2026-07-28 AGCM C12645 - NEVERHACK/INNOVERY Provvedimento n. 31266 L’AUTORITÀ GARANTE DELLA CONCORRENZA E DEL MERCATO NELLA SUA ADUNANZA del 18 giugno 2024; SENTITA la Relatrice, Professoressa Elisabetta Iossa; VISTO il Regolamento (CE) n. 139/2004; VISTA la legge 10 ottobre 1990, n. 287; VISTO il D.P.R. 30 aprile 1998, n. 217; VISTA la comunicazione della società Neverhack SAS, pervenuta il 29 maggio 2024; VISTA la documentazione agli atti; CONSIDERATO quanto segue: I. LE PARTI 1. Neverhack SAS (di seguito, “Neverhack”), società per azioni di diritto francese, svolge attività nel settore della fornitura di servizi di cybersecurity per piccole, medie e grandi imprese, offrendo in particolare servizi dedicati alla consulenza in materia di cybersecurity, alla formazione del personale e alla protezione delle infrastrutture digitali da minacce informatiche. Neverhack non ha alcuna attività in Italia, mentre opera quasi esclusivamente in Francia, ove ha generato il [95-100%]1[NOTE:1:Nella presente versione alcuni dati sono omessi, in quanto si sono ritenuti sussistenti elementi di riservatezza o di segretezza delle informazioni.] del fatturato totale realizzato nel 20222[NOTE:2:Neverhack è stata costituita il 27 luglio 2021 e il bilancio approvato relativo al 2023 non risulta ancora disponibile.] a livello globale, pari a [35-100] milioni di euro, di cui [35-100] milioni di euro in Europa. 2. Neverhack fa parte del gruppo statunitense The Carlyle Group Inc. che gestisce fondi di investimento attivi principalmente nei settori: (i) del private equity; (ii) del credito globale e (iii) delle soluzioni di investimento. In particolare, il capitale sociale di Neverhack è detenuto in via indiretta da fondi di investimento gestiti dalle affiliate di Carlyle, la quale è una public joint-stock company, le cui azioni ordinarie sono quotate presso il NASDAQ Stock Exchange. Nel 2022, il gruppo Carlyle ha realizzato un fatturato complessivo a livello globale pari a circa [100-200] miliardi di euro, di cui circa [50-60] miliardi di euro in Europa e circa [1-2] miliardi di euro in Italia. 3. Innovery S.p.A. (di seguito, “Innovery” o “Target”), società per azioni italiana, offre principalmente servizi nel settore della cybersecurity per le medie e le grandi aziende. In particolare, Innovery fornisce servizi di consulenza, supporto, manutenzione, formazione e monitoraggio delle infrastrutture informatiche al fine di garantire la sicurezza informatica del cliente. Nel 2023, Innovery ha realizzato un fatturato totale pari a [35-100] milioni di euro, di cui [35-100] milioni di euro in Europa e [35-100] milioni di euro in Italia. 4. Il capitale di Innovery è detenuto al [65-70%] da Wise Equity SGR S.p.A., al [25-30%] da GG S.r.l. e al [1-5%] da Upulun Investments S.L. (di seguito, “Upulun”). II. DESCRIZIONE DELL’OPERAZIONE 5. L’operazione in esame consiste nell’acquisizione del controllo esclusivo di Innovery da parte di Neverhack, direttamente o indirettamente, anche attraverso un’entità di diritto italiano interamente controllata da Neverhack. Il contratto di compravendita (Sales and Purchase Agreement di seguito, “SPA”), stipulato in data [omissis], prevede che al closing dell’operazione Neverhack acquisterà le azioni rappresentative dell’intero capitale sociale della Target. A seguito dell’operazione, la Target sarà, pertanto, indirettamente controllata dai fondi d’investimento gestiti dalle affiliate di Carlyle. 6. Lo SPA prevede un patto di non concorrenza, sottoscritto tra Upulun, una delle detentrici del capitale sociale di Innovery, la Target stessa e Neverhack, valido per un periodo di [omissis], a far data dall’esecuzione del closing, a carico di Upulun e dei suoi amministratori, dirigenti e dipendenti, i quali non potranno, personalmente o tramite terzi, dunque comprese le affiliate di Upulun, svolgere alcuna attività in concorrenza con Innovery in Italia e negli altri Paesi in cui quest’ultima opera. III. QUALIFICAZIONE DELL’OPERAZIONE 7. L’operazione comunicata (di seguito, “Operazione”) costituisce una concentrazione ai sensi dell’articolo 5, comma 1, lettera b), della legge n. 287/1990, in quanto comporta l’acquisizione del controllo di un’impresa. Essa rientra nell’ambito di applicazione della legge n. 287/1990, non ricorrendo le condizioni di cui all’articolo 1 del Regolamento (CE) n. 139/2004, ed è soggetta all’obbligo di comunicazione preventiva disposto dall’articolo 16, comma 1, della medesima legge, in quanto il fatturato totale realizzato, nell’ultimo esercizio a livello nazionale, dall’insieme delle imprese interessate è stato superiore a 567 milioni di euro e il fatturato totale realizzato, nell’ultimo esercizio a livello nazionale, individualmente da almeno due delle imprese interessate, è stato superiore a 35 milioni di euro. 8. Il patto di non concorrenza descritto può essere qualificato come accessorio alla concentrazione comunicata nella misura in cui contiene restrizioni direttamente connesse e necessarie al perfezionamento dell’operazione3[NOTE:3:Si veda “Comunicazione della Commissione sulle restrizioni direttamente connesse e necessarie alle concentrazioni” (G.U.C.E. 2005/C-56/03 del 5 marzo 2005)”.]. In particolare, esso può considerarsi accessorio alla presente operazione nella misura in cui sia limitato ai soli mercati (del prodotto e geografici) interessati dalla concentrazione e non ecceda la durata di due anni4[NOTE:4:Ibidem, par. 20.], atteso che, nel caso di specie, deve essere tutelato il valore dell’azienda oggetto di trasferimento solo in termini di avviamento e non anche di know-how, essendo la società acquirente già presente nel mercato della fornitura dei servizi di cybersecurity. IV. VALUTAZIONE DELLA CONCENTRAZIONE I mercati rilevanti 9. In considerazione dell’attività svolta dalle società interessate dall’Operazione, essa riguarda il mercato dei servizi di cybersecurity. 10. Tali servizi sono basati su tecnologie, processi e misure di protezione progettate per ridurre il rischio di attacchi informatici. Benché tali servizi siano di norma offerti dalle società che più generalmente si occupano della fornitura di servizi di Information Technology, le Parti, in linea con la prassi decisionale dell’Autorità5[NOTE:5:Cfr. provvedimento n. 31005 del 5 dicembre 2023, C12587 - Lutech/Eustema, in Bollettino n. 49/2023.], ritengono che i servizi di cybersecurity possano configurare un distinto mercato del prodotto. A ogni modo, nel caso di specie, l’esatta delimitazione merceologica del mercato può essere lasciata aperta, considerati l’assenza di criticità concorrenziali e il fatto che la valutazione viene condotta con riferimento all’ipotesi più restrittiva. 11. Sotto il profilo geografico, il suddetto mercato può ritenersi, in via conservativa, di dimensioni coincidenti con il territorio nazionale, considerato che l’Autorità, nei suoi precedenti6[NOTE:6:Ibidem.], ha rilevato l’omogeneità delle condizioni concorrenziali sul territorio nazionale e l’assenza di significative importazioni di servizi di tale natura. Anche in questo caso, comunque, sulla base di considerazioni analoghe svolte sopra, la delimitazione geografica del mercato può essere lasciata aperta. Gli effetti dell’Operazione 12. In considerazione della circostanza per cui Neverhack non genera alcun fatturato in Italia e del fatto che Innovery, nell’ambito del mercato nazionale dei servizi di cybersecurity, detiene una quota di mercato pari al [1-5%], nessuna effettiva sovrapposizione orizzontale verrebbe a crearsi nel mercato considerato. 13. Al riguardo, infatti, si rileva che l’operazione consiste in una mera modifica dell’assetto proprietario della Target, senza che, a valle dell’operazione in esame, venga alterata l’attuale struttura del mercato. Inoltre, il mercato nazionale dei servizi di cybersecurity vede la presenza di numerosi concorrenti, alcuni dei quali detengono quote di mercato significative, quali Accenture, Capgemini, IBM, Leonardo e Italtel. 14. Può, infine, escludersi che l’operazione produca effetti di natura verticale in relazione all’offerta dei servizi di cybersecurity, in quanto non sussistono rapporti di fornitura tra le Parti. RITENUTO, pertanto, che l’operazione in esame non ostacola, ai sensi dell’articolo 6, comma 1, della legge n. 287/1990, in misura significativa la concorrenza effettiva nel mercato interessato e non comporta la costituzione o il rafforzamento di una posizione dominante; RITENUTO, altresì, che le clausole di non concorrenza sopra descritte possono ritenersi accessorie alla presente operazione nei soli limiti sopra indicati e che l’Autorità si riserva di valutare, laddove sussistano i presupposti, le suddette clausole che si dovessero realizzare oltre tali limiti; DELIBERA di non avviare l’istruttoria di cui all’articolo 16, comma 4, della legge n. 287/1990. Le conclusioni di cui sopra saranno comunicate, ai sensi dell’articolo 16, comma 4, della legge n. 287/1990, alle imprese interessate e al Ministro delle Imprese e del Made in Italy. Il presente provvedimento sarà pubblicato nel Bollettino dell’Autorità Garante della Concorrenza e del Mercato.