Le sanzioni NIS2 sono le sanzioni amministrative che l'Agenzia per la Cybersicurezza Nazionale (ACN) applica a chi viola il D.Lgs. 138/2024: fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o all'1,4% per gli importanti, se l'importo è superiore.Prima di sanzionare, l'ACN può verificare, ispezionare e diffidare.
Il massimale, però, descrive solo il caso peggiore: la sanzione arriva al termine di un procedimento e il suo importo dipende da criteri precisi, mentre il costo maggiore, spesso, non è la multa. Il rischio è già concreto, perché non esiste una moratoria generale e ogni obbligo ha il suo termine: per i soggetti inseriti nell'elenco nel 2025 la notifica degli incidenti vale dal 2026 e le misure di sicurezza di base andavano adottate entro ottobre 2026, come mostra il calendario delle scadenze NIS2.
Vediamo allora come funziona il procedimento, come si calcola l'importo, che cosa deve fare il management e quali conseguenze pesano oltre la multa.
Secondo l'articolo 38 del D.Lgs. 138/2024, le violazioni più gravi, come l'inosservanza degli obblighi degli organi di amministrazione, delle misure di sicurezza e della notifica degli incidenti, sono punite con sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali e fino a 7 milioni o all'1,4% per gli importanti, applicando l'importo più alto tra i due.
Sul fronte delle sanzioni per le violazioni minori, come la mancata registrazione o il mancato aggiornamento dei dati sulla piattaforma ACN, le multe NIS2 scendono fino allo 0,1% del fatturato per gli essenziali e fino allo 0,07% per i soggetti importanti (commi 10 e 11).
Le pubbliche amministrazioni hanno invece importi fissi, da 25.000 a 125.000 euro per le essenziali e ridotti di un terzo per le importanti. Per il quadro completo conviene partire dagli importi e sanzioni accessorie previsti dalla NIS2.
Vediamo in sintesi qui sotto come arriva una sanzione NIS2, con i relativi riferimenti normativi.
Procedimento sanzionatorio NIS2: monitoraggio, verifiche e ispezioni, diffida, contestazione e sanzione
Il percorso comincia con la vigilanza ordinaria: ai sensi dell'articolo 35 l'ACN monitora l'attuazione degli obblighi e può chiedere rendicontazioni, autovalutazioni e piani di implementazione, oltre all'esecuzione di audit e scansioni di sicurezza.
Le richieste indicano la finalità e un termine ragionevole, entro cui l'azienda deve rispondere con documenti verificabili e riferire sullo stato degli adempimenti.
In questa fase l'ACN può anche emanare raccomandazioni e avvertimenti su presunte violazioni, per cui rispondere in modo completo e puntuale è già il primo modo per ridurre il rischio, mentre il silenzio apre la strada agli strumenti più incisivi.
L'articolo 36 consente all'ACN di verificare la documentazione trasmessa, di svolgere ispezioni in loco e a distanza, anche con controlli casuali, e di chiedere accesso a dati e documenti, sempre dichiarando la finalità della richiesta.
Per i soggetti importanti questi poteri si applicano solo se l'ACN riceve elementi di prova o indicazioni che suggeriscono possibili violazioni, mentre per gli essenziali valgono senza questo limite.
L'azienda deve quindi poter mostrare in tempi brevi politiche, registri, delibere ed esiti degli audit, perché ciò che non è documentato, in una verifica, difficilmente può essere dimostrato.
Se i dati o le misure richiesti non arrivano, l'ACN diffida l'azienda ad adempiere, indicando modalità e termini ragionevoli e proporzionati ai sensi dell'articolo 37.
Prima di adottare la diffida deve notificare le conclusioni preliminari e concedere almeno quindici giorni per presentare osservazioni, salvo i casi in cui servano azioni immediate per prevenire un incidente.
Il punto da chiarire è che la diffida non garantisce l'immunità, perché l'articolo 38, comma 3, consente di contestare le violazioni anche dopo o in parallelo ai poteri di esecuzione, mentre l'inosservanza della diffida apre la strada a conseguenze ulteriori, dalla sospensione dei certificati per i soggetti essenziali all'incapacità temporanea dei dirigenti.
Se la violazione resta, l'ACN la contesta e il procedimento prosegue nel rispetto dei diritti di difesa (art. 34), con il richiamo alla legge 689/1981 sulle sanzioni amministrative.
Prima ancora, l'articolo 38, comma 15, prevede l'invito a conformarsi: se l'azienda adempie entro il termine perentorio fissato, il procedimento sanzionatorio non prosegue, anche se lo strumento non vale per chi ha già ricevuto una diffida né in caso di reiterazione.
Dopo la contestazione resta la possibilità di estinguere il procedimento con il pagamento in misura ridotta, pari a un terzo del massimo o al doppio del minimo se più favorevole, entro sessanta giorni dalla notifica, secondo le modalità che il decreto rimette alle norme attuative.
Il massimale non è l'importo automatico: l'articolo 34, comma 6, richiamato dall'articolo 38, impone all'ACN di valutare ogni caso secondo criteri precisi, che la stessa agenzia può specificare con proprie determinazioni.
Le sanzioni NIS2 hanno inoltre un minimo, pari a un ventesimo del massimo per i soggetti definiti essenziali e a un trentesimo per gli importanti.
I criteri da considerare sono questi:
Ogni criterio corrisponde a un azione che l'azienda può compiere prima: documentare le scelte, rimediare alle carenze e collaborare con l'ACN sono comportamenti che la norma chiede di valutare. Conta anche la storia dell'azienda, perché in caso di reiterazione l'articolo 38 (commi 12 e 13) prevede aumenti fino al doppio o al triplo, e lo stesso vale, fino al triplo, per la registrazione mancata o tardiva.
Gli obblighi degli organi di amministrazione sono fissati dall'articolo 23: gli organi di amministrazione e direttivi approvano le modalità di implementazione delle misure di gestione del rischio, sovrintendono alla loro attuazione e sono responsabili delle violazioni.
Devono inoltre seguire una formazione in materia di sicurezza informatica, promuoverla per i dipendenti e ricevere informazioni periodiche, o tempestive quando serve, su incidenti e notifiche.
Il mancato rispetto di questi obblighi rientra tra le violazioni punite con le sanzioni pecuniarie più alte dell'articolo 38, comma 8, a carico del soggetto. Per questo il tema non si esaurisce nella delega al responsabile IT: il consiglio deve poter spiegare come ha approvato e controllato le misure.
Sul fronte della responsabilità degli amministratori il decreto non prevede automatismi: la sanzione accessoria dell'incapacità temporanea a svolgere funzioni dirigenziali presuppone che il soggetto non abbia rispettato i termini della diffida (art. 38, comma 6, in relazione all'art. 37).
In quel caso l'ACN può applicarla agli organi di amministrazione e direttivi, all'amministratore delegato o al rappresentante legale dei soggetti essenziali e importanti, e la misura dura finché non vengono adottati gli interventi necessari. Per chi controlla o rappresenta un soggetto essenziale, inoltre, il comma 5 stabilisce che queste persone possono essere ritenute responsabili dell'inadempimento.
Per dimostrare che il management ha approvato e sorvegliato le misure servono documenti datati e conservati: la delibera che approva le modalità di implementazione, i verbali delle sedute in cui il consiglio ha esaminato lo stato di attuazione e le informative su incidenti e notifiche, gli attestati di formazione dei consiglieri e il piano formativo per i dipendenti.
Questi atti rispondono direttamente agli obblighi dell'articolo 23 e, in caso di verifica, aiutano a mostrare il grado di responsabilità, la collaborazione e le misure adottate, cioè i criteri con cui l'ACN valuta la sanzione. Un fascicolo aggiornato, in questo senso, è la difesa più semplice da costruire.
La sicurezza della catena di approvvigionamento rientra tra le misure che l'articolo 24 impone ai soggetti NIS, e per questo i clienti soggetti alla norma chiedono ai fornitori evidenze di sicurezza nei contratti.
Chi non può dimostrarle rischia di perdere commesse, e la perdita di un cliente può incidere più della multa. Rivedere le clausole di sicurezza nei contratti di fornitura è quindi un modo concreto per proteggere il fatturato oltre che la conformità.
Un incidente che coinvolge dati personali può aprire più fronti sullo stesso evento: quando l'ACN scopre che la violazione dell'articolo 24 può comportare un data breach, informa il Garante per la protezione dei dati personali (art. 14, comma 2).
Se il Garante irroga una sanzione GDPR, però, l'ACN non applica quella dell'articolo 38 per la stessa condotta, ma conserva i poteri di esecuzione dell'articolo 37, come la diffida. Il divieto riguarda la violazione degli obblighi dell'articolo 24, per cui per altre violazioni, come una notifica tardiva dell'incidente, va valutato il singolo caso.
L'ACN può ordinare all'azienda di rendere pubbliche le violazioni e di informare il pubblico sugli incidenti (art. 37, comma 3), e una notizia di non conformità circola in fretta tra clienti, partner e stampa.
La stessa non conformità può pesare nelle gare pubbliche e nel rapporto con le compagnie che offrono polizze cyber, perché in entrambi i casi la sicurezza informatica diventa un criterio di valutazione. Costruire prove della conformità prima serve quindi anche a proteggere la reputazione e a mantenere condizioni assicurative sostenibili.
Ridurre il rischio legato alle NIS2 sanzioni richiede tre leve, senza un percorso di adeguamento completo.
La prima è rispettare le scadenze, a partire dal calendario delle scadenze NIS2 e dalle misure di sicurezza di base indicate dall'ACN.
La seconda è poter dimostrare ciò che si è fatto, con documentazione, delibere e registri aggiornati, e qui la certificazione ISO 27001 è un'evidenza utile.
La terza è avere una persona responsabile, un CISO interno o un servizio di CISO as a Service, che presidi misure, notifiche e rapporti con l'ACN, in coerenza con la responsabilità degli amministratori.
Dipende dall'obbligo. Non c'è una moratoria generale, ma ogni obbligo ha il suo termine: per i soggetti inseriti nell'elenco nel 2025 la notifica degli incidenti vale dal 2026 e le misure di sicurezza di base andavano adottate entro ottobre 2026, secondo l'articolo 42 del D.Lgs. 138/2024. Per chi è entrato nell'elenco nel 2026 i termini cadono nel 2027.
No. La diffida non garantisce l'immunità, perché l'articolo 38, comma 3, consente di contestare la violazione anche dopo i poteri di esecuzione. Diverso è l'invito a conformarsi del comma 15: se l'azienda adempie nel termine, il procedimento non prosegue, ma lo strumento non vale per chi ha già ricevuto una diffida.
L'ACN valuta gravità, durata, precedenti, danno, grado di responsabilità, misure adottate e collaborazione, secondo i criteri dell'articolo 34, comma 6. Il massimale non è automatico: 10 milioni o 2% per gli essenziali, 7 milioni o 1,4% per gli importanti, con un minimo pari a un ventesimo o a un trentesimo del massimo.
Non per la stessa condotta: se il Garante irroga una sanzione GDPR, l'ACN non applica quella dell'articolo 38 per la violazione degli obblighi dell'articolo 24 riconducibile al medesimo comportamento (art. 14, comma 2). Può comunque esercitare i poteri di esecuzione, come la diffida. Per violazioni diverse va valutato il singolo caso.
Sì, ma con importi fissi. Le amministrazioni pubbliche essenziali rischiano da 25.000 a 125.000 euro, ridotti di un terzo per le importanti, e da 10.000 a 50.000 euro per le violazioni minori. Per la sola mancata notifica degli incidenti la sanzione scatta solo in caso di reiterazione specifica nell'arco di cinque anni (art. 38, commi 9, 11 e 14)