Investimenti esteri, nuovi controlli UE dal 2028: quali aziende italiane saranno coinvolte

Un investitore straniero vuole entrare nel capitale di un'impresa italiana che produce semiconduttori. Oppure punta a una società che gestisce infrastrutture energetiche, servizi cloud, un'attività strategica all'interno di un porto o tecnologie utilizzabili nella difesa.

Dal 17 gennaio 2028, operazioni di questo tipo entreranno in un sistema europeo di controllo più uniforme e strutturato.

La novità arriva dal Regolamento (UE) 2026/1386 del Parlamento europeo e del Consiglio, pubblicato nella Gazzetta Ufficiale italiana – 2ª Serie Speciale “Unione Europea” n. 67 del 27 agosto 2026.

Il principio di fondo non è vietare gli investimenti stranieri. L'Unione europea riconosce espressamente che i capitali esteri possono portare crescita, innovazione, tecnologia e posti di lavoro.

Il problema nasce quando un investimento permette a un soggetto estero di ottenere un'influenza significativa su aziende, tecnologie o infrastrutture che possono incidere sulla sicurezza o sull'ordine pubblico.

Ed è qui che le nuove regole diventano particolarmente importanti anche per l'Italia.

Non significa che tutte le aziende italiane saranno controllate

Prima di tutto bisogna evitare un equivoco.

Il regolamento non stabilisce che qualsiasi impresa italiana con un socio straniero debba automaticamente essere sottoposta allo stesso tipo di verifica.

Il nuovo sistema individua invece un ambito minimo comune di operazioni che tutti gli Stati membri dovranno assoggettare ad autorizzazione preventiva.

Gli Stati potranno inoltre adottare disposizioni nazionali complementari o più specifiche, purché compatibili con il regolamento europeo.

In altre parole, Bruxelles stabilisce una base comune sotto la quale gli Stati non potranno scendere, ma lascia loro la possibilità di prevedere controlli ulteriori.

Che cosa si intende per investimento estero

Il regolamento definisce investimento estero un investimento effettuato da un investitore estero, direttamente oppure attraverso una propria impresa figlia nell'Unione, destinato a creare o mantenere legami durevoli e diretti con un'impresa dell'UE e tale da consentire una partecipazione effettiva alla sua gestione o al suo controllo.

Non stiamo quindi parlando soltanto dell'acquisto del 100% di un'azienda.

Possono assumere importanza anche partecipazioni, diritti di voto, accordi o altre forme di influenza capaci di incidere realmente sulla gestione dell'impresa.

Il regolamento, invece, non mira ai semplici investimenti di portafoglio, cioè agli acquisti di titoli effettuati come investimento finanziario senza l'intenzione di influenzare la gestione o il controllo della società.

Anche una società europea può nascondere un investitore extra-UE

Questa è una delle novità più interessanti.

Immaginiamo che un'impresa italiana strategica venga acquistata non direttamente da una società cinese, americana, britannica o di un altro Paese terzo, ma da una società costituita in un altro Stato dell'Unione.

A prima vista sembrerebbe un'operazione interna al mercato europeo.

Il regolamento, però, guarda anche a chi controlla quella società.

Se l'acquirente europeo è una impresa figlia di un investitore estero nell'Unione, cioè una società costituita secondo le leggi di uno Stato membro ma controllata direttamente o indirettamente da un investitore estero, l'operazione può rientrare nel nuovo sistema.

Conta quindi sempre di più sapere chi si trova realmente alla fine della catena societaria.

Il “titolare effettivo”: chi c'è davvero dietro l'investimento?

Il regolamento dedica particolare attenzione al titolare effettivo.

In parole semplici è la persona fisica che, direttamente o indirettamente, possiede o controlla l'investitore o l'impresa interessata, beneficia in ultima analisi dell'investimento oppure per conto della quale viene effettuata l'operazione.

Quando non è possibile individuare una persona fisica, il regolamento prevede ulteriori criteri per risalire al soggetto, alla persona giuridica o al trust posto al livello identificabile della struttura.

È importante perché strutture societarie composte da molte società controllanti non potranno essere considerate soltanto sulla base dell'ultimo nome presente nel contratto.

Il regolamento introduce anche il concetto di assetto proprietario opaco, cioè una struttura nella quale proprietà e controllo risultano poco chiari, nascosti o difficili da ricostruire attraverso società, livelli proprietari, fiduciari o altri meccanismi.

1. Difesa e tecnologie militari

Il primo settore è facilmente comprensibile.

Rientrano nell'ambito minimo comune gli investimenti in imprese che sviluppano, producono o commercializzano beni o tecnologie militari contemplati dalla normativa europea richiamata dal regolamento.

Il motivo è evidente: acquisire un'impresa della difesa può significare ottenere non soltanto fabbriche e contratti, ma anche conoscenze tecnologiche, proprietà intellettuale e capacità produttive strategiche.

Un'impresa italiana che possiede una tecnologia utilizzabile in sistemi militari può quindi trovarsi al centro del controllo prima che un investitore estero ne acquisisca una partecipazione rilevante.

2. Prodotti a duplice uso

La seconda grande categoria comprende i cosiddetti prodotti a duplice uso.

Sono prodotti, software o tecnologie che possono avere applicazioni civili ma anche utilizzi militari o strategici secondo la disciplina europea richiamata dal regolamento.

Pensiamo, come esempio generale, a una tecnologia progettata per un'attività industriale che possa essere utilizzata anche in applicazioni sensibili.

Per queste imprese non conta quindi soltanto ciò che vendono oggi, ma anche il valore strategico della tecnologia e del know-how posseduti.

3. Semiconduttori: non soltanto chi produce chip

Qui il nuovo regolamento diventa particolarmente dettagliato.

L'allegato I include nella categoria dei semiconduttori un'intera filiera tecnologica.

Sono contemplate tecnologie e know-how relativi alla progettazione di circuiti integrati e semiconduttori, tra cui microprocessori, processori grafici, microcontrollori, chip logici, memorie, chip a radiofrequenza, fotonici, analogici e quantistici, semiconduttori di potenza, sensori e microsistemi.

Ma non finisce qui.

Sono ricompresi anche software utilizzati per automatizzare la progettazione elettronica, produzione iniziale dei circuiti, assemblaggio, collaudo e imballaggio, apparecchiature utilizzate per fabbricare semiconduttori e perfino determinati materiali necessari alla produzione, come prodotti chimici speciali, gas rari, substrati e wafer.

Questo significa che l'attenzione non riguarda soltanto la grande fabbrica che produce chip.

Può interessare anche un'impresa italiana altamente specializzata che occupa un piccolo ma fondamentale anello della catena produttiva.

4. Tecnologie quantistiche

L'allegato individua espressamente anche le tecnologie quantistiche.

Sono comprese tecnologie e know-how riguardanti:

• calcolo quantistico;
• comunicazioni quantistiche;
• rilevamento quantistico.

Un'impresa può essere relativamente piccola in termini di fatturato e avere comunque un'importanza strategica enorme perché possiede brevetti, ricercatori o conoscenze difficilmente sostituibili.

Il valore da proteggere, quindi, non coincide necessariamente con la dimensione economica dell'azienda.

5. Intelligenza artificiale: attenzione, non tutta l'IA è automaticamente coinvolta

Anche l'intelligenza artificiale entra nel sistema, ma è importante non trasformare la norma in un'affermazione troppo generica.

Il regolamento non dice semplicemente che qualsiasi azienda che utilizza ChatGPT, un algoritmo o un programma di IA diventa automaticamente strategica.

L'articolo 4 richiama specificamente le tecnologie di IA individuate nell'allegato I e le imprese che le sviluppano o svolgono ricerca negli ambiti indicati.

La conseguenza pratica è importante: per capire se una determinata azienda italiana rientra effettivamente nel perimetro bisognerà verificare la tecnologia sviluppata e la sua corrispondenza con le categorie stabilite dal regolamento.

Non basta l'etichetta commerciale “azienda di intelligenza artificiale”.

6. Energia: il controllo dipende dalla criticità dell'impresa

Energia, trasporti e infrastrutture digitali seguono una logica particolare.

Non qualsiasi impresa di questi settori rientra automaticamente nell'ambito minimo.

Il regolamento richiede che l'impresa sia considerata critica sulla base di una valutazione mirata del rischio effettuata dallo Stato membro, considerando la sicurezza nazionale, le funzioni vitali della società e i servizi essenziali forniti.

Nel settore energetico il testo richiama, tra i soggetti da valutare, gli impianti di stoccaggio dell'energia e i gestori del sistema di trasporto del gas.

Per fare un esempio: l'acquisizione di una piccola attività commerciale che vende energia e quella di un soggetto che controlla un'infrastruttura fondamentale per l'approvvigionamento nazionale non presentano necessariamente lo stesso livello di rischio.

7. Porti: nel mirino le infrastrutture realmente strategiche

Anche i porti meritano particolare attenzione.

Il regolamento richiama gli enti di gestione dei porti centrali individuati dalla normativa europea sulle reti transeuropee dei trasporti, i prestatori di servizi portuali e altri soggetti operanti all'interno di tali porti quando risultano essenziali per sicurezza e continuità delle operazioni.

Il controllo può quindi estendersi oltre il soggetto che formalmente amministra il porto.

Può diventare importante anche chi gestisce un'attività senza la quale l'infrastruttura strategica non riuscirebbe a funzionare regolarmente.

8. Aeroporti

Una logica analoga riguarda gli aeroporti.

Il regolamento richiama gli aeroporti e, in particolare, quelli centrali delle reti europee, oltre ai soggetti che gestiscono impianti annessi quando questi sono essenziali per sicurezza e continuità delle operazioni aeroportuali.

Anche qui bisogna evitare una semplificazione eccessiva: non significa che qualsiasi azienda con un ufficio dentro un aeroporto sarà automaticamente sottoposta al controllo europeo.

Conta la criticità dell'attività.

9. Cloud e infrastrutture digitali

Nel settore digitale vengono espressamente richiamati, tra i soggetti da valutare, i fornitori di servizi di cloud computing e i fornitori di reti pubbliche di comunicazione elettronica.

Il motivo è facilmente intuibile.

Oggi dati, servizi pubblici, imprese e infrastrutture dipendono sempre più da sistemi informatici e reti.

Il controllo di un'infrastruttura digitale critica può quindi trasformarsi in un problema di sicurezza nazionale ed europea.

Non conta soltanto il possesso fisico di server o cavi: il regolamento considera più in generale sicurezza, resilienza, disponibilità delle tecnologie e protezione di informazioni sensibili.

10. Materie prime strategiche

Un'altra categoria riguarda le materie prime strategiche indicate dalla normativa europea.

Sono sottoposte all'ambito minimo le imprese che, rispetto a tali materie prime, svolgono attività di:

esplorazione, estrazione, trasformazione, riciclaggio, recupero o costituzione di scorte.

Il tema è centrale perché una dipendenza eccessiva da soggetti esteri può trasformare una normale catena commerciale in una vulnerabilità strategica.

Un investimento potrebbe quindi essere valutato anche per il rischio di interruzione delle forniture o di dipendenza da un soggetto straniero.

Non ci sono soltanto difesa, porti e tecnologia

Il perimetro minimo del regolamento comprende anche altre attività meno immediate.

Tra queste figurano determinate infrastrutture finanziarie e soggetti di rilevanza sistemica, come controparti centrali, depositari centrali di titoli, gestori di mercati regolamentati e determinati operatori di sistemi di pagamento.

Il regolamento prende inoltre in considerazione imprese che possiedono, sviluppano o gestiscono banche dati per la registrazione degli elettori, sistemi di voto e altri sistemi informativi pertinenti.

La sicurezza economica europea viene quindi interpretata in senso molto ampio: non significa soltanto proteggere fabbriche e infrastrutture fisiche, ma anche dati, processi democratici, finanza e tecnologie.

Cosa dovrà succedere prima dell'acquisizione

Per gli investimenti che rientrano nell'ambito minimo comune è previsto un obbligo di autorizzazione preventiva.

Significa che l'operazione deve essere presentata all'autorità competente e sottoposta al controllo prima della sua realizzazione.

Questo è uno dei punti più importanti per imprese, investitori e consulenti.

Non si tratta semplicemente di comunicare successivamente che un'acquisizione è avvenuta.

Per le operazioni contemplate dalla norma il controllo deve arrivare prima.

Quanto durerà il controllo?

Il regolamento stabilisce che l'autorità nazionale deve disporre di procedure adeguate per effettuare un esame iniziale entro 45 giorni di calendario dalla data della presentazione.

L'obiettivo di questa prima fase è decidere se sia necessario avviare un'indagine approfondita.

Se emergono elementi problematici, quindi, il procedimento può proseguire.

I 45 giorni non devono essere interpretati come garanzia che qualsiasi operazione complessa venga definitivamente autorizzata entro quel termine: rappresentano il termine previsto per l'esame iniziale.

Che cosa può decidere l'autorità

Il controllo non porta necessariamente a un “sì” o a un “no”.

Il regolamento contempla anche le misure di mitigazione, cioè condizioni imposte per eliminare o ridurre i rischi dell'investimento.

Tra gli esempi previsti figurano modifiche alla governance dell'impresa, modifiche dei diritti di voto dell'investitore, limitazioni all'accesso a tecnologie o informazioni sensibili, obblighi relativi alla continuità delle forniture, requisiti sull'approvvigionamento di componenti critici, protocolli di cibersicurezza e obblighi di conservare o trattare determinati dati all'interno dell'Unione.

Il divieto o l'obbligo di liquidare l'investimento rappresentano invece le soluzioni più drastiche e vengono previsti quando i probabili effetti negativi non possono essere affrontati adeguatamente con altri strumenti.

Un esempio pratico: l'azienda italiana dei microchip

Immaginiamo una PMI italiana che abbia sviluppato un particolare sensore a semiconduttore.

Ha 70 dipendenti e non è conosciuta dal grande pubblico, ma possiede brevetti e tecnologie molto specializzate.

Un gruppo di un Paese extra-UE decide di acquistarne il controllo.

La dimensione dell'azienda non basta a escludere il problema.

Bisognerà verificare se la tecnologia rientra nelle categorie individuate dal regolamento, chi controlla realmente l'investitore, quale influenza otterrà sulla società e quali rischi potrebbero derivare dall'accesso al know-how.

La domanda centrale diventa quindi non soltanto “quanto vale questa azienda?”, ma soprattutto “che cosa sa fare questa azienda e che cosa potrebbe succedere se il suo controllo passasse a questo investitore?”.

Un secondo esempio: il porto

Immaginiamo ora un'impresa che gestisce un'infrastruttura essenziale all'interno di un porto centrale italiano.

Un investitore straniero vuole acquisirne il controllo.

L'autorità dovrà considerare se quell'attività è critica per il funzionamento e la continuità del porto.

Se lo è, l'investimento può entrare nel perimetro dell'autorizzazione preventiva.

Questo permette di capire la filosofia del regolamento: il controllo segue la funzione strategica dell'impresa, non semplicemente il settore scritto nella visura camerale.

E se l'investitore è controllato da un governo straniero?

Questo è uno degli elementi che possono assumere particolare rilevanza nella valutazione.

Il regolamento considera anche il contesto dell'investimento e la possibilità che l'investitore, il suo titolare effettivo o soggetti che lo controllano possano perseguire obiettivi politici di un Paese terzo o contribuire allo sviluppo delle sue capacità militari.

L'analisi non si ferma quindi alla solidità finanziaria dell'acquirente.

Può riguardare anche proprietà, controllo, legami e finalità strategiche.

Che cosa cambia concretamente per le imprese italiane

Per le imprese italiane attive nei settori strategici, una futura operazione societaria con capitali extra-UE richiederà ancora più attenzione alla fase precedente alla firma e al completamento dell'investimento.

Anche fondi, gruppi multinazionali e consulenti dovranno verificare anticipatamente se l'operazione ricade nell'ambito del controllo.

Particolarmente importante sarà ricostruire la catena proprietaria dell'investitore.

Una società acquirente con sede in Europa non sarà necessariamente sufficiente per escludere il controllo se dietro di essa esiste un investitore di un Paese terzo.

Quando entreranno in vigore realmente le nuove regole?

Qui è importante distinguere entrata in vigore e applicazione.

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea, ma stabilisce che la sua applicazione generale decorra dal 17 gennaio 2028, salvo alcune disposizioni specificamente indicate che si applicano già dal 16 luglio 2026.

Entro il 17 gennaio 2028 ogni Stato membro dovrà inoltre notificare alla Commissione le misure adottate per il proprio meccanismo di controllo.

Il regolamento precisa anche il regime transitorio per gli investimenti già completati o con controlli già in corso.

FAQ – Domande frequenti

Tutte le aziende italiane con investitori stranieri saranno sottoposte a controllo?

No. Il regolamento stabilisce un ambito minimo comune relativo a determinate operazioni e attività strategiche. Gli Stati membri possono inoltre prevedere disposizioni nazionali complementari o più specifiche.

Quali sono i settori maggiormente interessati?

Tra quelli indicati dal regolamento figurano difesa e beni a duplice uso, semiconduttori, tecnologie quantistiche, determinate tecnologie di IA, materie prime strategiche e specifiche infrastrutture finanziarie. Trasporti, energia e infrastrutture digitali rientrano nel perimetro minimo quando l'impresa è considerata critica secondo la valutazione prevista.

Porti e aeroporti saranno tutti automaticamente sottoposti allo stesso controllo?

No. Il testo richiama specifiche infrastrutture e soggetti critici, con particolare attenzione alla sicurezza e alla continuità delle operazioni.

Anche una piccola impresa tecnologica può essere coinvolta?

Sì. Il regolamento non lega l'importanza strategica esclusivamente alla dimensione dell'impresa. Una PMI può possedere una tecnologia, un brevetto o un know-how strategico.

Un'azienda europea che compra un'impresa italiana evita il controllo?

Non necessariamente. Se la società europea acquirente è controllata direttamente o indirettamente da un investitore estero, il regolamento può considerare l'operazione un investimento estero.

Che cosa significa autorizzazione preventiva?

Significa che, per gli investimenti soggetti all'obbligo, l'operazione deve essere presentata all'autorità competente e controllata prima della sua realizzazione.

Quanto dura il primo controllo?

L'esame iniziale deve essere effettuato entro 45 giorni di calendario dalla presentazione. Se necessario può seguire un'indagine approfondita.

L'autorità può autorizzare l'investimento imponendo condizioni?

Sì. Può adottare misure di mitigazione, per esempio limitando l'accesso a informazioni sensibili, modificando diritti di voto o governance oppure imponendo specifiche misure di cibersicurezza.

Il controllo può arrivare fino al divieto dell'acquisizione?

Sì. Il regolamento contempla autorizzazione, autorizzazione con condizioni, divieto e, nei casi previsti, liquidazione dell'investimento. Il divieto o la liquidazione devono però essere utilizzati quando i rischi non possono essere affrontati adeguatamente con altri mezzi.

Quando si applicherà il nuovo regolamento?

L'applicazione generale è prevista dal 17 gennaio 2028, ferme restando alcune disposizioni indicate dal regolamento applicabili dal 16 luglio 2026.

Paragone semplice per capire la norma

Pensiamo a un Comune che possiede diversi edifici.

Vendere un normale magazzino non presenta necessariamente gli stessi problemi della cessione dell'edificio dal quale vengono controllati acquedotto, rete elettrica, sistemi informatici e comunicazioni di emergenza.

Nel secondo caso non interessa soltanto sapere quanto offre il compratore. Bisogna sapere chi è realmente il compratore, chi lo controlla e quale accesso otterrà alle infrastrutture.

Il nuovo regolamento europeo applica una logica simile alle imprese strategiche.

L'Europa non chiude la porta agli investitori stranieri. Prima di consegnare le chiavi delle attività più delicate, però, vuole sapere chi le prenderà e quali conseguenze potrebbe avere quell'operazione.