Premessa

La Dir. UE 2026/470, pubblicata in GUUE lo scorso 26 febbraio 2026, ha riguardato il perimetro applicativo della Corporate Sustainability Reporting Directive (CSRD), operando una decisa restrizione dell'ambito di applicazione soggettivo.

Il legislatore unionale, mosso dall’esigenza imperativa di salvaguardare la competitività del mercato unico, ha ridefinito le soglie di obbligatorietà, configurando il reporting di sostenibilità come un onere esclusivo dei grandi gruppi industriali e finanziari.

L’obbligo di rendicontazione non finanziaria è ora subordinato al superamento congiunto di precisi parametri dimensionali: un volume d’affari netto pari o superiore a 450 milioni di euro e una forza lavoro media annua eccedente le 1.000 unità.

Elemento di spiccata novità dogmatica è l’estensione di tali soglie anche ai comparti bancario e assicurativo; infatti, superando il previgente regime di obbligatorietà automatica, la Dir. UE 2026/470 ha uniformato il trattamento degli enti creditizi e delle imprese di assicurazione a quello degli altri operatori economici.

Contestualmente, è venuto meno l’obbligo di adozione dei principi ESRS per le piccole e medie imprese, ancorché quotate, per le quali la rendicontazione assume natura puramente volontaria e semplificata attraverso lo standard VSME (Voluntary SME Standard).

Al fine di scongiurare asimmetrie concorrenziali e fenomeni di dumping regolatorio, la Direttiva ha esteso i propri precetti alle entità stabilite in Paesi terzi che operano stabilmente nell’Unione.

Il dovere di reporting per le imprese figlie o succursali scatta qualora la capogruppo extra-UE generi nel mercato unico ricavi netti superiori a 450 milioni di euro per due esercizi consecutivi, a condizione che l'articolazione europea contribuisca con un fatturato superiore a 200 milioni di euro.

L’impresa protetta

La riforma introduce una figura giuridica inedita: l’impresa protetta. Tale qualifica pertiene ai soggetti che, pur collocandosi nella catena del valore di imprese obbligate, non superano la soglia dei 1.000 dipendenti. Per tali realtà, la Direttiva configura un vero e proprio scudo normativo contro l'eccesso informativo dei grandi committenti, articolato su tre pilastri:

• tipicità delle richieste: divieto per le imprese obbligate di esigere dati eccedenti il perimetro dello standard VSME;
• diritto di Resistenza: riconoscimento in capo al fornitore del diritto di diniego rispetto a richieste informative ultra-standard;
• obbligo di trasparenza contrattuale: dovere per l'impresa obbligata di informare il fornitore sulla natura facoltativa di eventuali dati aggiuntivi richiesti.

Ulteriori modifiche in tema di Due Diligence

La Dir. UE 2026/470 è intervenuta anche sull’impianto della Corporate Sustainability Due Diligence Directive (CS3D/CSDDD), operando una drastica contrazione del suo perimetro applicativo e una revisione strutturale degli obblighi procedurali. L’obiettivo del legislatore unionale è la transizione da un modello di vigilanza onnicomprensivo a un sistema di diligenza selettiva, imperniato sulla reale capacità d'impatto delle grandi corporation.

Il legislatore ha innalzato significativamente le soglie di accesso alla disciplina (forza lavoro media superiore a 5.000 unità e fatturato netto mondiale eccedente 1,5 miliardi di euro), limitando il dovere di diligenza alle sole entità dotate di una rilevanza sistemica nel mercato globale.

Per le società di Paesi terzi, il criterio di radicamento della giurisdizione europea si fonda esclusivamente sul volume d'affari generato all'interno del territorio dell'Unione, garantendo così il rispetto del principio di parità di condizioni competitive (level playing field).

L’architettura della due diligence evolve verso un paradigma basato sul rischio (risk-based approach), e le imprese sono chiamate a un esercizio di analisi prognostica volto a individuare i segmenti della catena del valore caratterizzati da una maggiore probabilità di impatti avversi.

Sotto il profilo istruttorio, la norma privilegia il ricorso a fonti informative preesistenti - quali database pubblici, documentazione societaria e strumenti di mercato - al fine di limitare il ricorso sistematico a istanze di accesso ai dati nei confronti dei partner commerciali.

La cessazione del rapporto d’affari viene declassata da risposta ordinaria a extrema ratio, esperibile solo in presenza di violazioni gravi e non sanabili.

Infine, la riforma ha eliminato il regime di responsabilità specifica unionale, demandando agli ordinamenti nazionali il compito di garantire l’effettivo accesso alla giustizia per le vittime. Tale rinvio al diritto interno e agli strumenti internazionali pertinenti mira a ricondurre la tutela risarcitoria entro i binari della responsabilità civile ordinaria, mitigando i rischi di un contenzioso transnazionale ipertrofico.