Per il momento si tratta di una proposta di legge (n. 4660, già al vaglio della Camera dei deputati), ma potrebbe trasformarsi in misura concreta una nuova normativa che prevede l’attribuzione di alcuni vantaggi fiscali alle startup che si occupano di cybersecurity. In sintesi, si tratterebbe di esentarle dal pagamento dell’imposta di registro e dell’Iva per i primi due anni.
Anche in questo caso si manifesta la tendenza dei governanti italiani a burocratizzare i suoi interventi: per ottenere le agevolazioni le startup dovranno essere registrate come startup innovative ed essere iscritte a una sezione speciale del registro delle imprese se hanno come oggetto sociale esclusivo “la ricerca e lo sviluppo di strumenti e di servizi orientati alla sicurezza cibernetica e alla sicurezza delle informazioni attraverso l’uso di tecnologie o lo sviluppo di software originali”.
Indice degli argomenti
Cosa prevede la proposta di legge n. 4660
Tra le disposizioni maggiormente significative previste dal nuovo testo, c’è quella che introduce alcune deroghe ai principi generali del diritto societario. Tra queste, l’esenzione dal pagamento dell’imposta di registro per le società costituite da persone fisiche che non abbiano compiuto il quarantesimo anno di età, o ancora l’esenzione dal pagamento dell’IVA per i primi due anni di iscrizione in una sezione speciale del registro delle imprese. Questo, in particolare, rappresenta la condicio sine qua non per poter beneficiare della disciplina prevista dalla proposta di legge in esame.
Alle previsioni appena descritte si aggiungono poi quelle che introducono misure per la promozione e l’internazionalizzazione delle “cybersecurity startup”.
Quali sono le cybersecurity startup?
Il testo della proposta le definisce in modo ampio:
‘si definiscono start-up innovative nel settore della sicurezza cibernetica le società che hanno come oggetto sociale esclusivo la ricerca e lo sviluppo di strumenti e di servizi orientati alla sicurezza cibernetica e alla sicurezza delle informazioni attraverso l’uso di tecnologie o lo sviluppo di software originali. Tali strumenti e servizi devono riguardare almeno una tra le seguenti funzioni:
a) raccolta, elaborazione e diffusione di informazioni relative a minacce e vulnerabilità, nonché gestione della conoscenza che ne deriva;
b) prevenzione, risposta e rimedio a incidenti informatici e a compromissioni di informazioni su reti e sistemi di comunicazione;
c) comunicazione e condivisione sicura, rispettando i criteri di identificazione, autenticazione, integrità, non ripudiabilità e confidenzialità delle informazioni riguardanti la sicurezza di sistemi e di piattaforme delle tecnologie dell’informazione e della comunicazione (ICT);
d) prevenzione, gestione, analisi e valutazione del rischio relativo alla compromissione di informazioni nonché agli incidenti in sistemi e in piattaforme delle ICT;
e) integrazione e standardizzazione di protocolli di sistemi, tecnologie e servizi già esistenti operanti nelle funzioni indicate dalle lettere a) e seguenti;
f) promozione e sviluppo della cultura della sicurezza cibernetica.
Il contesto di riferimento
Siamo tutti consapevoli che sia in atto nel mondo una guerra cibernetica: i crimini informatici sono in crescita esponenziale, gli attacchi ad aziende e istituzione sono continui e le conseguenze a cui questo può portare molto gravi. In Italia, riporta l’introduzione alla proposta di legge parlamentare, il 2016 è stato l’anno in cui è stato rilevato il numero di attacchi informatici più alto di sempre e per la prima volta l’Italia è entrata nella top-ten di Paesi al mondo per gravità e per numero di attacchi subiti: alcune pubbliche amministrazioni, quali il Ministero della difesa e il Ministero degli affari esteri e della cooperazione internazionale, sono state colpite da campagne di advanced packaging tool (APT) internazionalmente note e un numero molto alto di aziende nazionali, senza distinzione di dimensione, ha dovuto affrontare attacchi di tipo ransomware o distributed denial-of-service (DDoS), cioè di interruzione distribuita del servizio.
Nonostante l’allerta si alta, quanto meno a livello istituzionale e di grandi aziende (meno nelle pmi) le misure difensive che vengono intraprese sembrano essere sempre un passo indietro rispetto ai criminali informatici.
E’ necessario incentivare la nascita di startup che si occupano di sicurezza informatica, perché ‘il mercato italiano specialistico della cybersecurity non vede la presenza di big player produttori di tecnologie, né di grandi enti (pubblici o privati) che agiscono perfettamente in modo sinergico – come da anni in altri Paesi – ma, esattamente in linea con il panorama economico nazionale, è principalmente popolato da eccellenze tecnologiche piccole e medie, spesso nate già in ambiti universitari.’
Dare gambe a queste eccellenze è dunque lo scopo della proposta di legge, che ha l’ambizione di:
- rafforzare la competitività tecnologica nel settore della sicurezza cibernetica
- aumentare i livelli di sicurezza dalle minacce cibernetiche
- accrescere la quota di produzione e di occupazione di alta qualificazione e lo sviluppo dell’imprenditoria giovanile nel settore della sicurezza cibernetica
Per un quadro completo della proposta qui il progetto di legge originale.
