NIS2: le sanzioni in Italia, e cosa rischiano le aziende
Due fasce di multe, minimi alti, la registrazione mancata che moltiplica tutto e conseguenze per chi amministra. I numeri della legge, senza allarmismi.
Le sanzioni sono la parte della NIS2 di cui si parla di più, spesso con cifre a effetto. Qui trovate le regole come sono scritte nell'articolo 38 del d.lgs. 138/2024, con i punti che la legge lascia aperti. Le sanzioni le applica l'ACN.
Prima dei numeri, una cosa da sapere: l'ACN decide tenendo conto di ciò che emerge da monitoraggio, verifiche e ispezioni (art. 38, c. 1), e pesano di più le violazioni ripetute, la mancata notifica di un incidente, il mancato rimedio, l'ostacolo ai controlli e le informazioni false (art. 34, c. 6). Come vi comportate conta quanto quello che è successo.
Due fasce di sanzioni
| Violazione | Soggetti essenziali | Soggetti importanti |
|---|---|---|
| Obblighi degli amministratori (art. 23), misure di sicurezza (art. 24), notifica degli incidenti (art. 25), mancato rispetto di provvedimenti e diffide dell'ACN | fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore; minimo un ventesimo del massimo | fino a 7 milioni di euro o all'1,4%, se superiore; minimo un trentesimo del massimo |
| Registrazione e aggiornamenti (art. 7), categorizzazione (art. 30), mancata collaborazione con ACN e CSIRT Italia, obblighi degli artt. 27, 29 e 32 | fino allo 0,1% del fatturato mondiale annuo | fino allo 0,07% |
Il fatturato è quello dell'esercizio precedente, calcolato secondo la raccomandazione europea 2003/361/CE, la stessa usata per stabilire la dimensione (art. 38, c. 9 e 11). Le prime violazioni sono previste dal comma 8, le seconde dal comma 10.
Per le pubbliche amministrazioni gli importi sono fissi: da 25.000 a 125.000 euro per la prima fascia e da 10.000 a 50.000 euro per la seconda, ridotti di un terzo per le PA importanti. Per la mancata notifica di un incidente, una PA è sanzionata solo se ripete la violazione entro cinque anni (art. 38, c. 9, 11 e 14).
I minimi: il punto più discusso
La direttiva europea fissa solo i massimi. L'Italia ha aggiunto dei minimi (art. 38, c. 9): un ventesimo del massimo per gli essenziali, un trentesimo per gli importanti. Letta alla lettera, la regola dice che per una violazione su misure, incidenti o obblighi degli amministratori la sanzione minima è di almeno 500.000 euro per un essenziale e di circa 233.000 euro per un importante, anche per una media impresa.
La registrazione mancata moltiplica tutto
Una regola merita più attenzione delle altre. In caso di mancata o tardiva registrazione l'ACN contesta comunque tutte le violazioni di entrambe le fasce e applica la sanzione prevista per la più grave, aumentata fino al triplo (art. 38, c. 13). In pratica, chi rientra nella NIS2 e non si registra si trova esposto per tutto ciò che non ha fatto, con un moltiplicatore.
Anche la reiterazione pesa: se, dopo una violazione accertata, ne commettete un'altra dello stesso tipo, la sanzione può arrivare al doppio; se è di tipo diverso, si applica la sanzione della più grave aumentata fino al triplo (art. 38, c. 12). Per evitare il primo problema basta poco: verificate se siete dentro e, se lo siete, seguite la guida su registrazione e punto di contatto.
Le conseguenze per chi amministra
- Gli organi di amministrazione «sono responsabili delle violazioni» (art. 23, c. 1, lett. c).
- Nei soggetti essenziali le persone che rappresentano o dirigono l'azienda devono assicurare il rispetto del decreto e possono esserne ritenute responsabili (art. 38, c. 5).
- Se l'azienda non rispetta una diffida, l'ACN può applicare ad amministratori e rappresentanti legali, sia degli essenziali sia degli importanti, l'incapacità a svolgere funzioni dirigenziali in quell'azienda, finché non si rimedia (art. 38, c. 6).
- Per i soli essenziali, sempre dopo una diffida non rispettata, l'ACN può sospendere certificazioni o autorizzazioni relative ai servizi interessati (art. 38, c. 4).
Cosa comportino queste regole per il patrimonio personale degli amministratori, soprattutto negli importanti, la legge non lo dice in modo chiaro. Ne parliamo in NIS2 e amministratori.
Come arriva l'ACN: la vigilanza
| Strumento | Essenziali | Importanti |
|---|---|---|
| Monitoraggio, richieste di informazioni, autovalutazioni e piani (art. 35) | sì | sì |
| Verifiche documentali, ispezioni in loco e a distanza, controlli a campione (art. 36) | sempre possibili | solo se ci sono elementi che fanno pensare a una violazione |
| Audit di sicurezza imposti (art. 37, c. 3) | periodici o mirati | solo mirati |
| Scansioni, istruzioni vincolanti, diffide, pubblicità delle violazioni (art. 37) | sì | sì |
Audit e scansioni li fanno organismi indipendenti, e i costi sono a carico dell'azienda (art. 34, c. 7). Prima di decidere, l'ACN comunica le conclusioni preliminari e lascia almeno 15 giorni per le osservazioni (art. 37, c. 8).
Come ridurre il rischio
- Registratevi nei termini, se siete dentro: è la violazione che moltiplica tutte le altre.
- Applicate le misure di base entro la vostra scadenza, partendo da quelle che proteggono di più.
- Notificate gli incidenti nei tempi: la mancata notifica è tra le violazioni considerate più gravi.
- Tenete le prove di ciò che fate: delibere, documenti datati, registri.
- Rispondete alle richieste dell'ACN e correggete senza indebito ritardo ciò che non va (art. 24, c. 4).
Pilot non vi mette al riparo dalle sanzioni da solo, ma vi aiuta a fare le cose nell'ordine giusto e a tenerne le prove in un fascicolo pronto per un controllo. Iniziate gratis.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
