[*] Il contributo affronta le novità dell’attuazione della Direttiva (UE) 2024/1226 di definizione dei reati e delle sanzioni per la violazione delle misure restrittive dell’Unione, soffermandosi sull’introduzione delle nuove fattispecie di reato, anche per le imprese, sugli impatti sulla responsabilità 231 degli enti e sulla necessità di un rafforzamento sostanziale e integrato dei presidi di compliance aziendale.
1. Introduzione
Dal 24 gennaio 2026, con l’entrata in vigore del D.lgs. 30 dicembre 2025, n. 211 (il “Decreto”), l’Italia dà finalmente attuazione alla Direttiva (UE) 2024/1226 (la “Direttiva”), introducendo un quadro organico e più incisivo per la repressione delle violazioni delle misure restrittive dell’Unione europea. Con qualche mese di ritardo rispetto al termine di attuazione previsto – e una procedura di infrazione avviata dalla Commissione europea nel luglio 2025 – il legislatore italiano si allinea al cambio di passo richiesto dall’UE: l’enforcement delle violazioni delle sanzioni diventa ora un presidio centrale del diritto penale ed economico. Le novità sono rilevanti e di forte impatto:
- Criminalizzazione delle violazioni delle sanzioni internazionali di matrice UE in precedenza soggette esclusivamente a sanzioni amministrative;
- Inasprimento delle sanzioni penali già applicabili nei confronti delle persone fisiche;
- Introduzione di nuove fattispecie penali, con l’aggiunta di uno specifico Capo I-bis (artt. 275-bis – 275-quinquies) nel Titolo I, Libro II, dedicato ai reati che incidono sulla politica estera e di sicurezza comune dell’UE;
- Inclusione di tali reati nel catalogo dei reati presupposto ai sensi del Decreto Legislativo n. 231/2001 (il “Decreto 231”), che disciplina la responsabilità amministrativa degli enti, introducendo un innovativo meccanismo di determinazione delle sanzioni pecuniarie, parametrato al fatturato globale della società (fino al 5%) o, in assenza di un fatturato determinabile, a importi fissi predeterminati (fino a 40 milioni di euro).
Ulteriori modifiche riguardano disposizioni del codice di procedura penale, del Decreto Legislativo n. 286/1998 (c.d. Testo Unico sull’Immigrazione), del D.lgs. n. 24/2023 in materia di whistleblowing e del D.lgs. n. 109/2007 in materia di prevenzione e contrasto del terrorismo, in funzione di coordinamento dell’azione di enforcement ed estensione dell’ambito applicativo alle nuove fattispecie.
La portata di tale aggiornamento normativo, dunque, è sistemica e costituisce un vero cambio di paradigma con immediate conseguenze per la governance, i controlli interni e le strategie di compliance delle imprese.
2. Verso un’applicazione più uniforme delle sanzioni UE tra gli Stati Membri
Le misure restrittive dell’Unione oggetto della Direttiva e della normativa italiana di recepimento comprendono tutti quegli atti adottati dall’UE nei confronti di paesi terzi, enti e persone fisiche, come embargo sulle armi, restrizioni commerciali, divieti finanziari e bancari, congelamento di fondi e risorse economiche, divieti di viaggio e di ingresso o transito nel territorio degli Stati membri. Si tratta di misure imposte sulla base dell’articolo 29 TUE o dell’articolo 215 TFUE, attraverso cui l’Unione persegue gli obiettivi della propria politica estera e di sicurezza comune (PESC).
Ad oggi, i regimi sanzionatori di matrice UE in vigore sono oltre quaranta e interessano più di trenta Paesi nel mondo, tra cui Russia, Iran, Siria, Libia, Venezuela e diversi altri Stati, tra Africa, Asia e America centrale. Per una prima panoramica di pronta consultazione è possibile verificare il sito EU Sanctions Map, gestito dalla Commissione europea, disponibile al link: https://www.sanctionsmap.eu/#/main[2].
Tuttavia, l’attuazione di tali atti normativi è rimessa nelle mani degli Stati membri, con risultati largamente disomogenei. Basti pensare, ad esempio, che in alcuni ordinamenti la violazione delle sanzioni UE costituiva sempre reato, mentre in altri poteva dar luogo a responsabilità amministrativa o penale a seconda di diversi criteri quali il dolo, la colpa grave o la gravità del danno. In un numero limitato di giurisdizioni, poi, le violazioni erano punibili esclusivamente con sanzioni amministrative. Anche le strutture di controllo si sono rivelate altamente decentralizzate. In tutta l’UE, oltre 180 autorità nazionali sono coinvolte nell’attuazione e nell’applicazione delle sanzioni: in alcuni Stati Membri vi sono numerosi organi competenti, mentre altri si affidano a uno o due soltanto.
A fronte di questa disomogeneità applicativa – e, apparentemente, a causa della priorità relativamente bassa attribuita alla repressione delle violazioni delle sanzioni – per diverso tempo, l’attività di enforcement è rimasta limitata. Negli ultimi anni, questo scenario è cambiato radicalmente, soprattutto in seguito all’adozione del vasto regime di sanzioni contro la Russia in risposta all’attacco all’Ucraina e alla ripresa delle sanzioni contro l’Iran, con un significativo aumento delle indagini, dei procedimenti penali e delle sanzioni irrogate in tutta l’UE.
In questo contesto, la Direttiva interviene con un obiettivo chiaro: armonizzare e rafforzare l’enforcement, introducendo standard minimi comuni e puntando con decisione sulla leva penale. La criminalizzazione delle violazioni riflette, infatti, la necessità di strumenti più incisivi, in considerazione della natura transnazionale ed economica di questi fenomeni, e mira a garantire una cooperazione più efficace tra gli Stati membri.
3. Le novità del sistema normativo italiano: dalla frammentazione a un sistema organico
Prima del Decreto, la normativa italiana prevedeva, per le violazioni delle misure restrittive dell’UE, un insieme di sanzioni penali e amministrative, con netta prevalenza di quest’ultime. In particolare, la violazione degli obblighi di congelamento dei beni – come il mancato congelamento di fondi e di risorse economiche o la mancata segnalazione di beni appartenenti a soggetti designati – erano sanzionati principalmente mediante sanzioni amministrative pecuniarie ai sensi del D.lgs. n. 109/2007. Altre condotte, invero, potevano costituire reati, laddove la violazione riguardasse l’esportazione, l’importazione, il transito o l’intermediazione di beni o servizi soggetti a restrizioni dell’UE (ad esempio, prodotti a duplice uso, merci sottoposte ad embargo o articoli coperti da divieti commerciali). Tali reati erano punibili ai sensi del D.lgs. n. 221/2017, che prevedeva pene detentive e/o pecuniarie in funzione della gravità della violazione. Un precedente intervento normativo, il D.L. 69/2023, aveva già rafforzato il regime sanzionatorio, inasprendo le pene per i reati previsti ed estendendo la rilevanza penale a violazioni prima punite esclusivamente in via amministrativa. Tuttavia, tali disposizioni si applicavano esclusivamente alle persone fisiche e non alle persone giuridiche.
Il risultato era un sistema poco coerente, in cui la risposta sanzionatoria variava in funzione del singolo divieto violato. È precisamente questo sistema “a mosaico” che il Decreto mira a sostituire, riconducendo le violazioni o l’elusione delle misure restrittive dell’UE a un insieme unico e coerente di reati, introducendo la responsabilità degli enti e prevedendo un significativo rafforzamento delle sanzioni penali già applicabili alle persone fisiche.
4. Introduzione di nuove fattispecie di reato e giurisdizione universale
Il Decreto introduce un nuovo insieme di reati nel codice penale italiano, raccolti in un nuovo Capo I-bis (“Delitti contro la politica estera e la sicurezza comune dell’Unione Europea”) nel Titolo I, Libro II, comprendente gli articoli da 275-bis a 275-quinquies, unitamente a disposizioni in materia di circostanze aggravanti e attenuanti, confisca obbligatoria, pene accessorie e giurisdizione. In particolare:
- il reato di “Violazione delle misure restrittive dell’Unione europea” (art. 275-bis c.p.) punisce con la reclusione da due a sei anni e con una multa compresa tra 25.000 e 250.000 euro le violazioni delle misure restrittive dell’UE, quali (i) la messa a disposizione, diretta o indiretta, di fondi o risorse economiche a soggetti designati; (ii) il mancato congelamento su fondi o risorse economiche riconducibili a soggetti designati; (iii) il compimento di operazioni economiche, commerciali o finanziarie con Stati terzi sanzionati o con loro organismi o con soggetti da questi direttamente posseduti o controllati; (iv) l’attuazione di operazioni di import-export, commercio, trasferimento, transito e trasporto di beni o la prestazione di servizi di intermediazione, di assistenza tecnica o altri servizi concernenti i medesimi beni, nonché la prestazione di servizi di qualsiasi natura, compresi quelli finanziari e lo svolgimento di operazioni finanziarie soggette a sanzioni UE. Le stesse sanzioni si applicano a chiunque eluda le misure restrittive dell’UE utilizzando o trasferendo a terzi fondi congelati ovvero impiegando documentazione falsa o fuorviante;
- il reato di “Violazione di obblighi informativi” (art. 275-ter c.p.) punisce con la reclusione da sei mesi a due anni e con una multa compresa tra 15.000 e 50.000 euro le persone designate o i rappresentanti legali di un’entità designata che omettano di segnalare alle autorità amministrative competenti i fondi o le risorse economiche su cui hanno la proprietà, il controllo, il possesso o la detenzione nel territorio dello Stato, nonché i professionisti che, pur essendo soggetti a un obbligo legale (in ragione del proprio ufficio o della propria attività professionale), omettano di comunicare le informazioni rilevanti. La disposizione, tuttavia, introduce un “privilegio professionale” in favore di coloro che esercitano la professione forense e, in particolare, coloro che sono iscritti all’albo degli avvocati: questi ultimi sono esonerati dall’obbligo di segnalazione quando le informazioni riguardano un cliente e sono state acquisite nel corso dell’esame della sua posizione giuridica o nell’ambito della prestazione di un’attività difensiva o di rappresentanza in un procedimento giurisdizionale o in relazione allo stesso. Tale previsione è volta a tutelare il segreto professionale e a preservare il rapporto fiduciario tra legale e assistito;
- il reato di “Violazione delle condizioni dell’autorizzazione allo svolgimenti di attività” (art. 275-quater c.p.) punisce con la reclusione da due a cinque anni e con una multa compresa tra 25.000 e 150.000 euro chiunque effettui operazioni o presti servizi o comunque svolga attività in difformità dagli obblighi prescritti nella autorizzazione rilasciata dall’autorità competente, quando essa è prescritta da una misura restrittiva dell’Unione europea.
Per le suddette disposizioni, la legge prevede una soglia di punibilità: quando i fondi, le risorse economiche, i prodotti o servizi interessati hanno un valore inferiore a 10.000 euro, si applica esclusivamente una sanzione amministrativa pecuniaria (compresa tra 15.000 e 90.000 euro per l’articolo 275-bis; tra 5.000 e 45.000 euro per l’’articolo 275-ter; tra 15.000 e 80.000 euro per l’articolo 275-quater);
- il reato di “Violazione colposa di misure restrittive dell’Unione europea” (art. 275-quinquies c.p.) introduce una fattispecie colposa, che rileva nei soli casi di colpa grave, relativa ai trasferimenti di materiali sensibili (i.e. prodotti militari o beni a duplice uso), punibile con la reclusione da sei mesi a tre anni e con una multa compresa tra 15.000 e 90.000 euro.
Il quadro normativo è completato da un insieme di circostanze aggravanti (art. 275-sexies c.p.) – tra cui il caso in cui il reato sia commesso nell’esercizio di attività professionali, commerciali, bancarie o finanziarie – e da circostanze attenuanti speciali, come la collaborazione efficace con le autorità volta a limitare le conseguenze del reato e a supportare le indagini, che può determinare una riduzione di pena da un terzo a due terzi (art. 275 septies c.p.).
Si prevede altresì la confisca obbligatoria, sia diretta che per equivalente, dei beni utilizzati – o destinati a essere utilizzati – per la commissione del reato, nonché dei beni che ne costituiscono il prezzo, il prodotto o il profitto (art. 275 octies c.p.), oltre alla pubblicazione della sentenza[3] nei casi in cui la condanna comporti una pena detentiva non inferiore a tre anni (art. 275 novies c.p.).
In aggiunta, le nuove disposizioni istituiscono un meccanismo di coordinamento per i reati relativi alle violazioni delle misure restrittive dell’UE: quando le autorità competenti per l’applicazione delle sanzioni UE vengono a conoscenza di tali reati, devono informare tempestivamente il Procuratore Nazionale Antimafia e Antiterrorismo e condividere tutte le informazioni rilevanti. Anche i pubblici ministeri sono tenuti a loro volta a notificare alla Procura Antimafia e Antiterrorismo i reati di cui vengano a conoscenza. L’applicazione delle sanzioni amministrative, invece, rimane di competenza del Ministero dell’Economia e delle Finanze (“MEF”) e dell’Unità per le Autorizzazioni dei Materiali di Armamento (“UAMA”). Tale sistema risponde all’obiettivo del legislatore europeo di rafforzare e razionalizzare l’enforcement, concentrando la responsabilità, all’interno di ciascuno Stato Membro, in capo a un’autorità centrale. Segnatamente, nel sistema italiano, tale centralizzazione si articola attraverso una ripartizione coordinata delle competenze tra enforcement amministrativo e azione penale.
A livello europeo, il monitoraggio dell’attuazione e dell’applicazione è affidato alla Commissione europea, in particolare alla Direzione generale Stabilità finanziaria, dei servizi finanziari e dell’Unione dei mercati dei capitali (DG FISMA). Inoltre, la Direttiva promuove una maggiore cooperazione tra gli Stati Membri e gli organismi dell’UE, tra cui Europol, Eurojust e la Procura europea (EPPO) e prevede la possibilità di istituire reti di esperti e professionisti per facilitare lo scambio di buone pratiche e fornire sostegno operativo alle autorità nazionali nelle indagini e nei procedimenti penali relativi alle violazioni sanzionatorie.
Un’ulteriore novità particolarmente significativa è l’estensione della punibilità ai sensi della legge italiana per i nuovi reati anche quando commessi da un cittadino italiano all’estero[4] (art. 275-decies c.p.). Ciò corrisponde alla scelta del legislatore italiano tra le due opzioni previste dalla Direttiva, che consentiva agli Stati Membri di scegliere tra l’affermazione della giurisdizione per i reati commessi nel proprio territorio ovvero per quelli commessi dai propri cittadini.
Infine, il Decreto modifica l’art. 1 del D.lgs. n. 24/2023 in materia di whistleblowing, al fine di garantire che le tutele riconosciute ai segnalanti si applichino anche a coloro che denuncino violazioni delle misure restrittive dell’UE.
5. Impatto sulla responsabilità degli enti ai sensi del Decreto 231: nuovi reati e sanzioni
Di pari rilievo è l’impatto atteso del Decreto sulla responsabilità degli enti: vengono introdotte infatti significative modifiche al Decreto 231, aggiungendo i nuovi reati “dolosi” di cui agli articoli 275-bis, 275-ter e 275-quater c.p. al catalogo dei reati presupposto. Le società potranno, pertanto, essere ritenute responsabili – e soggette a sanzioni pecuniarie e interdittive – per le violazioni delle misure restrittive dell’UE previste dai suddetti articoli commesse da amministratori, dirigenti o dipendenti nell’interesse o a vantaggio dell’ente.
Oltre all’inserimento di questi nuovi reati nel nuovo articolo 25-octies.2 (“Reati in materia di violazione di misure restrittive dell’Unione europea”) del Decreto 231, la novità più significativa riguarda un nuovo metodo di calcolo delle sanzioni pecuniarie particolarmente severo. Invero, a differenza del tradizionale sistema “per quote”, le sanzioni pecuniarie per questi reati saranno calcolate in percentuale sul fatturato globale dell’ente nell’esercizio finanziario precedente alla commissione del reato ovvero, se inferiore, nell’esercizio finanziario precedente all’applicazione della sanzione. Se il fatturato non è determinabile, si applicano importi fissi ricompresi in fasce predeterminate per ciascun reato. In particolare:
- per i reati di cui agli articoli 275-bis, co. 1, 2 e 5, e 275-quater, co. 1, c.p., gli enti possono essere soggetti a una sanzione pecuniaria compresa tra l’1% e il 5% del proprio fatturato globale per l’esercizio finanziario di riferimento ovvero, qualora il quest’ultimo non possa essere determinato, la sanzione applicabile sarà compresa tra 3 e 40 milioni di euro;
- per i reati di cui all’articolo 275-ter, co. 1 e 2, c.p. la sanzione pecuniaria varia dallo 0,5% all’1% del fatturato globale ovvero, qualora quest’ultimo non possa essere determinato, la sanzione sarà compresa tra 1 e 8 milioni di euro.
Tale approccio rappresenta un’innovazione significativa nell’ambito dell’intero apparato sanzionatorio del Decreto 231, in linea con le tendenze del legislatore europeo. Da ultimo anche la Direttiva anticorruzione – recentemente approvata dal Parlamento Europeo e in attesa di formale adozione anche da parte del Consiglio – tra i suoi punti principali, prevede che le sanzioni a carico dell’ente per i gravi reati contro la pubblica amministrazione vengano calcolate sulla base del fatturato. Questo cambio di paradigma è presto inteso: fare in modo che le sanzioni siano genuinamente dissuasive anche per le grandi società multinazionali, per le quali il sistema tradizionale previsto dal Decreto 231 rischia di risultare poco incisivo. Basti pensare che il meccanismo “per quote” può condurre all’applicazione di sanzioni pecuniarie fino a circa 1,5 milioni di euro (salvo l’applicazione di eventuali aggravanti).
Tuttavia, il Decreto non fornisce indicazioni circa i criteri per il calcolo del fatturato globale nei gruppi multinazionali, e sarà interessante osservare come questo aspetto troverà applicazione nella prassi. Tale riferimento potrebbe essere interpretato, in analogia con il diritto UE della concorrenza, come comprensivo del fatturato dell’intero gruppo societario e non del solo ente singolarmente considerato. Inoltre, il coinvolgimento del MEF nell’applicazione di tali sanzioni potrebbe aumentare il rischio di una più ampia esposizione finanziaria, dato che le autorità amministrative non sono soggette agli stessi vincoli interpretativi cui si devono attenere i giudici penali nella determinazione delle pene (primo tra tutti il divieto di analogia in malam partem).
Infine, occorre sottolineare che il Decreto non introduce nuove sanzioni interdittive, né modifica quelle già previste dal Decreto 231, prevedendo soltanto un limite temporale di applicazione. Infatti le sanzioni interdittive – quali, ad esempio, l’interdizione dall’attività, la revoca di autorizzazione o licenze, il divieto contrattare con la Pubblica Amministrazione, l’esclusione da agevolazioni o contributi, il divieto di pubblicità – possono essere applicate per un periodo da due a sei anni nei casi in cui il reato venga commesso da soggetti apicali, e da uno a tre anni nei casi qualora il reato venga commesso da un soggetto sottoposto all’altrui direzione e vigilanza.
6. L’importanza dei Programmi Interni di Conformità (PIC) in un sistema di compliance integrata
Nel nuovo quadro delineato dalla Direttiva e dal Decreto, la gestione del rischio sanzionatorio richiede un rafforzamento sostanziale e integrato dei presidi di compliance aziendale. Come sottolineato anche da Assonime con la pubblicazione n. 3/2026, la responsabilità degli enti ex Decreto 231 risulta strettamente connessa a un quadro regolatorio dinamico, caratterizzato da un rinvio “mobile” alle misure restrittive dell’Unione europea, con la conseguente necessità di un monitoraggio continuo e strutturato dell’evoluzione delle politiche sanzionatorie. In tale prospettiva, assume rilievo centrale l’integrazione dei modelli organizzativi ai sensi del Decreto 231 e i c.d. Programmi Interni di Conformità (“PIC”) o Internal Compliance Program (“ICP”) i quali consentono di tradurre i principi generali di compliance in presidi concreti ed efficaci. Essi comprendono un insieme strutturato di politiche, procedure e controlli operativi (tra cui due diligence sugli utilizzatori finali, screening delle controparti, analisi sul rischio Paese, conservazione della documentazione e protocolli di sicurezza) che, secondo la Raccomandazione europea (UE) 1318/2019 (contenente Linee Guida volte a facilitare la definizione di un programma interno di conformità), si articolano in sette pilastri:
- impegno del top management a garantire la conformità;
- definizione di una struttura organizzativa chiara;
- formazione periodica e continua;
- adozione di procedure di verifica delle esportazioni;
- previsione di sistemi di monitoraggio, audit periodici, canali di segnalazione interna;
- tenuta dei registri e della documentazione;
- implementazione di adeguate misure di protezione fisica, informatica e documentale.
Assonime evidenzia come tali programmi, già condizione necessaria per ottenere specifiche autorizzazioni all’export, rappresentino uno strumento fondamentale per integrare i presidi ai fini del Decreto 231, costruire una compliance realmente integrata e garantire un controllo effettivo sulle aree sensibili, soprattutto alla luce dell’introduzione dei nuovi reati presupposto relativi alla violazione delle misure restrittive UE.
7. Conclusioni e prospettive future
Il recepimento della Direttiva nell’ordinamento italiano segna l’allineamento del Paese al cambio di passo europeo verso un’applicazione più efficace delle misure restrittive, alla luce dell’attuale contesto geopolitico. Ciò significa che per le imprese, in particolare quelle operanti in settori esposti alle sanzioni (ossia esportazioni, logistica, finanza, tecnologia, beni e servizi a duplice uso), il nuovo Decreto richiede di prepararsi a un contesto applicativo significativamente rafforzato, tenuto conto anche dell’estensione della giurisdizione italiana alle condotte commesse all’estero da cittadini italiani. In tale contesto, occorre altresì considerare che il profilo di rischio per le imprese italiane risulta particolarmente elevato, in ragione del ruolo storicamente ricoperto dall’Italia quale importante paese esportatore verso numerosi mercati internazionali, inclusi diversi Paesi oggi soggetti a misure restrittive dell’Unione europea.
Pertanto, le società dovrebbero procedere celermente alla revisione e aggiornamento dei propri modelli organizzativi ai sensi del Decreto 231 al fine di incorporare i nuovi reati presupposto prevedendo una chiara definizione: (i) delle aree a rischio, (ii) dei protocolli operativi e dei presidi di controllo, nonché (iii) delle responsabilità attribuite ai vari livelli organizzativi. In tale ambito, potrebbe essere opportuno valutare anche l’adeguatezza della composizione degli Organismi di Vigilanza, al fine di assicurare competenze specifiche in materia di sanzioni ed export control. Si aggiunga anche la necessaria integrazione tra i modelli e i PIC in modo da costruire una compliance realmente efficace e capace di prevenire le nuove fattispecie di reato introdotte dal Decreto. Tra le azioni prioritarie rientrano l’aggiornamento dei sistemi di screening sanzionatori e delle procedure interne alla luce dell’evoluzione normativa, il rafforzamento delle attività di due diligence su clienti e partner commerciali, la revisione dei controlli sulla supply chain, il potenziamento dei flussi informativi e dei meccanismi di segnalazione interna, nonché l’aggiornamento delle policy e del codice etico, con l’introduzione di specifici principi di comportamento in materia di rispetto delle misure restrittive dell’Unione europea.
Considerata la complessità e la portata dei regimi sanzionatori a livello europeo, le società che, a seguito di una valutazione del rischio, risultino esposte alla commissione dei nuovi reati connessi a violazioni delle misure restrittive dell’UE, dovranno essere pronte ad adeguare i propri presidi di compliance, ove necessario, avvalendosi dell’assistenza di avvocati che beneficino del segreto professionale e che siano pertanto esonerati da qualsiasi obbligo di divulgazione delle informazioni acquisite nell’ambito del rapporto con il proprio cliente ai fini della difesa legale.
[*] Gli autori ringraziano l’Avv. Martino Basilisco e l’Avv. Francesca Nicolini per il contributo fornito nella redazione dell’articolo.
[2] Si precisa che il sito web in questione non costituisce una fonte legale ufficiale. Ai fini dell’accertamento dei regimi vigenti; resta pertanto necessario il rinvio esclusivo agli atti normativi dell’Unione applicabili nel caso di specie.
[3] Ai sensi dell’articolo 36 c.p., la sentenza è pubblicata mediante affissione nel Comune in cui è stata pronunciata, in quello in cui il reato è stato commesso e in quello dell’ultima residenza del condannato, oltre che pubblicata sul sito del Ministero della Giustizia.
[4] Resta fermo il principio di territorialità, ai sensi dell’art. 3 c.p.. Pertanto, le nuove disposizioni si applicano a chiunque, cittadino italiano o straniero, commetta i suddetti reati nel territorio dello Stato italiano.


