Il panorama della sicurezza sul lavoro in Italia ha vissuto un’evoluzione normativa costante negli ultimi decenni. La ragione principale di questo mutamento va ricercata nell’urgenza di arginare il drammatico fenomeno degli infortuni sul lavoro. L’ultima grande novità, introdotta dal Decreto PNRR bis (D.L. 19/2024) e operativa dal 1° ottobre 2024, è la cosiddetta “Patente a Crediti”.

Ovviamente non si tratta di un semplice adempimento burocratico, ma di un vero e proprio sistema di qualificazione delle imprese e dei lavoratori autonomi che operano nei cantieri temporanei o mobili. L’obiettivo è chiaro: premiare chi investe in prevenzione e sanzionare, fino all’esclusione dal mercato, chi ignora le regole.

Cos’è e come funziona la Patente a Crediti
La patente a punti è un titolo digitale obbligatorio per tutte le imprese e i lavoratori autonomi che operano “fisicamente” all’interno dei cantieri. Sono esclusi soltanto coloro che effettuano mere forniture o prestazioni di natura intellettuale (come ingegneri o architetti che non operano come datori di lavoro in cantiere) e le imprese in possesso dell’attestazione SOA di classificazione pari o superiore alla III.

Il sistema si basa su un meccanismo dinamico di punteggio:

– Punteggio iniziale: Ogni patente parte con una dotazione di 30 crediti.
– Incrementi: È possibile accumulare fino a un massimo di 100 crediti totali attraverso la storicità dell’azienda, gli investimenti in formazione aggiuntiva, l’adozione di modelli di gestione della sicurezza (come la UNI ISO 45001) o l’assenza di infortuni nel tempo.
– Decurtazioni: In caso di violazioni delle norme sulla sicurezza o infortuni, i punti vengono sottratti.
La soglia critica: i 15 crediti
Il vero “spauracchio” per le imprese è la soglia dei 15 crediti. Se il punteggio scende al di sotto di questo limite, l’impresa o il lavoratore autonomo non possono più operare in cantiere. In questo scenario, è consentito esclusivamente il completamento delle attività oggetto di un contratto di appalto o subappalto già in corso, a condizione che i lavori eseguiti superino il 50% del valore complessivo.

Questa soglia trasforma la sicurezza da costo a valore strategico: perdere punti significa, di fatto, vedere paralizzata la propria capacità produttiva e commerciale.

Le sanzioni e la decurtazione dei punti
Il meccanismo di sottrazione dei punti è proporzionale alla gravità dell’infrazione e al danno che purtroppo ne consegue:

Infortuni mortali: Comportano la decurtazione di 20 crediti (che possono arrivare a una sospensione cautelare della patente fino a 12 mesi).
Infortuni che causano inabilità permanente: Comportano la decurtazione di 15 crediti.
Malattie professionali: La sottrazione è di 10 crediti.
Violazioni gravi (Allegato I del TUSL): Mancanza di protezioni contro le cadute dall’alto, assenza di formazione o mancata nomina del Responsabile del Servizio di Prevenzione e Protezione (RSPP) possono costare tra i 5 e i 10 crediti.
È importante sottolineare che la decurtazione non è automatica per il solo verificarsi dell’evento, ma è legata all’accertamento di responsabilità in capo al datore di lavoro o ai suoi delegati.

Un cambio di paradigma: dalla sanzione alla prevenzione
Per anni la sicurezza sul lavoro è stata percepita da molte piccole e medie imprese come un “fardello” documentale. La patente a punti mira a scardinare questa visione, introducendo un incentivo reputazionale.

Un’azienda con 80 crediti non è solo “in regola”, ma diventa un partner più appetibile per i committenti e i general contractor, poiché garantisce una continuità operativa che un’azienda vicina ai 15 crediti non può assicurare.

Il ruolo dei committenti
Il sistema chiama in causa anche i committenti (privati o pubblici) e i responsabili dei lavori. Essi hanno l’obbligo di verificare che le imprese esecutrici siano in possesso della patente con un punteggio superiore a 15 crediti. La mancata verifica comporta sanzioni amministrative pecuniarie rilevanti. Questo crea una filiera di controllo incrociato dove il mercato stesso sospende chi non rispetta le norme.

Criticità e sfide per il futuro
Nonostante le buone intenzioni, la patente a punti non è esente da critiche. Alcune associazioni di categoria sottolineano il rischio di una “burocratizzazione del rischio”: il timore è che le imprese si concentrino più sulla gestione dei crediti che sulla sicurezza reale in cantiere. Inoltre, resta il nodo della formazione: affinché il sistema funzioni, i controlli da parte dell’Ispettorato Nazionale del Lavoro (INL) devono essere capillari e costanti, altrimenti la patente rischia di diventare un mero “pezzo di carta” digitale.

Inoltre, il recupero dei crediti persi richiede la frequenza di corsi di formazione specifici e la valutazione di una commissione paritetica, un processo che richiede tempo e risorse, fungendo da ulteriore deterrente contro la negligenza.

La patente a punti per la sicurezza sul lavoro rappresenta il tentativo più concreto degli ultimi anni di trasformare la cultura della prevenzione in un asset economico. Non è la soluzione definitiva alle “morti bianche”, ma è uno strumento potente per distinguere le imprese sane da quelle che giocano al ribasso sulla pelle dei lavoratori.

Il successo di questa misura dipenderà dalla serietà dei controlli e dalla capacità del tessuto imprenditoriale di cogliere l’opportunità: smettere di considerare la sicurezza come un obbligo e iniziare a viverla come un prerequisito fondamentale per stare sul mercato.

Conto alla rovescia per la pubblica amministrazione e le aziende italiane. Mancano appena sei mesi alla nuova fase del Nis 2 (Network and Information Security Directive), la direttiva dell’Unione europea che impone a diciotto categorie essenziali o critiche per lo Stato — dall’energia alla sanità, dallo spazio al manifatturiero — di adottare misure per difendersi da possibili attacchi informatici. Dal 31 ottobre comincia la seconda fase del progetto comunitario, cioè la messa in pratica degli obblighi che negli ultimi mesi ogni Paese ha declinato e definito per le proprie aziende e pubbliche amministrazioni. Le misure di sicurezza di base, insomma, dovranno essere implementate e operative. Per applicare l’obbligo comunitario alle esigenze italiane c’è l’Agenzia per la cybersicurezza nazionale (Acn), che nelle ultime settimane ha pubblicato i dettagli degli adempimenti che devono essere rispettati da imprese e Pa.

«La minaccia cyber è sistemica, non può essere affrontata dal singolo Stato», spiega al Corriere Alessandro Armando, direttore del Cini Cybersecurity National Lab. «Se crolla l’infrastruttura elettrica in Francia o il sistema finanziario in Germania, caschiamo anche noi. Un attacco a un Paese avrebbe ripercussioni sistemiche sull’intera Unione».
Innanzitutto, con il Nis 2, le imprese dovranno investire sulla formazione e saranno obbligate a segnalare ogni incidente nella cybersecurity. Ma soprattutto, e qui si vedrà chi è pronto, le aziende dovranno dotarsi di un piano di gestione del rischio informatico — compilando un documento che elenchi i dispositivi e i servizi digitali offerti dall’azienda, nonché valutando le probabilità di un cyberattacco — ma anche di un piano di mitigazione. Che sarà a discrezione degli esperti di sicurezza informatica di ogni organizzazione, perché ad oggi non esiste un framework unico che indichi le azioni standard da intraprendere per gestire gli eventuali incidenti. «È a discrezione dell’organizzazione fare l’esercizio in coscienza nel miglior modo possibile facendo ricorso alle metodologie allo stato dell’arte», ribadisce Armando. «Ci sono consulenti ed esperti all’interno dell’organizzazione stessa che vengono reclutati per fare questo tipo di analisi».
Infine, il Nis 2 ha introdotto per la prima volta il tema di governance e responsabilità in caso di attacco hacker: saranno infatti gli organi di gestione a rispondere personalmente in caso di problemi informatici.

Fra le novità introdotte nelle determinazioni di aprile dell’Acn c’è anche la creazione di un albo dei fornitori che raccolga i dettagli sulle aziende terze parti che operano per conto dell’impresa o della pubblica amministrazione. Queste dovranno verificare anche che il fornitore abbia le caratteristiche adeguate, in termine di sicurezza cyber, per operare senza diventare l’anello debole della catena. «Oggi molti dei servizi informatici sono stati esternalizzati in cloud, creando però importanti dipendenze», sottolinea Armando, ribadendo che se un fornitore «gestisce la cybersecurity in maniera maldestra, allora potrebbe creare una vulnerabilità nelle organizzazioni alle quali fornisce servizi. E se parliamo di un’organizzazione che produce un servizio importante per lo Stato, questo diventa un problema sia per lo Stato sia per l’Unione europea».

Quello che sta portando all’imminente applicazione del Nis 2 si tratta di uno sforzo che non ha precedenti. «È un esercizio senza precedenti di questa scala e quindi non possiamo cercare riferimenti nel passato. La platea dei soggetti che rientrano dentro il perimetro è veramente enorme, si è allargata rispetto al Nis precedente». A essere coinvolte, infatti, potrebbero essere oltre 20 mila aziende (anche se alcune stime ingrandiscono questa stima) dalle grandi realtà alla piccola e media impresa. «Va accettato che ci possa essere disomogeneità nell’applicazione. Ci sarà chi è molto avanti mentre altri che saranno in ritardo, per esempio le piccole e medie imprese, che per sensibilità e budget potrebbero non farcela in tempo. E per il nostro Paese è un grosso problema, perché noi abbiamo Pmi con un grande know-how che rischiano di essere esposte a situazioni a furto della proprietà intellettuale».