Sector Startups innovadoras

Startups innovadoras, pymes innovadoras y spin-off universitarios

Acompañamiento a startups innovadoras, pymes innovadoras, spin-off universitarios e incubadoras certificadas: condición y obligaciones en la sección especial del registro mercantil italiano, incentivos, preparación de la due diligence de los inversores, protección de datos y seguridad del producto digital.

  • Registro delle imprese – sección especial
  • MIMIT
  • Agenzia delle entrate (agencia tributaria italiana)
  • Garante de protección de datos (Italia)
  • Consob
  • ACN
  • D.L. 179/2012 (conv. L. 221/2012) – startups innovadoras
  • D.L. 3/2015 (conv. L. 33/2015) – pymes innovadoras
  • L. 193/2024 – ley anual de mercado y competencia 2023
  • GDPR – Reg. UE 2016/679
  • NIS2 – D.Lgs. 138/2024
  • AI Act – Reg. UE 2024/1689

Los retos del sector

Los puntos críticos

Una condición que hay que mantener, no solo obtener

La inscripción en la sección especial del Registro delle imprese, el registro mercantil italiano, exige el cumplimiento conjunto de varios requisitos previstos por el Decreto Ley italiano 179/2012 y al menos uno de los requisitos alternativos sobre investigación y desarrollo, personal cualificado o títulos de propiedad industrial y programas de ordenador registrados. La permanencia debe confirmarse con declaraciones periódicas: si un requisito deja de cumplirse, decaen también los incentivos vinculados a él.

Incentivos que dependen de las evidencias

Ventajas fiscales para quien invierte en el capital, work for equity, Fondo di garanzia per le PMI (el fondo público italiano de garantía para las pymes), convocatorias e instrumentos públicos: cada beneficio se apoya en requisitos subjetivos, acuerdos sociales y documentación que hay que producir y conservar. Una contabilización imprecisa de los gastos de investigación y desarrollo pone en riesgo el beneficio del inversor, no solo el de la sociedad.

La due diligence de los inversores

Una ronda se juega en lo que es documentable: cap table e instrumentos convertibles, pactos parasociales, titularidad de la propiedad intelectual desarrollada por fundadores, empleados, autónomos y proveedores, contratos con los clientes, conformidad del producto en materia de privacidad. Las lagunas que afloran en la data room se traducen en un descuento en el precio, garantías o condiciones suspensivas.

Valorar una empresa sin historial

Antes de los ingresos recurrentes el valor no se lee en las cuentas de los ejercicios anteriores: se construye sobre el plan de negocio, las métricas de producto y la comparación con transacciones comparables, con hipótesis explícitas. El term sheet y las cláusulas de liquidación preferente, antidilución y opciones deben entenderse antes de firmarlos, porque afectan al control y al retorno de los fundadores.

La seguridad que pide el mercado antes que la ley

El primer cliente enterprise llega con un cuestionario de seguridad, la petición de un acuerdo de tratamiento de datos y, a menudo, la expectativa de una certificación ISO/IEC 27001; las licitaciones públicas exigen requisitos análogos. Para una empresa pequeña se trata de un condicionante comercial inmediato, no de un tema para el futuro.

Obligaciones que se activan con el crecimiento

Quien presta servicios en la nube, centros de datos o servicios gestionados puede entrar en el perímetro de la NIS2: por regla general cuando concurren el tipo de servicio y los umbrales de tamaño, pero el D.Lgs. 138/2024 prevé también criterios de inclusión independientes del tamaño, por lo que la aplicabilidad debe verificarse caso por caso. Quien desarrolla o integra sistemas de inteligencia artificial debe determinar qué papel asume, de proveedor o de responsable del despliegue, y en qué nivel de riesgo se sitúa el sistema, porque de esas dos calificaciones dependen las obligaciones aplicables. El Modelo 231, el modelo organizativo previsto por el Decreto Legislativo italiano 231/2001, pasa a ser relevante cuando se participa en licitaciones públicas o entran inversores institucionales.

Ámbitos de intervención

Cómo intervenimos, en la práctica

Condición, sección especial y obligaciones periódicas

Verificamos la concurrencia de los requisitos en la versión vigente de la normativa, preparamos la documentación para la inscripción en la sección especial y fijamos el calendario de las confirmaciones y de las actualizaciones periódicas, con las evidencias que respaldan cada requisito alternativo. Si la permanencia está a punto de vencer o un requisito está en riesgo, la cuestión debe afrontarse antes, cuando todavía es gestionable.

Incentivos, financiación e instrumentos públicos

Reconstruimos el cuadro de los beneficios aplicables: ventajas fiscales para quien invierte en el capital, work for equity para administradores, colaboradores y proveedores, equity crowdfunding en plataformas autorizadas, Fondo di garanzia per le PMI, convocatorias e instrumentos de ayuda. Nos ocupamos de los requisitos, de los acuerdos sociales y de la documentación que hay que conservar, para que el beneficio resista un control posterior.

Preparación de la ronda y valoración de la empresa

Ponemos en orden lo que el inversor va a verificar: cap table, instrumentos convertibles, pactos parasociales, cadena de titularidad de la propiedad intelectual, contratos con fundadores y colaboradores, contratos con los clientes, conformidad en materia de privacidad. Construimos la estimación del valor con varios métodos e hipótesis explícitas y acompañamos a los fundadores en la lectura del term sheet.

Protección de datos desde el diseño en el producto digital

Integramos la protección de datos en el ciclo de desarrollo: base jurídica de los tratamientos, cláusulas informativas y consentimientos en el producto, minimización y plazos de conservación, registro de actividades de tratamiento, evaluación de impacto cuando resulta necesaria. Definimos el papel de la empresa cuando trata datos por cuenta de sus clientes y los contratos que de ello derivan, junto con el mapa de las transferencias fuera de la UE y de los subencargados.

Seguridad de las aplicaciones y certificaciones que piden los clientes

Sometemos el producto, las API y la infraestructura en la nube a análisis de vulnerabilidades y test de intrusión, con un plan de corrección ordenado por prioridades. Donde el mercado lo exige, acompañamos a la empresa hacia un sistema de gestión de la seguridad de la información conforme a la ISO/IEC 27001 y preparamos las respuestas a los cuestionarios de seguridad de los clientes.

NIS2, AI Act y Modelo 231 cuando pasan a ser relevantes

Verificamos si la empresa entra en el perímetro del D.Lgs. 138/2024 según sector, dimensión y clasificación y, en caso afirmativo, gestionamos la inscripción ante la ACN (la agencia italiana de ciberseguridad), las medidas de gestión del riesgo y la notificación de los incidentes. Para los sistemas de inteligencia artificial reconstruimos el papel y el nivel de riesgo conforme al Reglamento (UE) 2024/1689. El Modelo 231 entra en juego cuando las licitaciones públicas o los inversores lo hacen necesario.

Procedimientos y controles proporcionados al tamaño

Escribimos los pocos procedimientos que de verdad hacen falta: gestión de los accesos, desarrollo y puesta en producción, gestión de los incidentes, incorporación de proveedores y colaboradores, documentación contractual recurrente. Con los socios acordamos unos pocos indicadores legibles, por ejemplo incidentes abiertos y cerrados, accesos revocados al terminar las relaciones, contratos firmados con excepciones no autorizadas, y los actualizamos con la periodicidad de las reuniones del consejo.

El contexto

Una startup innovadora no es una definición comercial: es una condición jurídica. El D.L. 179/2012 (convertido en la L. 221/2012) creó la sección especial del Registro delle imprese y, en el texto hoy vigente, supedita la inscripción al cumplimiento conjunto de varios requisitos: sociedad de capital no cotizada de dimensión micro, pequeña o mediana, objeto social innovador de alto valor tecnológico, valor de la producción dentro del límite legal, prohibición de distribuir beneficios y al menos uno de los requisitos alternativos sobre investigación y desarrollo, personal cualificado o títulos de propiedad industrial.

Para las pymes innovadoras (PMI innovative, D.L. 3/2015, convertido en la L. 33/2015) rigen requisitos en parte análogos, con diferencias que no son secundarias. Las incubadoras certificadas responden a requisitos de otra naturaleza, referidos a las instalaciones, a las competencias del equipo de gestión y a las relaciones con la investigación; en los spin-off universitarios cuentan además los reglamentos de la universidad sobre participaciones y titularidad de los resultados.

La condición debe confirmarse a lo largo del tiempo: la declaración periódica de los requisitos y la actualización de la información en el registro son el presupuesto para permanecer en la sección especial. La ley anual de mercado y competencia 2023 (L. 193/2024) modificó los requisitos de acceso y la duración de la permanencia, de modo que la versión vigente debe leerse caso por caso.

En torno a esta condición gira un sistema de incentivos, desde las ventajas fiscales para quien invierte en el capital riesgo hasta el Fondo di garanzia per le PMI: cada beneficio se apoya en requisitos y documentación, y su solidez se mide en un control posterior.

Existe además el cumplimiento que el mercado impone antes que la ley: un producto digital trata datos personales, a menudo por cuenta de los clientes, y la posición de la empresa, responsable o encargada del tratamiento, debe calificarse antes de firmar. Las garantías las pide el contrato antes que la norma, con acuerdos de tratamiento de datos y cuestionarios de seguridad. Con el crecimiento pueden activarse obligaciones adicionales: la NIS2 (D.Lgs. 138/2024) para quien presta servicios en la nube, centros de datos o servicios gestionados, cuando concurren las condiciones previstas por el decreto, que atiende al tipo de servicio, al tamaño y también a criterios independientes de este; el AI Act (Reglamento (UE) 2024/1689) para quien desarrolla o integra sistemas de inteligencia artificial; el Modelo 231 cuando llegan las licitaciones públicas o los inversores institucionales.

Nuestro acompañamiento

Trabajamos con los fundadores y con el primer núcleo de dirección, no en su lugar. El punto de partida es la fase en la que se encuentra la empresa: inscripción, primera ronda, primeros clientes estructurados, ampliación de capital. De ahí nace un plan con pocas prioridades, responsabilidades y plazos, en lugar de un programa de cumplimiento que consume los recursos que necesita el producto.

El criterio es la proporcionalidad. En las empresas jóvenes el riesgo no es la ausencia de reglas, sino la presencia de reglas escritas para otros: manuales copiados que nadie aplica y que, en una due diligence, documentan la distancia entre lo que está escrito y lo que ocurre. Por eso escribimos solo los procedimientos que los procesos reales exigen, con los controles integrados en las herramientas que ya se utilizan.

En el capital trabajamos en dos frentes: las evidencias que el inversor pedirá en la data room y la estimación del valor con métodos explícitos cuando el historial es corto, como en la ficha valoración y adquisición de empresas. En el producto integramos datos y seguridad en un único recorrido, porque la protección de datos y los test de seguridad responden a las mismas preguntas de clientes e inversores.

El perímetro se define conjuntamente y puede cambiar: una intervención puntual antes de una ronda o de un contrato importante, un control periódico de las obligaciones o un acompañamiento continuado mientras la estructura se forma. Las decisiones siguen en manos de los fundadores: nosotros aportamos lectura normativa, método y capacidad de ejecución.

Por qué un único partner

  • Una sola dirección para temas que se entrelazan: condición e incentivos, capital, datos, seguridad y procesos afectan a la misma empresa y al mismo producto; atendidos juntos, evitan documentos que se contradicen.
  • Preparados para la verificación de quien decide: las mismas evidencias sirven al inversor en la due diligence, al cliente en el cuestionario de seguridad y a la administración que controla un incentivo.
  • Proporcionalidad: procedimientos calibrados según la dimensión actual, pensados para crecer con la empresa y no para reescribirse en la primera ronda.
  • Continuidad: la normativa de las empresas innovadoras y el marco europeo sobre datos e inteligencia artificial cambian a menudo; permanecemos al lado de la empresa para actualizar requisitos y evidencias.

Preguntas frecuentes

Las respuestas a las preguntas más habituales

¿Cómo se mantiene en el tiempo la condición de startup innovadora?

Con una vigilancia continua, no con un trámite anual resuelto a toda prisa. Los requisitos deben comprobarse con los datos reales de la sociedad: valor de la producción, gastos de investigación y desarrollo efectivamente soportados y documentados, composición del personal cualificado, titularidad, solicitud o licencia de los títulos de propiedad industrial y titularidad de los derechos sobre los programas de ordenador registrados, además de la prohibición de distribuir beneficios. Sobre esa base preparamos la declaración periódica y la actualización de la información en el Registro delle imprese, y mantenemos al día un expediente de evidencias. Como la normativa fue revisada por la ley anual de mercado y competencia 2023 (L. 193/2024), los requisitos y la duración de la permanencia deben leerse en la versión vigente y aplicarse a cada sociedad concreta: cuando un requisito está en riesgo, conviene decidir antes cómo intervenir.

¿Qué documentos pide un inversor en la due diligence y cómo se prepara la empresa?

Por este orden: cap table actualizada con los instrumentos convertibles y los planes de incentivos, estatutos y pactos parasociales, acuerdos sociales, cadena de titularidad de la propiedad intelectual (contratos con fundadores, empleados, autónomos y agencias, licencias de código abierto utilizadas en el producto), contratos con los clientes y niveles de servicio comprometidos, documentación de privacidad del producto, situación de los incentivos obtenidos, litigios y situación fiscal y de cotizaciones sociales. La preparación consiste en reunir estos elementos en una data room ordenada, corregir lo que todavía es corregible y documentar de forma transparente lo que queda: un riesgo declarado se negocia, un riesgo descubierto por el inversor pesa sobre el precio y sobre las garantías.

¿Cómo se valora una sociedad que aún no tiene ingresos significativos?

No con una fórmula única, sino con un intervalo de valor construido sobre varios métodos e hipótesis declaradas: plan de negocio y flujos esperados, múltiplos de transacciones comparables en el mismo segmento, métodos que ponderan la probabilidad de escenarios distintos, análisis de sensibilidad sobre las variables que de verdad cuentan (tasa de conversión, rotación de clientes, coste de adquisición). El resultado sirve para dos cosas: dar a los fundadores una referencia defendible en la negociación y decidir con conocimiento de causa qué participación se cede. El precio final sigue siendo el resultado de la negociación, y el term sheet debe leerse por completo, porque las cláusulas de preferencia, la antidilución y las opciones influyen en el retorno más que unos puntos de valoración.

¿Es necesaria la certificación ISO 27001 para vender a clientes enterprise?

No es una obligación legal, pero en muchas negociaciones es un requisito de hecho: los grandes clientes y los órganos de contratación la piden para homologar a los proveedores que tratan sus datos. La secuencia útil es gradual: primero medir el estado real de la seguridad con análisis de vulnerabilidades y test de intrusión sobre el producto y la infraestructura, después ordenar los procedimientos esenciales y, por último, construir el sistema de gestión y afrontar la auditoría del organismo de certificación. Mientras tanto se responde a los cuestionarios de seguridad con evidencias verificables, que en muchas negociaciones permiten seguir adelante mientras el proceso de certificación está todavía en curso.

¿Tiene sentido un Modelo 231 en una sociedad con pocos empleados?

El Decreto Legislativo italiano 231/2001, sobre la responsabilidad administrativa de las personas jurídicas, no impone la adopción de un modelo organizativo, pero un modelo idóneo y eficazmente aplicado es la principal defensa de la entidad si se comete un delito en su interés. Para una sociedad pequeña cobra sentido en situaciones concretas: participación en licitaciones y financiaciones públicas, entrada de inversores institucionales que lo piden en la due diligence, relaciones con la administración pública, exposición a delitos informáticos o tributarios. En estos casos construimos un modelo proporcionado, con protocolos calibrados sobre los procesos realmente existentes y un Organismo de Vigilancia compatible con la estructura, evitando documentos estándar que no resistirían un examen judicial.

Hablemos

Construyamos juntos el mañana.

Cuéntenos las prioridades de su empresa: en una primera reunión sin compromiso analizamos el contexto y le proponemos un recorrido concreto, con plazos y resultados medibles.