In breve:
- Governance, misure di sicurezza e notifica: fino a 10 milioni di euro o 2 % del fatturato (essenziali), 7 milioni o 1,4 % (importanti).
- Registrazione e altri obblighi informativi: fino allo 0,1 % o allo 0,07 % del fatturato.
- Chi non si registra rischia la sanzione più grave aumentata fino al triplo.
- Per i soggetti essenziali possono rispondere anche gli amministratori; dopo una diffida ignorata l'ACN può sospenderli dalle funzioni dirigenziali.
Violazioni di governance, misure e notifica
Il comma 8 elenca le violazioni più gravi: obblighi degli organi di amministrazione (art. 23), misure di gestione del rischio (art. 24), notifica degli incidenti (art. 25) e inosservanza degli ordini e delle diffide dell'ACN. Le sanzioni del comma 9:
| Soggetto | Massimo | Minimo |
|---|---|---|
| Essenziale | 10 000 000 € o 2 % del fatturato mondiale annuo, se superiore | un ventesimo del massimo |
| Importante | 7 000 000 € o 1,4 % del fatturato mondiale annuo, se superiore | un trentesimo del massimo |
| PA essenziale | da 25 000 a 125 000 € | |
| PA importante | importi della PA essenziale ridotti di un terzo | |
Esempio di calcolo: un soggetto essenziale con 800 milioni di euro di fatturato ha un massimo di 16 milioni (il 2 % supera i 10 milioni) e un minimo di 800 000 euro. Un soggetto importante con 60 milioni di fatturato ha un massimo di 7 milioni (l'1,4 % vale 840 000 euro, meno della soglia fissa) e un minimo di circa 233 000 euro.
Registrazione e obblighi informativi
Il comma 10 riguarda la registrazione e l'aggiornamento sul portale ACN (art. 7), la categorizzazione delle attività (art. 30), gli obblighi degli articoli 27, 29 e 32 e la mancata collaborazione con l'ACN e lo CSIRT Italia. Le sanzioni del comma 11:
| Soggetto | Massimo |
|---|---|
| Essenziale | 0,1 % del fatturato mondiale annuo |
| Importante | 0,07 % del fatturato mondiale annuo |
| PA essenziale | da 10 000 a 50 000 € |
| PA importante | importi della PA essenziale ridotti di un terzo |
Il comma 11 precisa che restano fermi i minimi del comma 9. Il fatturato è quello mondiale dell'esercizio precedente, calcolato secondo la raccomandazione 2003/361/CE.
Aggravanti e riduzioni
| Caso | Effetto | Comma |
|---|---|---|
| Reiterazione specifica | sanzione fino al doppio | 12 |
| Reiterazione non specifica | sanzione per la violazione più grave aumentata fino al triplo | 12 |
| Mancata o tardiva registrazione | l'ACN contesta tutte le violazioni e applica la più grave aumentata fino al triplo | 13 |
| PA e notifica degli incidenti | sanzione solo in caso di reiterazione specifica nei cinque anni | 14 |
| Invito a conformarsi | se il soggetto si mette in regola nel termine assegnato, il procedimento non prosegue (non in caso di reiterazione o dopo una diffida) | 15 |
| Pagamento in misura ridotta | entro 60 giorni dalla contestazione: un terzo del massimo o il doppio del minimo, se più favorevole | 15 |
Responsabilità degli amministratori
Per i soggetti essenziali possono essere chiamate a rispondere le persone fisiche che li rappresentano o hanno poteri di decisione e controllo (comma 5). Se un soggetto essenziale o importante non si adegua nei termini della diffida, l'ACN può disporre per gli organi di amministrazione, l'amministratore delegato o il rappresentante legale l'incapacità temporanea a svolgere funzioni dirigenziali nel soggetto, finché le carenze non sono sanate (comma 6). Per tutti i soggetti l'articolo 23 rende gli organi di amministrazione responsabili delle violazioni sulle misure di sicurezza: è per questo che le misure vanno approvate formalmente. Cosa chiedono è riassunto in obblighi e misure di base.
Da dove partire
Le sanzioni più alte riguardano misure non adottate e incidenti non notificati. Due cose da verificare subito: l'iscrizione nell'elenco ACN e la capacità di ricostruire un incidente dai log. Per il sito web la protezione da attacchi e la conservazione dei log si possono affidare a un servizio esterno:
Domande frequenti
Quanto può costare una sanzione NIS2?
Quanto rischia chi non si registra sul portale ACN?
Rispondono anche gli amministratori?
Si può pagare in misura ridotta?
Le pubbliche amministrazioni pagano come le imprese?
Fonte: D.Lgs. 4 settembre 2024, n. 138, articolo 38 su Normattiva, testo vigente al 30 ottobre 2026. Gli esempi di calcolo sono nostri. Questa pagina non è una consulenza legale.