NIS2
Strumento
Art. 38 D.Lgs. 138/2024
Aggiornato il 23 settembre 2026
di Alessandro Truffo
Calcolatore delle sanzioni NIS2
Inserisci categoria e fatturato: vedi il massimo e il minimo previsti dall'art. 38 del D.Lgs. 138/2024 per il tuo caso, con i calcoli in chiaro.
Per le violazioni più gravi della NIS2, come la mancata adozione delle misure di sicurezza o la mancata notifica di un incidente, un soggetto essenziale rischia fino a 10 milioni di euro o il 2% del fatturato mondiale annuo, se superiore; un soggetto importante fino a 7 milioni o l'1,4%. C'è anche un minimo: un ventesimo del massimo per gli essenziali, un trentesimo per gli importanti. Il calcolatore applica queste regole dell'art. 38 al tuo fatturato.
Questo calcolatore mostra i limiti fissati dall'art. 38 del D.Lgs. 138/2024: non stima la sanzione che riceveresti. L'importo concreto lo decide l'ACN caso per caso, tenendo conto di gravità, durata, collaborazione e degli altri criteri del decreto, e le procedure possono concludersi senza sanzione. Non è una consulenza legale. Il calcolo avviene nel tuo browser: non registriamo i dati che inserisci.
Le regole di calcolo
F è il fatturato annuo mondiale dell'esercizio precedente. Gli importi sono massimi e minimi di legge, non stime.
Violazioni del comma 8 (sicurezza, notifica, diffide)
| Categoria | Massimo | Minimo | Art. 38 |
|---|---|---|---|
| Essenziale | il maggiore tra 10.000.000 € e il 2% di F | un ventesimo del massimo | c. 9, lett. a) |
| Importante | il maggiore tra 7.000.000 € e l'1,4% di F | un trentesimo del massimo | c. 9, lett. b) |
| PA o società pubblica essenziale | 125.000 € | 25.000 € | c. 9, lett. c) |
| PA o società pubblica importante | 83.333 € (ridotto di un terzo) | 16.667 € | c. 9, lett. d) |
Violazioni del comma 10 (registrazione, dati, categorizzazione, collaborazione)
| Categoria | Massimo | Minimo | Art. 38 |
|---|---|---|---|
| Essenziale | 0,1% di F | non chiaro (il comma 11 richiama i minimi del comma 9) | c. 11, lett. a) |
| Importante | 0,07% di F | non chiaro (come sopra) | c. 11, lett. b) |
| PA o società pubblica essenziale | 50.000 € | 10.000 € | c. 11, lett. c) |
| PA o società pubblica importante | 33.333 € | 6.667 € | c. 11, lett. d) |
- Reiterazione specifica: la sanzione è aumentata fino al doppio (comma 12).
- Reiterazione non specifica: si applica la sanzione della violazione più grave aumentata fino al triplo (comma 12).
- Mancata o tardiva registrazione: sono contestate tutte le violazioni e si applica la sanzione della più grave aumentata fino al triplo (comma 13).
- Per le PA e le società pubbliche individuate, la mancata notifica di un incidente si sanziona solo in caso di reiterazione specifica nell'arco di cinque anni (comma 14).
- Pagamento in misura ridotta: la terza parte del massimo o, se più favorevole e qualora stabilito, il doppio del minimo, entro 60 giorni dalla notifica della contestazione (comma 15, lett. b).
Come leggiamo il testo: il «massimo edittale» su cui si calcola il minimo è il massimo applicabile al caso, cioè il maggiore tra l'importo fisso e la percentuale. È la lettura letterale del comma 9; non è ancora stata confermata da un legale né da una prassi dell'ACN.
Quali violazioni costano di più
L'art. 38 divide le violazioni in due famiglie. Le più gravi (comma 8) riguardano gli obblighi degli organi di amministrazione (art. 23), le misure di gestione del rischio (art. 24), la notifica degli incidenti (art. 25) e il rispetto delle disposizioni e delle diffide dell'ACN: per esempio misure di base non adottate, un incidente non notificato, organi di amministrazione non formati. Si puniscono con le sanzioni del comma 9.
Le altre (comma 10) riguardano registrazione e aggiornamento dei dati sul Portale ACN, categorizzazione di attività e servizi, schemi di certificazione e dati di registrazione dei nomi di dominio (artt. 27, 29 e 32), collaborazione con l'ACN e con il CSIRT Italia: per esempio un aggiornamento annuale non fatto o una categorizzazione non comunicata. Si puniscono con le sanzioni del comma 11.
Per banche e infrastrutture dei mercati finanziari (settori 3 e 4 dell'Allegato I) l'art. 17 e i Capi IV e V del decreto non si applicano: vale il regolamento (UE) 2022/2554, DORA (art. 3, comma 14). Il calcolatore non copre il loro caso.
Chi risponde, oltre all'azienda
Le persone fisiche responsabili di un soggetto essenziale, o che lo rappresentano con il potere di decidere e controllare, devono assicurare il rispetto del decreto e possono essere ritenute responsabili delle violazioni (art. 38, comma 5). Se il soggetto non rispetta una diffida, l'ACN può applicare agli organi di amministrazione e direttivi, e a chi svolge funzioni di amministratore delegato o di rappresentante legale, la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali nel soggetto, finché le carenze non sono sanate (comma 6).
Cosa fa l'ACN prima di sanzionare
- Vigilanza graduale: l'ACN verifica il rispetto degli obblighi con un approccio graduale basato sul rischio (FAQ ACN MVE.1).
- Ispezioni: sui soggetti essenziali possono essere disposte anche prima di qualsiasi segnale (ex ante); sugli importanti servono elementi che suggeriscano una possibile violazione (FAQ MVE.3).
- Intimazioni e diffide: prima della sanzione l'ACN può indicare cosa correggere, con modalità e termini ragionevoli (FAQ MVE.4).
Domande frequenti
La sanzione si calcola sul fatturato dell'azienda o del gruppo?
Sul totale del fatturato annuo mondiale dell'esercizio precedente, calcolato secondo la raccomandazione 2003/361/CE: di regola quindi comprende le imprese associate e collegate. Se sei in un gruppo, fai verificare il perimetro.
Una piccola impresa rischia 10 milioni?
Il massimo edittale per un essenziale è 10 milioni anche con un fatturato basso, perché si applica il maggiore tra 10 milioni e il 2%. È un tetto, non una stima: l'importo concreto lo decide l'ACN in modo proporzionato. Ricorda però che le piccole imprese sono di norma fuori dal perimetro.
Il minimo si applica sempre?
Il decreto fissa un minimo per le violazioni più gravi: un ventesimo del massimo per gli essenziali e un trentesimo per gli importanti. Per le violazioni su registrazione e categorizzazione il testo richiama gli stessi minimi, con effetti che il decreto non chiarisce: vedi la nota nel risultato.
Cosa succede se non mi sono registrato?
L'ACN contesta tutte le violazioni previste e applica la sanzione per la più grave aumentata fino al triplo (art. 38, comma 13).
Fonti
- D.Lgs. 138/2024, art. 38 (Normattiva)
- Raccomandazione 2003/361/CE (EUR-Lex)
- ACN, FAQ su monitoraggio, vigilanza ed esecuzione (MVE.1-MVE.5)
Aggiornato il 23 settembre 2026. Se una fonte cambia, aggiorniamo la pagina.