Guida NIS2 · 8 min
Sanzioni e multe NIS2: quanto, chi è responsabile e come evitarle
NIS2 dà alle autorità di vigilanza strumenti concreti: sanzioni basate sul fatturato, ordini vincolanti e, per i soggetti essenziali, il potere di sospendere temporaneamente una certificazione o vietare a un dirigente di esercitare la propria funzione. Questa guida spiega cosa sono le sanzioni, chi è personalmente responsabile, come differisce la vigilanza per i soggetti essenziali e importanti, e il modo pratico per evitare guai: attuate le misure dell'articolo 21, paragrafo 2, e conserva prove continue e datate di farlo.
Controlla il tuo dominio ora
Scopri cosa è pubblicamente visibile sulla sicurezza della tua organizzazione, senza registrazione.
Questa anteprima immediata verifica:
- HTTPS raggiungibile
- HSTS abilitato
- Reindirizzamento HTTP → HTTPS
- SPF configurato
- DMARC applicato
- Posta (MX) configurata
Il report completo aggiunge ransomware, dark web, certificati, dati aziendali e oltre 100 altri controlli.
Punti chiave
- Le multe massime sono basate sul fatturato: fino a 10 M€ o il 2 % del fatturato annuo mondiale per i soggetti essenziali, e 7 M€ o l'1,4 % per i soggetti importanti, a seconda di quale sia maggiore.
- L'organo di gestione deve approvare e vigilare sulle misure di sicurezza (art. 20) e può essere ritenuto personalmente responsabile; per i soggetti essenziali, le autorità possono vietare temporaneamente a un dirigente di esercitare la propria funzione (art. 32, par. 5).
- Le multe sono l'ultima risorsa: l'esposizione quotidiana sono gli ordini vincolanti, gli audit e il costo di dimostrare la diligenza. Un monitoraggio continuo e comprovato della supply chain è l'assicurazione più economica.
Cosa coprono le sanzioni NIS2
NIS2 (direttiva (UE) 2022/2555) è recepita nel diritto nazionale da ciascuno Stato membro, quindi gli importi e le procedure esatti sono fissati a livello nazionale, ma la direttiva fissa i minimi delle multe amministrative massime e gli strumenti di applicazione. Le sanzioni sono legate al mancato rispetto degli obblighi di un soggetto: le misure di gestione del rischio dell'articolo 21, paragrafo 2, gli obblighi di notifica degli incidenti dell'articolo 23, la registrazione e la cooperazione con le autorità.
Fondamentale: NIS2 non riguarda solo il denaro. L'articolo 32 (soggetti essenziali) e l'articolo 33 (soggetti importanti) conferiscono alle autorità competenti poteri graduali, dagli avvertimenti alle istruzioni vincolanti fino a, per i soggetti essenziali, la sospensione e i divieti di gestione. La multa fa notizia; le misure operative sono ciò che la maggior parte dei soggetti incontrerà davvero.
Le multe massime
Soggetti essenziali
Fino a 10.000.000 € o il 2 % del fatturato annuo mondiale totale (esercizio precedente), a seconda di quale sia maggiore.
Operatori più grandi in settori ad alta criticità: energia, trasporti, banche, infrastrutture dei mercati finanziari, salute, acqua potabile e reflue, infrastruttura digitale, gestione dei servizi TIC, pubblica amministrazione, spazio.
Soggetti importanti
Fino a 7.000.000 € o l'1,4 % del fatturato annuo mondiale totale (esercizio precedente), a seconda di quale sia maggiore.
Altri soggetti medi e grandi nei settori coperti, inclusi i servizi postali e di corriere, la gestione dei rifiuti, i prodotti chimici, gli alimenti, la fabbricazione, i fornitori digitali e la ricerca.
Questi sono massimali fissati dalla direttiva (art. 34). Le multe effettive sono decise a livello nazionale e devono essere effettive, proporzionate e dissuasive, tenendo conto della gravità, della durata e della tua cooperazione. Confermate le regole esatte del recepimento del tuo Paese con una consulenza qualificata.
Responsabilità personale e della dirigenza
NIS2 mette deliberatamente la cybersicurezza sul tavolo del consiglio. Ai sensi dell'articolo 20, l'organo di gestione deve approvare le misure di gestione del rischio cibernetico, vigilare sulla loro attuazione e può essere ritenuto responsabile delle inadempienze. I membri degli organi di gestione devono inoltre seguire una formazione e ci si aspetta che offrano una formazione analoga al loro personale.
Per i soggetti essenziali, l'articolo 32, paragrafo 5, va oltre: quando altre misure di applicazione hanno fallito, le autorità competenti possono sospendere temporaneamente una certificazione o un'autorizzazione e vietare temporaneamente a una persona a livello di amministratore delegato o rappresentante legale di esercitare funzioni dirigenziali. Questa esposizione personale è il motivo per cui la governance NIS2 raggiunge ora il vertice dell'organizzazione.
Scopri il tuo punteggio reale e quello dei tuoi fornitori
Gratis · senza carta di credito · senza limiti di tempo
Gli strumenti di applicazione (oltre le multe)
Prima o accanto a una multa, le autorità possono applicare una serie di misure vincolanti (art. 32 e 33). In pratica, ecco ciò che con più probabilità affronterete:
- Avvertimenti e istruzioni vincolanti per porre rimedio a carenze specifiche entro un termine.
- Ordini di conformarsi, di informare i clienti interessati di una minaccia significativa o di attuare le raccomandazioni dell'audit.
- Audit di sicurezza obbligatori e ispezioni in loco, a tue spese.
- Designazione di un responsabile del monitoraggio che vigili sulla tua conformità per un periodo determinato.
- Divulgazione pubblica della violazione e ordini di rendere pubblici aspetti dell'incidente.
- Solo per i soggetti essenziali: sospensione temporanea della certificazione o autorizzazione e un divieto temporaneo di gestione (art. 32, par. 5).
La vigilanza differisce per categoria
I soggetti essenziali sono soggetti a vigilanza proattiva (ex ante) e reattiva (ex post) ai sensi dell'articolo 32: audit regolari e mirati, ispezioni in loco, scansioni di sicurezza e richieste di informazioni possono avvenire indipendentemente dal sospetto di un problema.
I soggetti importanti sono vigilati solo ex post ai sensi dell'articolo 33: le autorità agiscono quando vi sono prove o indizi di non conformità, di solito dopo un incidente o un reclamo. In ogni caso, spetta a voi dimostrare che erano in atto misure adeguate, cosa molto più semplice con registri continui che con un'istantanea annuale.
Fonti: Direttiva (UE) 2022/2555 (NIS2), articoli 20, 32, 33 e 34 Gli importi massimi delle multe sono fissati dalla direttiva; i recepimenti nazionali fissano le regole e le procedure esatte. Questa guida è un'informazione generale, non una consulenza legale.
Come norppa.io riduce la tua esposizione
La maggior parte delle sanzioni si riconduce a due lacune: misure inadeguate ai sensi dell'articolo 21, paragrafo 2 (in particolare la sicurezza della supply chain), e l'incapacità di dimostrare la diligenza su richiesta. norppa.io affronta entrambe monitorando in continuo ogni dominio fornitore e associando ogni rilievo all'articolo NIS2 che lo riguarda.
Poiché ogni ciclo di monitoraggio viene registrato, disponete di una traccia di audit continua e datata, esattamente la prova che la vigilanza ai sensi degli articoli 32 e 33 richiede, anziché un'istantanea puntuale. È ciò che trasforma «intendevamo farlo» in «ecco il registro», ed è l'assicurazione più economica contro le multe e gli ordini di cui sopra.