Sanzioni NIS2 in Italia: importi delle multe e responsabilità del management

Il quadro sanzionatorio del Decreto NIS2

Il Decreto Legislativo 4 settembre 2024, n. 138 (Decreto NIS2) introduce un articolato sistema di sanzioni amministrative per i soggetti che rientrano nell'ambito di applicazione della normativa sulla cybersicurezza. L'autorità incaricata della vigilanza e dell'irrogazione delle sanzioni è l'Agenzia per la Cybersicurezza Nazionale (ACN), che opera come Autorità nazionale competente NIS.

Secondo l'art 34, l'ACN monitora e valuta il rispetto degli obblighi previsti dall'articolo 7 e dal capo IV attraverso attività di monitoraggio, verifiche e ispezioni, misure di esecuzione e, infine, l'irrogazione di sanzioni amministrative pecuniarie e accessorie. L'obiettivo dichiarato è che le sanzioni siano effettive, proporzionate e dissuasive (art 34, comma 3).

Per le imprese è fondamentale sapere che la classificazione tra soggetto essenziale e soggetto importante incide direttamente sui massimali sanzionatori applicabili.

Vuoi capire se la tua azienda rientra nell'ambito NIS2 e a quale categoria appartieni? Usa il nostro strumento gratuito di scoping e gap analysis.

Importi massimi delle sanzioni: soggetti essenziali e importanti

Le sanzioni più elevate riguardano le violazioni degli obblighi di gestione dei rischi (art 24) e di notifica di incidente (art 25), elencate all'art 38, comma 8. Gli importi sono fissati dall'art 38, comma 9:

Si applica l'importo più alto tra il valore fisso in euro e la percentuale sul fatturato. Gli importi sono calcolati secondo le modalità previste dalla raccomandazione 2003/361/CE.

Per le pubbliche amministrazioni di cui all'allegato III e alcuni soggetti dell'allegato IV, l'art 38, comma 9, prevede regimi differenti: da 25.000 € a 125.000 € se soggetti essenziali (lettera c), mentre per i soggetti importanti tali importi sono ridotti di un terzo (lettera d).

Esistono poi sanzioni per le violazioni cosiddette "minori" elencate all'art 38, comma 10 (ad esempio la mancata registrazione ai sensi dell'art 7 o la mancata collaborazione con l'ACN). Secondo l'art 38, comma 11, queste sono punite fino allo 0,1% del fatturato annuo mondiale per i soggetti essenziali e fino allo 0,07% per i soggetti importanti.

La responsabilità personale del management

Una delle novità più rilevanti del Decreto NIS2 è la dimensione della responsabilità personale delle figure apicali. L'art 23 stabilisce che gli organi di amministrazione e gli organi direttivi dei soggetti essenziali e importanti:

• approvano le modalità di implementazione delle misure di gestione dei rischi adottate ai sensi dell'articolo 24;
• sovrintendono all'implementazione degli obblighi del capo e dell'articolo 7;
• sono responsabili delle violazioni del decreto (art 23, comma 1).

Inoltre, ai sensi dell'art 23, comma 2, tali organi sono tenuti a seguire una formazione in materia di sicurezza informatica e a promuovere un'offerta formativa periodica ai dipendenti.

L'art 38, comma 5, chiarisce che qualsiasi persona fisica responsabile di un soggetto essenziale, o che agisca come suo rappresentante legale con l'autorità di prendere decisioni o esercitare un controllo, assicura il rispetto delle disposizioni del decreto e può essere ritenuta responsabile dell'inadempimento in caso di violazione.

Quando il soggetto non adempie nei termini stabiliti dalla diffida di cui all'art 37, l'art 38, comma 6, prevede che l'ACN possa disporre nei confronti delle persone fisiche — inclusi gli organi di amministrazione e direttivi e chi svolge funzioni dirigenziali a livello di amministratore delegato o rappresentante legale — la sanzione amministrativa accessoria dell'incapacità a svolgere funzioni dirigenziali all'interno del medesimo soggetto, finché non vengano adottate le misure correttive necessarie.

Sanzioni accessorie e circostanze aggravanti

Oltre alle sanzioni pecuniarie, il Decreto NIS2 prevede misure accessorie significative:

• Sospensione di certificazioni o autorizzazioni: ai sensi dell'art 38, comma 4, in caso di mancato adempimento alla diffida, l'ACN può sospendere temporaneamente un certificato o un'autorizzazione relativi ai servizi o alle attività del soggetto essenziale (con esclusioni per determinate pubbliche amministrazioni).
• Incapacità dirigenziale per le persone fisiche apicali (art 38, comma 6), come sopra descritto.

Nella determinazione delle sanzioni, l'art 34, comma 6, impone di tenere conto di diversi elementi, tra cui: la gravità della violazione, la sua durata, eventuali precedenti violazioni, il danno causato, l'eventuale condotta intenzionale o negligenza, le misure adottate per attenuare il danno e il livello di collaborazione con l'ACN.

Sono considerate particolarmente gravi, tra le altre, le violazioni ripetute, la mancata notifica di incidenti significativi e l'ostacolo alle attività di vigilanza.

In caso di reiterazione, l'art 38, comma 12, prevede che nei casi di reiterazione specifica la sanzione sia aumentata fino al doppio, mentre nei casi di reiterazione non specifica si applichi la sanzione per la violazione più grave aumentata fino al triplo.

Non aspettare una diffida: verifica ora il tuo livello di conformità con lo strumento gratuito di scoping e gap analysis NIS2.