Nelle presentazioni commerciali la NIS2 si riduce quasi sempre a un numero: dieci milioni di euro. È vero, ma è la parte meno utile della storia. L'art. 38 del D.Lgs. 138/2024 costruisce un impianto a più livelli, con importi diversi a seconda della violazione, minimi che raramente vengono citati, aggravanti per chi non si registra e misure che non sono soldi: sospensioni, diffide e conseguenze per chi ha responsabilità dirigenziali. Vale la pena leggerlo per intero, perché cambia le priorità di lavoro.
La titolare del potere sanzionatorio è l'Autorità nazionale competente NIS, cioè l'Agenzia per la cybersicurezza nazionale. Non decide al buio: tiene conto degli esiti delle attività di monitoraggio, analisi e supporto, delle risultanze delle verifiche e ispezioni e dell'esercizio dei poteri di esecuzione. C'è una differenza importante fra le due categorie di soggetti: nei confronti dei soggetti importanti i poteri di verifica e ispezione si applicano unicamente quando l'Autorità acquisisce o riceve elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni. Per i soggetti essenziali la vigilanza può essere anche preventiva. (La differenza tra le due categorie è spiegata nella guida sull'ambito di applicazione.)
Il primo gruppo di violazioni riguarda il cuore degli obblighi: la mancata osservanza degli obblighi imposti agli organi di amministrazione e direttivi, degli obblighi di gestione del rischio per la sicurezza informatica e di notifica di incidente, e l'inottemperanza alle disposizioni e alle diffide dell'Autorità.
| Soggetto | Sanzione amministrativa pecuniaria |
|---|---|
| Essenziali (escluse le PA) | fino a 10.000.000 € o al 2% del fatturato annuo su scala mondiale dell'esercizio precedente, se tale importo è superiore; minimo pari a un ventesimo del massimo edittale |
| Importanti (escluse le PA) | fino a 7.000.000 € o all'1,4% del fatturato annuo su scala mondiale, se superiore; minimo pari a un trentesimo del massimo edittale |
| PA essenziali (allegato III e casi assimilati) | da 25.000 € a 125.000 € |
| PA importanti | gli importi previsti per le PA essenziali, ridotti di un terzo |
Il dettaglio che quasi nessuno racconta è quello dei minimi: la norma non fissa solo un tetto, fissa anche un pavimento calcolato in frazione del massimo edittale. Se il massimo applicabile è dieci milioni, un ventesimo è mezzo milione. Non è una lettura da prendere come previsione di quanto si pagherebbe in un caso concreto — la quantificazione dipende dai criteri visti sotto — ma smonta l'idea che «tanto per una PMI sarà una multa simbolica».
Il secondo gruppo riguarda gli obblighi che sembrano burocratici e che invece hanno una sanzione propria: la mancata registrazione, comunicazione o aggiornamento delle informazioni sulla piattaforma ACN; l'inosservanza delle modalità stabilite dall'Autorità; la mancata comunicazione o aggiornamento dell'elenco delle attività e dei servizi e della loro categorizzazione; gli obblighi su schemi di certificazione, banca dati dei nomi di dominio e previsioni settoriali specifiche; la mancata collaborazione con l'Autorità e la mancata collaborazione con il CSIRT Italia.
| Soggetto | Sanzione |
|---|---|
| Essenziali | fino allo 0,1% del totale del fatturato annuo su scala mondiale dell'esercizio precedente |
| Importanti | fino allo 0,07% del totale del fatturato annuo su scala mondiale |
| PA essenziali | da 10.000 € a 50.000 € |
| PA importanti | gli importi precedenti ridotti di un terzo |
Su una società con 40 milioni di fatturato lo 0,1% sono 40.000 euro: per non aver compilato un modulo. Ed è la ragione per cui, nella nostra checklist del primo anno, gli adempimenti sul portale stanno prima delle misure tecniche.
Il decreto richiama le regole sulla reiterazione della legge 689/1981. Nei casi di reiterazione specifica (stessa violazione) la sanzione prevista è aumentata fino al doppio; nei casi di reiterazione non specifica si applica la sanzione prevista per la violazione più grave, aumentata fino al triplo.
Sì, e per molte aziende pesano più della multa.
Il decreto elenca i criteri di cui l'Autorità tiene conto: la gravità della violazione — con attenzione particolare alla mancata notifica di incidenti significativi o al mancato rimedio, al mancato rimedio a seguito di istruzioni vincolanti, all'ostacolo alle attività di vigilanza e alla fornitura di informazioni false o gravemente inesatte — la durata della violazione, eventuali precedenti pertinenti, i danni materiali o immateriali causati (comprese le perdite finanziarie, gli effetti su altri servizi e il numero di utenti interessati), l'eventuale condotta intenzionale o negligente, le misure adottate per prevenire o attenuare il danno, l'adesione a codici di condotta o meccanismi di certificazione approvati e il livello di collaborazione con l'Autorità.
Tradotto in una frase sola: il modo migliore per abbassare il rischio sanzionatorio non è nascondersi, ma collaborare e poterlo dimostrare. Le due voci su cui un'azienda può incidere subito sono le misure adottate e la collaborazione — entrambe si dimostrano con documenti datati, non con dichiarazioni.
Fonti normative: D.Lgs. 4 settembre 2024, n. 138, artt. 34, 36, 37 e 38 (Gazzetta Ufficiale n. 230 del 1° ottobre 2024) · legge 24 novembre 1981, n. 689, art. 8-bis (reiterazione) · raccomandazione 2003/361/CE (modalità di calcolo del fatturato) · acn.gov.it. Gli importi riportati sono i massimi e i minimi previsti dalla norma, non una previsione di quanto verrebbe applicato in un caso concreto. Contenuto informativo, non consulenza legale.