dipenderà dalla legge italiana di recepimento, che non esiste ancora. Lo scenario descritto in apertura è un modello tipico, dichiarato come tale: non descriviamo il funzionamento interno di alcuna impresa o filiera reale.
I due assi, applicati
Adempiere. L’esercizio esplorativo e la valutazione approfondita dell’articolo 8 diventano, nel nostro impianto, un controllo che gira sui documenti e sui sistemi del cliente — mappa fornitori, aree a rischio, segnalazioni pregresse, audit già fatti — con un allarme quando un fornitore diretto cambia sub-fornitore o quando una valutazione non è più sostenuta dai dati sottostanti. Fascicolo esportabile e datato, pronto per la richiesta del cliente capofila o per l’autorità di controllo.
Decidere. Lo stesso impianto tiene insieme personale, ambiente, acquisti, qualità e archivi fornitori — compresi quelli di secondo e terzo livello, quando sono già mappati — in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando: non solo rispondere al questionario quando arriva, ma sapere in anticipo quale fornitore pesa su quale cliente e dove intervenire prima che la richiesta arrivi. Per grandi imprese, difesa, pubblica amministrazione e sanità. Sempre in due modalità: on-premise, su macchine autonome che non richiedono integrazione profonda nella rete del cliente, oppure cloud dedicato, con VPN dedicata e data center in Italia — sempre con gestione condivisa.
Dalla prima sessione, senza costi, esce la mappa datata di quali dati di due diligence sono già disponibili, in quale sistema stanno e chi li aggiorna — comprese le caselle ancora vuote. Resta a voi anche se non proseguiamo insieme. Parlatene con un nostro tecnico.