Sanzioni NIS2 in Italia: quanto si rischia e chi risponde

Massimi e minimi dell'articolo 38 del D.Lgs. 138/2024, cosa conta il fatturato mondiale, le conseguenze per gli amministratori e un esempio di calcolo.

In breve

Per le violazioni più gravi della NIS2, l'articolo 38 del D.Lgs. 138/2024 prevede sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore, per i soggetti essenziali. Per i soggetti importanti il massimo è 7 milioni di euro o l'1,4%. Le violazioni più gravi riguardano governance, misure di sicurezza e notifica degli incidenti. La legge fissa anche un minimo. Oltre alla multa, se l'azienda non rispetta una diffida dell'ACN, chi la amministra può essere dichiarato temporaneamente incapace di svolgere funzioni dirigenziali.

Vediamo le due fasce di violazioni, come si legge il «se superiore», cosa rischiano le persone e un esempio con numeri inventati.

Le due fasce di violazioni

L'articolo 38 divide le violazioni in due gruppi.

Prima fascia (commi 8 e 9): violazioni degli obblighi degli organi di amministrazione (art. 23), delle misure di gestione del rischio (art. 24) e della notifica degli incidenti (art. 25), più il mancato rispetto delle disposizioni e delle diffide dell'ACN (art. 37). Le sanzioni sono:

soggetti essenziali: fino a 10.000.000 euro o al 2% del totale del fatturato annuo su scala mondiale dell'esercizio precedente, se superiore. Il minimo è un ventesimo del massimo.
soggetti importanti: fino a 7.000.000 euro o all'1,4% del fatturato annuo mondiale, se superiore. Il minimo è un trentesimo del massimo.

Seconda fascia (commi 10 e 11): violazioni più «amministrative». Per esempio la mancata registrazione o il mancato aggiornamento delle informazioni sulla piattaforma ACN, la mancata comunicazione della categorizzazione di attività e servizi, la mancata collaborazione con l'ACN o con lo CSIRT Italia. Le sanzioni sono:

soggetti essenziali: fino allo 0,1% del fatturato annuo mondiale;
soggetti importanti: fino allo 0,07%.

Il comma 11 aggiunge «fermi restando i minimi edittali di cui al comma 9». Come si combinano in concreto quei minimi con percentuali così basse lo chiarirà la prassi dell'ACN. Per ora conviene non dare per scontato che le violazioni di seconda fascia costino poco.

Per le pubbliche amministrazioni gli importi sono fissi e diversi: da 25.000 a 125.000 euro in prima fascia per le essenziali, ridotti di un terzo per le importanti.

Come si legge «se superiore»

Il massimo è il più alto tra l'importo fisso e la percentuale del fatturato mondiale. Per una PMI conta quasi sempre l'importo fisso:

il 2% supera 10 milioni solo con un fatturato mondiale oltre i 500 milioni di euro;
l'1,4% supera 7 milioni solo oltre i 500 milioni.

Il fatturato si calcola sull'esercizio precedente, con le regole della Raccomandazione 2003/361/CE. Se hai imprese collegate o associate, quindi, non conta solo il bilancio della singola società.

Questo non significa che la sanzione sarà vicina al massimo. Il massimo è un tetto. L'articolo 34, comma 6, richiamato dall'articolo 38, elenca gli elementi da considerare. Tra questi ci sono la gravità e la durata della violazione, le violazioni precedenti, il danno causato, il dolo o la negligenza, le misure prese per limitare il danno e il livello di collaborazione con l'ACN. L'ACN può anche precisare con proprie determinazioni come si calcolano gli importi (art. 38, comma 2).

Un esempio di calcolo (ipotetico)

I numeri che seguono sono inventati e servono solo a capire il meccanismo. Non sono una stima di quanto pagheresti.

Prendiamo un'azienda di fantasia, Alfa S.r.l., soggetto importante, con 40 milioni di euro di fatturato mondiale nell'ultimo esercizio. Durante un controllo emerge che non ha adottato le misure di sicurezza richieste. È una violazione di prima fascia.

Massimo. L'1,4% di 40 milioni è 560.000 euro, meno di 7 milioni. Vale quindi l'importo fisso: il massimo è 7.000.000 euro.
Minimo. Un trentesimo di 7 milioni è circa 233.000 euro.
Se Alfa fosse un soggetto essenziale, con lo stesso fatturato il massimo sarebbe 10 milioni e il minimo un ventesimo, cioè 500.000 euro.

Questa è l'aritmetica del testo di legge: minimo e massimo si calcolano come sopra. La cifra effettiva dipende invece dalla valutazione dell'ACN nel singolo caso e dagli strumenti descritti più avanti.

Cosa rischiano amministratori e dirigenti

La NIS2 guarda anche alle persone, non solo all'azienda.

Responsabilità degli organi di amministrazione. Approvano le modalità di attuazione delle misure, ne sovrintendono l'applicazione e «sono responsabili delle violazioni» (art. 23). Devono anche seguire una formazione sulla sicurezza informatica.
Persone fisiche dei soggetti essenziali. Chi rappresenta o controlla un soggetto essenziale deve assicurare il rispetto del decreto e può essere ritenuto responsabile dell'inadempimento (art. 38, comma 5).
Incapacità a svolgere funzioni dirigenziali. Se l'azienda non rispetta nei termini una diffida dell'ACN, l'ACN può applicare agli organi di amministrazione e direttivi, all'amministratore delegato o al rappresentante legale di un soggetto essenziale o importante la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali nello stesso soggetto. Dura finché l'azienda non si mette in regola (comma 6).
Sospensione di certificati e autorizzazioni. Per i soggetti essenziali che non rispettano una diffida, l'ACN può sospendere, o far sospendere, un certificato o un'autorizzazione relativi ai servizi interessati (comma 4).

Il punto di contatto registrato sul portale ACN non si prende queste responsabilità al posto dei vertici: lo chiarisce l'ACN nella FAQ PDC.3.

Cosa fa salire o scendere il conto

Reiterazione. Se ripeti la stessa violazione, la sanzione può arrivare al doppio. Se ne commetti una diversa, si applica quella per la violazione più grave aumentata fino al triplo (comma 12).
Mancata o tardiva registrazione. Vengono contestate tutte le violazioni dei commi 8 e 10 e si applica la sanzione più grave aumentata fino al triplo (comma 13). Per questo la registrazione sul portale ACN è il primo passo.
Invito a conformarsi. Il decreto prevede che l'ACN, accertata una violazione non reiterata, possa assegnare un termine per mettersi in regola. Se lo rispetti, il procedimento si ferma. Non vale se hai già ricevuto una diffida (comma 15, lettera a).
Pagamento in misura ridotta. Si può chiudere il procedimento pagando entro 60 giorni una somma ridotta, legata al massimo o al minimo della sanzione (comma 15, lettera b).

Gli strumenti del comma 15 devono essere attuati con le modalità previste dall'articolo 40 del decreto: prima di contarci, verifica come l'ACN li applica.

Come si arriva a una sanzione

Le sanzioni arrivano dopo attività di vigilanza. Secondo l'articolo 36 e le FAQ ACN su monitoraggio e vigilanza, i soggetti essenziali possono essere controllati anche senza sospetti, con verifiche documentali, ispezioni in loco o a distanza e controlli a campione. I soggetti importanti sono controllati solo quando l'ACN riceve elementi che suggeriscono una violazione. Diffide e sanzioni sono poteri distinti: l'uso dei poteri di esecuzione, come le diffide, non impedisce all'ACN di contestare le violazioni (art. 38, comma 3).

In un controllo conta ciò che puoi dimostrare. Per questo ti consigliamo di leggere anche la guida alle evidenze per le ispezioni ACN e quella alle misure di base.

Dove può aiutarti Epic Assess

Epic Assess ti aiuta a tenere in ordine ciò che l'ACN può chiederti: stato delle misure, politiche approvate dagli organi di amministrazione, evidenze, registro degli incidenti con le finestre di notifica e scadenze annuali. Non elimina il rischio di sanzioni e non garantisce la conformità: rende più semplice dimostrare cosa hai fatto.

Fonti

Torna alle risorse