Gli importi massimi
Le sanzioni sono calcolate come importo fisso o come percentuale del fatturato annuo mondiale, se superiore. Per i grandi gruppi conta quindi la percentuale.
| Categoria | Sanzione massima |
|---|---|
| Soggetti essenziali | Fino a 10.000.000 € o 2% del fatturato annuo mondiale, se superiore |
| Soggetti importanti | Fino a 7.000.000 € o 1,4% del fatturato annuo mondiale, se superiore |
Sono previste anche sanzioni minori per le violazioni degli obblighi di registrazione e informazione, come la mancata registrazione sul portale ACN o il mancato aggiornamento dei dati.
Oltre alla sanzione economica, un procedimento comporta costi meno visibili: tempo del management, consulenze legali, possibili ricadute sui rapporti con clienti e partner, che chiedono sempre di più conto della conformità NIS2 dei propri fornitori.
L’importo concreto dipende dalla violazione e dalle circostanze del caso. Per i criteri di determinazione fai riferimento al D.Lgs. 138/2024 e ai testi pubblicati su acn.gov.it.
Vigilanza ex ante ed ex post
Soggetti essenziali e importanti hanno obblighi con lo stesso impianto, ma un regime di vigilanza diverso.
| Soggetti essenziali | Soggetti importanti | |
|---|---|---|
| Tipo di vigilanza | Ex ante ed ex post | Ex post |
| Quando | Anche senza segnalazioni, con ispezioni e audit | A seguito di evidenze o incidenti |
Per un soggetto essenziale la verifica può arrivare in qualunque momento. Per un soggetto importante arriva di solito dopo un incidente o una segnalazione: proprio quando l’organizzazione è sotto pressione e ha meno tempo per ricostruire cosa ha fatto. In entrambi i casi la difesa sono le evidenze raccolte prima.
Durante una verifica ti verrà chiesto di mostrare cosa hai fatto e quando: analisi dei rischi, misure adottate, registro degli incidenti, delibere del vertice. Un’organizzazione che ha lavorato bene ma non ha documentato si trova in difficoltà quanto una che non ha fatto nulla.
La responsabilità degli organi di amministrazione
Secondo l’art. 23 del D.Lgs. 138/2024 gli organi di amministrazione e direttivi approvano le modalità di gestione del rischio, sovrintendono all’attuazione, seguono una formazione specifica e sono responsabili delle violazioni.
In pratica il consiglio di amministrazione non può dire di non sapere. Deve poter dimostrare di aver approvato le misure, di averne seguito l’attuazione e di aver ricevuto informazioni periodiche su incidenti e notifiche.
- delibere che approvano analisi dei rischi e piano di adeguamento;
- report periodici al vertice su stato delle misure, incidenti e fornitori;
- attestati della formazione seguita dagli amministratori;
- verbali che mostrano decisioni prese, oltre alle informative ricevute.
La formazione del vertice va presa sul serio. Non serve a trasformare gli amministratori in tecnici, ma a metterli in condizione di fare le domande giuste, leggere un report di rischio e valutare se le risorse stanziate sono adeguate.
La sospensione dalle funzioni dirigenziali
Per i soggetti essenziali, in caso di inadempienze persistenti, è possibile la sospensione temporanea dalle funzioni dirigenziali di chi ne è responsabile.
La sospensione non riguarda l’organizzazione ma chi la guida. È il segnale più chiaro di quanto il legislatore consideri la sicurezza una responsabilità personale del vertice.
Il presupposto è la persistenza: la misura si colloca dopo inadempienze che non vengono sanate. Un piano di adeguamento approvato, con tempi e responsabili, è il modo più solido per dimostrare che l’organizzazione sta agendo.
Per i dettagli sui presupposti e sul procedimento fai riferimento al D.Lgs. 138/2024 e alle indicazioni dell’ACN. Quello che puoi fare oggi è evitare di arrivarci: rilevare per tempo le lacune e chiuderle con un percorso tracciato.
Come ridurre l’esposizione
- 01Chiudi gli obblighi formali
Registrazione e aggiornamenti sul portale ACN nei tempi: sono le violazioni più facili da accertare.
- 02Misura le distanze
Confronta la situazione attuale con le misure di base ACN e metti in ordine le lacune per gravità.
- 03Fai approvare un piano
Priorità, tempi, budget e responsabili, approvati dagli organi di amministrazione.
- 04Documenta mentre lavori
Ogni misura attuata deve lasciare un’evidenza datata e ritrovabile.
- 05Riporta al vertice
Report periodici su avanzamento, incidenti e fornitori, con decisioni verbalizzate.
Nessun percorso azzera il rischio di sanzione. Ma un’organizzazione che può mostrare un piano approvato, avanzamenti documentati e un vertice informato si presenta a una verifica in una posizione molto diversa da chi non ha iniziato.
Come possiamo aiutarti
Aiutiamo il vertice a esercitare il proprio ruolo con un piano di adeguamento approvato, report periodici chiari e la formazione per gli organi di amministrazione. Se ti serve un presidio costante, il CISO esterno porta la sicurezza al consiglio con regolarità.
Domande frequenti
Le sanzioni si applicano anche alle pubbliche amministrazioni?
Il regime sanzionatorio delle amministrazioni pubbliche segue regole specifiche. Per il tuo caso fai riferimento al D.Lgs. 138/2024 e alle indicazioni dell’ACN.
Delegare la sicurezza al responsabile IT esonera il consiglio?
No. Gli organi di amministrazione approvano le misure, sovrintendono all’attuazione e rispondono delle violazioni. Possono delegare l’esecuzione, non la responsabilità.
La mancata registrazione sul portale ACN è sanzionata?
Sì. Sono previste sanzioni per le violazioni degli obblighi di registrazione e informazione, e chi non si registra resta scoperto anche su tutti gli altri obblighi.
Contenuti informativi aggiornati a ottobre 2026: non sostituiscono la lettura dei testi ufficiali né un parere professionale sul caso specifico.