Il D.Lgs. 138/2024 (art. 38) punisce le violazioni più gravi della NIS2, cioè misure di sicurezza, notifica degli incidenti e obblighi dei vertici, con sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali e fino a 7 milioni o all'1,4% per gli importanti. Le violazioni più "formali", come la mancata registrazione o la mancata collaborazione con l'ACN, arrivano fino allo 0,1% o allo 0,07% del fatturato. Prima della sanzione la legge prevede strade per rimediare, ma non le garantisce in ogni caso.
- Massimi: 10 mln € o 2% (essenziali), 7 mln € o 1,4% (importanti); vale l'importo più alto.
- C'è anche un minimo: un ventesimo del massimo per gli essenziali, un trentesimo per gli importanti.
- Mancata o tardiva registrazione: si contestano tutte le violazioni e la più grave può essere triplicata.
- Chi ignora una diffida rischia anche sanzioni accessorie, fino all'incapacità temporanea dei vertici a svolgere funzioni dirigenziali.
| Violazione | Soggetti essenziali | Soggetti importanti | Norma |
|---|---|---|---|
| Obblighi degli organi di amministrazione (art. 23), misure di gestione del rischio (art. 24), notifica degli incidenti (art. 25); mancato rispetto di ordini e diffide dell'ACN | Fino a 10.000.000 € o 2% del fatturato annuo mondiale, se superiore; minimo 1/20 del massimo | Fino a 7.000.000 € o 1,4% del fatturato annuo mondiale, se superiore; minimo 1/30 del massimo | Art. 38, commi 8 e 9 |
| Registrazione e aggiornamento dei dati, elenco di attività e servizi, certificazioni e nomi di dominio, mancata collaborazione con ACN o CSIRT Italia | Fino allo 0,1% del fatturato annuo mondiale | Fino allo 0,07% del fatturato annuo mondiale | Art. 38, commi 10 e 11 |
| Reiterazione specifica (stessa violazione) | Sanzione aumentata fino al doppio | Art. 38, comma 12 | |
| Mancata o tardiva registrazione | Contestate tutte le violazioni; la sanzione più grave è aumentata fino al triplo | Art. 38, comma 13 | |
Essenziali e importanti: massimi e minimi
Il comma 9 dell'art. 38 fissa due tetti alternativi: una cifra in euro e una percentuale del fatturato annuo mondiale dell'esercizio precedente. Si applica l'importo più alto. Il fatturato si calcola con le regole della raccomandazione 2003/361/CE, la stessa che definisce micro, piccole e medie imprese.
Un conto utile: il 2% di 500 milioni fa 10 milioni, e l'1,4% di 500 milioni fa 7 milioni. Quindi, per un'azienda con meno di 500 milioni di fatturato, il massimo è la cifra fissa. La percentuale pesa solo sui grandi gruppi.
Meno noto è il minimo. Per gli essenziali è un ventesimo del massimo edittale, per gli importanti un trentesimo. Con i massimi di 10 e 7 milioni, significa 500.000 euro e circa 233.000 euro. Sono cifre che pesano anche su una media impresa: è il motivo per cui conviene arrivare preparati, non sperare in una sanzione "simbolica".
Le violazioni "minori": registrazione, aggiornamenti, collaborazione
Il comma 10 elenca violazioni più legate agli adempimenti che alla sicurezza vera e propria:
- mancata registrazione, comunicazione o aggiornamento delle informazioni richieste sulla piattaforma ACN (art. 7);
- mancato rispetto delle modalità stabilite dall'ACN per questi adempimenti;
- mancata comunicazione o aggiornamento dell'elenco delle attività e dei servizi e della loro categorizzazione (art. 30);
- obblighi su schemi di certificazione, banca dati dei nomi di dominio e previsioni di settore (artt. 27, 29 e 32);
- mancata collaborazione con l'ACN durante la vigilanza;
- mancata collaborazione con il CSIRT Italia.
Il tetto è lo 0,1% del fatturato per gli essenziali e lo 0,07% per gli importanti (per le pubbliche amministrazioni essenziali da 10.000 a 50.000 euro, ridotti di un terzo se importanti).
Mancata registrazione: il caso più pesante di quanto sembri
Chi rientra nella NIS2 deve registrarsi sulla piattaforma digitale dell'ACN e tenere aggiornati i dati. Non farlo è già una violazione del comma 10. Ma il comma 13 aggiunge una regola severa: in caso di mancata o tardiva registrazione sono contestate tutte le violazioni dei commi 8 e 10, e si applica la sanzione prevista per la più grave aumentata fino al triplo.
In pratica, un'azienda che "non sapeva" di rientrare nel perimetro e non ha adottato nemmeno le misure di sicurezza si trova esposta alle sanzioni più alte, moltiplicate. Per questo il primo controllo da fare è capire se si è dentro: la nostra guida NIS2 per le PMI spiega settori, soglie dimensionali ed eccezioni.
Dalla vigilanza alla sanzione: come funziona
La sanzione è l'ultimo dei quattro strumenti di vigilanza previsti dall'art. 34: monitoraggio e supporto, verifiche e ispezioni, misure di esecuzione, sanzioni. Ecco il percorso tipico.
| Fase | Cosa può fare l'ACN | Norma |
|---|---|---|
| Monitoraggio e supporto | Chiedere rendicontazioni, autovalutazioni e piani di implementazione; chiedere audit o scansioni di sicurezza; emanare raccomandazioni e avvertimenti | Art. 35 |
| Verifiche e ispezioni | Controlli sui documenti, ispezioni in loco e a distanza, anche casuali, richieste di dati e documenti. Per i soggetti importanti solo se emergono elementi che suggeriscono possibili violazioni | Art. 36 |
| Misure di esecuzione | Chiedere prove dell'attuazione delle politiche; ordinare audit, rimedi, istruzioni vincolanti, comunicazioni ai clienti o al pubblico, anche la pubblicazione delle violazioni. Prima di decidere notifica le conclusioni preliminari e concede almeno 15 giorni per le osservazioni, salvo urgenza | Art. 37 |
| Diffida | Se il soggetto non esegue richieste e ordini, l'ACN lo diffida ad adempiere, indicando termini ragionevoli e proporzionati | Art. 37, commi 6 e 7 |
| Sanzione | Contestazione e irrogazione. L'uso delle misure di esecuzione non impedisce di contestare le violazioni | Art. 38 |
Il comma 15 dell'art. 38 prevede anche tre strumenti deflattivi:
- invito a conformarsi: l'ACN assegna un termine perentorio; se l'azienda si mette in regola, il procedimento sanzionatorio non prosegue. Non si applica in caso di reiterazione né a chi ha già ricevuto una diffida;
- pagamento in misura ridotta entro 60 giorni dalla notifica della contestazione: un terzo del massimo o, se più favorevole e se stabilito, il doppio del minimo;
- casi in cui la sanzione non viene resa pubblica.
Le modalità di applicazione di questi strumenti sono demandate a un decreto del Presidente del Consiglio dei ministri (art. 40, comma 1, lettera c). Prima di contarci, verifica sul portale NIS dell'ACN lo stato dei provvedimenti attuativi.
Come si gradua la sanzione
L'art. 34, comma 6, elenca gli elementi che l'ACN deve considerare, nel rispetto del diritto di difesa:
- gravità della violazione: sono gravi in particolare le violazioni ripetute, la mancata notifica o il mancato rimedio a incidenti significativi, il mancato rimedio dopo istruzioni vincolanti, l'ostacolo alla vigilanza, le informazioni false o gravemente inesatte;
- durata della violazione e precedenti violazioni pertinenti;
- danni materiali o immateriali, comprese perdite economiche, effetti su altri servizi e numero di utenti coinvolti;
- condotta intenzionale o negligente;
- misure adottate per prevenire o attenuare il danno;
- adesione a codici di condotta o certificazioni approvati;
- livello di collaborazione con l'ACN.
La reiterazione segue l'art. 8-bis della legge 689/1981: stessa violazione entro cinque anni, sanzione fino al doppio; violazioni diverse della stessa indole, sanzione della più grave fino al triplo.
Sanzioni accessorie e responsabilità delle persone
La NIS2 non colpisce solo il bilancio dell'azienda. L'art. 23 stabilisce che gli organi di amministrazione e direttivi approvano le misure, ne sovrintendono l'attuazione e sono responsabili delle violazioni. L'art. 38 aggiunge:
- le persone fisiche che rappresentano o controllano un soggetto essenziale devono assicurare il rispetto del decreto e possono esserne ritenute responsabili (comma 5);
- se l'azienda non adempie alla diffida, l'ACN può applicare agli organi di amministrazione e direttivi, essenziali e importanti, e a chi ha funzioni di amministratore delegato o rappresentante legale, la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali nello stesso soggetto, finché non si pone rimedio (comma 6);
- per i soli essenziali, sempre dopo una diffida non rispettata, può essere sospeso un certificato o un'autorizzazione relativi ai servizi svolti (comma 4).
Approfondiamo ruoli e cautele per i vertici nella pagina sulla responsabilità degli amministratori NIS2.
Cinque cose che riducono davvero il rischio sanzionatorio
- Chiarire se sei nel perimetro e registrarti. È il punto che, se sbagliato, moltiplica tutte le altre sanzioni (comma 13).
- Adottare le misure di base nei termini e documentarle. Le misure sono quelle della determinazione ACN n. 379907/2025, spiegate una per una nella pagina sulle misure di sicurezza ACN; i documenti da preparare sono elencati nella guida alla documentazione NIS2.
- Essere pronti a notificare. La mancata notifica di incidenti significativi è espressamente indicata come grave: tempi e contenuti sono nella guida alla notifica degli incidenti NIS2.
- Formare vertici e personale. Gli obblighi dell'art. 23, formazione compresa, rientrano tra le violazioni con le sanzioni più alte: vedi la guida alla formazione cybersecurity NIS2.
- Collaborare con l'ACN in modo tempestivo e corretto. La collaborazione attenua, la mancata collaborazione è una violazione a sé e le informazioni false sono un'aggravante.
Domande frequenti
Quanto può essere la multa NIS2 per un soggetto importante?
Fino a 7 milioni di euro o all'1,4% del fatturato annuo mondiale dell'esercizio precedente, se più alto, con un minimo pari a un trentesimo del massimo. Per i soggetti essenziali il tetto è 10 milioni o il 2%, con un minimo pari a un ventesimo del massimo.
Si viene multati subito?
Non necessariamente. Il decreto prevede vigilanza, conclusioni preliminari con almeno 15 giorni per le osservazioni e, tra gli strumenti deflattivi, l'invito a conformarsi entro un termine. Però l'uso dei poteri di esecuzione non impedisce di contestare le violazioni, e l'invito non vale per chi è già stato diffidato o in caso di reiterazione.
La mancata registrazione sul portale ACN è sanzionata?
Sì. È di per sé una violazione, punita fino allo 0,1% del fatturato per gli essenziali e allo 0,07% per gli importanti. In più, in caso di mancata o tardiva registrazione vengono contestate tutte le violazioni e si applica la sanzione più grave aumentata fino al triplo.
Una PMI fuori dalla NIS2 può essere sanzionata dall'ACN?
Se non rientra nell'ambito di applicazione del decreto, no. Attenzione però: chi ha i requisiti e non si è registrato non è fuori dalla NIS2, è in violazione. Restano comunque il GDPR, i contratti con i clienti e la responsabilità verso terzi.
Gli amministratori rischiano personalmente?
Gli organi di amministrazione e direttivi sono responsabili delle violazioni del decreto. Se l'azienda non rispetta una diffida, l'ACN può applicare a loro e ai vertici la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali nello stesso soggetto, finché le carenze non vengono sanate.
Vuoi sapere dove sei scoperto?
Con il check-up gratuito verifichi in pochi minuti se rientri nella NIS2 e quali misure ti mancano, prima che lo faccia qualcun altro.
Fai il check-up NIS2 gratuitoFonti: D.Lgs. 138/2024, testo vigente (Normattiva) · art. 38, sanzioni amministrative · art. 34, principi e criteri · art. 37, misure di esecuzione · ACN, portale NIS · ACN, FAQ su misure e notifica degli incidenti