Sanzioni NIS2: quanto si rischia, chi ne risponde e come si riduce

Quanto si rischia per una violazione della NIS2: i due gruppi di violazioni e i quattro regimi sanzionatori, la responsabilità personale di amministratori e dirigenti, il moltiplicatore che colpisce chi si registra in ritardo e gli strumenti che chiudono il procedimento senza sanzione.

In breve — Le sanzioni NIS2 arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, e fino a 7 milioni o all‘1,4% per i soggetti importanti; per le pubbliche amministrazioni e le società a controllo pubblico sono invece importi fissi, da 25.000 a 125.000 euro. L’importo non è automatico: l’Agenzia per la cybersicurezza nazionale lo determina su criteri precisi, e il procedimento sanzionatorio può chiudersi senza sanzione se il soggetto si conforma nel termine che gli viene assegnato.

1. Quanto si rischia: i due gruppi di violazioni

Le sanzioni NIS2 sono costruite su due gruppi di violazioni, puniti in misura molto diversa. Nel primo gruppo stanno le violazioni sostanziali: gli obblighi degli organi di amministrazione, le misure di gestione del rischio informatico, la notifica degli incidenti e l’inottemperanza alle disposizioni e alle diffide dell’Agenzia per la cybersicurezza nazionale. Nel secondo stanno le violazioni che riguardano il rapporto con l’Autorità: la registrazione e l’aggiornamento dei dati, la categorizzazione delle attività e dei servizi, la mancata collaborazione con l’Agenzia e con il CSIRT Italia.

Fra la cifra fissa e la percentuale del fatturato si applica sempre l’importo più alto, e per un’impresa di dimensioni rilevanti è quindi la percentuale a fare da tetto effettivo. Meno noto è che la NIS2 fissa anche un minimo: un ventesimo del massimo edittale per i soggetti essenziali, un trentesimo per i soggetti importanti. In quale dei due gruppi si ricade lo stabilisce la qualifica del soggetto, spiegata negli articoli su chi rientra nella NIS2 e sulla differenza fra soggetto importante ed essenziale.

2. La sanzione per la mancata o tardiva registrazione

Chi non si è registrato sulla piattaforma dell’Agenzia, o lo ha fatto in ritardo, non risponde soltanto di quella singola omissione. Il decreto prevede che in questo caso vengano contestate tutte le violazioni di entrambi i gruppi, e che si applichi la sanzione prevista per la violazione più grave aumentata fino al triplo. È il meccanismo più severo di tutto l’impianto sanzionatorio della NIS2, e colpisce proprio la condotta più diffusa.

La ragione è che la registrazione è il presupposto di ogni altro adempimento: finché un soggetto non si dichiara, l’Agenzia non può verificare né le sue misure di sicurezza né le sue notifiche, e tutti gli obblighi restano inadempiuti insieme. Chi si accorge in ritardo di rientrare nel perimetro ha quindi un interesse immediato a regolarizzarsi, perché la registrazione tardiva resta sanzionabile ma apre la strada agli strumenti che chiudono il procedimento, di cui parliamo nel capitolo 7. Le finestre temporali e i termini per registrarsi sono nell’articolo sulle scadenze NIS2; se invece l’iscrizione è stata fatta per errore, si contesta con la procedura descritta nell’articolo sulla cancellazione dal registro ACN.

3. Le sanzioni per le pubbliche amministrazioni e le società a controllo pubblico

Per le pubbliche amministrazioni dell’allegato III e per le società partecipate o sottoposte a controllo pubblico il decreto costruisce un regime separato, con importi fissi al posto delle percentuali sul fatturato: da 25.000 a 125.000 euro per le violazioni sostanziali, da 10.000 a 50.000 per quelle sul rapporto con l’Agenzia, ridotti di un terzo quando l’ente è qualificato come soggetto importante anziché essenziale. A questi soggetti non si applica la sospensione dei certificati e delle autorizzazioni di cui parliamo nel capitolo 5.

Il trattamento più favorevole sugli importi non si traduce in minore esposizione, perché si sposta sulle persone. Per i dipendenti pubblici la violazione degli obblighi NIS2 può costituire causa di responsabilità dirigenziale, disciplinare e amministrativo-contabile, cioè la materia della Corte dei conti. Un’attenuazione reale riguarda invece la notifica degli incidenti: per le amministrazioni e per le società pubbliche le sanzioni del primo gruppo si applicano solo in caso di reiterazione specifica nell’arco di cinque anni, ma nei dodici mesi successivi all’accertamento l’Agenzia può esercitare i propri poteri di verifica e ispettivi.

4. Che cosa rischiano gli amministratori e i dirigenti

Le sanzioni NIS2 non si fermano al patrimonio dell’ente: raggiungono le persone che lo governano. L’articolo 23 del decreto mette in capo agli organi di amministrazione e agli organi direttivi tre doveri precisi — approvare le modalità di implementazione delle misure di gestione del rischio, sovrintendere all’attuazione degli obblighi, e risponderne — e vi aggiunge un obbligo di formazione personale in materia di sicurezza informatica, da promuovere anche verso i dipendenti.

Quando il soggetto non adempie alla diffida dell’Agenzia, la conseguenza per gli amministratori è la sanzione accessoria dell’incapacità a svolgere funzioni dirigenziali all’interno dello stesso soggetto, che dura finché le carenze non sono sanate. Due dettagli contano più di quanto sembri: questa misura colpisce gli organi dei soggetti essenziali e di quelli importanti, mentre la responsabilità personale del rappresentante legale è scritta con riferimento al soggetto essenziale. La firma con cui si approva un documento di sicurezza, in questo quadro, non è un passaggio formale.

5. Oltre la multa: la sospensione di certificati e autorizzazioni

Accanto alla sanzione pecuniaria il decreto consente all’Agenzia una misura che incide sull’attività: la sospensione temporanea di un certificato o di un’autorizzazione relativi a una parte o alla totalità dei servizi svolti dal soggetto essenziale. L’Agenzia può disporla direttamente oppure chiederla a un organismo di certificazione o a un organo giurisdizionale, e la sospensione dura finché il soggetto non adotta le misure necessarie.

Il presupposto è sempre lo stesso: l’inadempimento alla diffida. Non si tratta quindi di una conseguenza automatica della violazione, ma dell’esito di un percorso in cui il soggetto ha già avuto modo di rimediare e non lo ha fatto — ed è il motivo per cui il momento in cui arriva la diffida è quello in cui conviene farsi assistere. Come si è visto nel capitolo 3, questa misura non riguarda le pubbliche amministrazioni né le società partecipate o a controllo pubblico.

6. Come si calcola l’importo della sanzione

L’importo delle sanzioni NIS2 non è predeterminato: il decreto impone all’Agenzia di esercitare i propri poteri rispettando i diritti della difesa e di tenere conto delle circostanze del caso concreto e di almeno otto elementi, fra cui la gravità e la durata della violazione, il danno causato, la condotta intenzionale o negligente e il livello di collaborazione prestato. Su questi elementi si gioca la differenza fra il minimo e il massimo edittale, che nel primo gruppo di violazioni è un divario di venti volte.

Il decreto indica anche quali violazioni vanno considerate gravi in particolare, e sono cinque: le violazioni ripetute, la mancata notifica di incidenti significativi o il mancato rimedio, il mancato rimedio alle carenze dopo istruzioni vincolanti, l’ostacolo alle attività di vigilanza e la fornitura di informazioni false o gravemente inesatte. Lo schema è lo stesso che il Garante applica alle sanzioni GDPR, dove pure l’importo si costruisce su criteri e non su tabelle.

7. Come si chiude il procedimento sanzionatorio

Il procedimento sanzionatorio NIS2 prevede due strumenti che permettono di non pagare la sanzione piena, e il primo permette di non pagarla affatto. Con l’invito a conformarsi l’Agenzia, accertata la violazione, assegna un termine perentorio proporzionato alla gravità per adeguare la condotta: se il soggetto ottempera, il procedimento sanzionatorio non prosegue. Non ne beneficia chi ha già ricevuto la diffida, e questo spiega perché il momento di reagire è il primo e non l’ultimo.

Il secondo strumento è il pagamento in misura ridotta, pari alla terza parte del massimo della sanzione — o al doppio del minimo, se più favorevole — entro il termine perentorio di sessanta giorni dalla notifica della contestazione. Ha un effetto ulteriore che vale la pena conoscere: la reiterazione, che altrimenti aumenterebbe la sanzione fino al doppio o al triplo nei cinque anni successivi, non opera quando si è pagato in misura ridotta. Prima ancora, l’Agenzia deve notificare le proprie conclusioni preliminari concedendo un termine non inferiore a quindici giorni per presentare osservazioni: è la prima occasione utile per incidere sulla contestazione, e spesso la più efficace.

8. Come ti assiste lo Studio Legale Calzoni

Lo Studio Legale Calzoni assiste imprese, società a controllo pubblico e pubbliche amministrazioni nei rapporti con l’Agenzia per la cybersicurezza nazionale, dalla verifica della qualifica di soggetto essenziale o importante fino alla difesa nel procedimento sanzionatorio. L’attività riguarda la regolarizzazione di una registrazione mancata o tardiva, la risposta alle richieste e alle intimazioni dell’Agenzia, le osservazioni sulle conclusioni preliminari e la scelta fra l’invito a conformarsi e il pagamento in misura ridotta.

Il momento in cui conviene intervenire è il primo contatto con l’Autorità, non la notifica della sanzione: è in quella fase che si possono ancora evitare la diffida, le misure che incidono sull’attività e la responsabilità personale degli amministratori. Lo Studio affianca anche gli organi di amministrazione nell’approvazione dei documenti di sicurezza e nella verifica degli obblighi NIS2 sulle misure di sicurezza e della notifica degli incidenti, che sono le violazioni sanzionate più severamente. Tutti i servizi sono descritti nella pagina dedicata a NIS2 e cybersicurezza.

Domande frequenti

Qual è la sanzione per la mancata registrazione al NIS2? In caso di mancata o tardiva registrazione vengono contestate tutte le violazioni previste dal decreto e si applica la sanzione prevista per la violazione più grave, aumentata fino al triplo. Non è quindi una sanzione autonoma per l’omessa registrazione, ma un moltiplicatore che si somma a ogni altro inadempimento.

Qual è la sanzione massima prevista per i soggetti essenziali? Fino a 10 milioni di euro oppure il 2% del fatturato annuo su scala mondiale dell’esercizio precedente, applicando l’importo più alto fra i due. Il minimo è fissato in un ventesimo del massimo edittale.

Le sanzioni NIS2 si applicano anche ai Comuni? Sì, ma con importi fissi: da 25.000 a 125.000 euro per le violazioni sostanziali e da 10.000 a 50.000 per quelle sul rapporto con l’Agenzia, ridotti di un terzo se l’ente è un soggetto importante. Per la mancata notifica di un incidente la sanzione scatta solo in caso di reiterazione specifica nei cinque anni.

Gli amministratori rispondono personalmente delle violazioni della NIS2? Gli organi di amministrazione approvano le misure di sicurezza, sovrintendono agli obblighi e sono responsabili delle violazioni. Se il soggetto non adempie alla diffida dell’Agenzia, può essere disposta nei loro confronti l’incapacità a svolgere funzioni dirigenziali, sia nei soggetti essenziali sia in quelli importanti.

Si può pagare la sanzione NIS2 in misura ridotta? Sì, pagando la terza parte del massimo, o il doppio del minimo se più favorevole, entro sessanta giorni dalla notifica della contestazione. Il pagamento in misura ridotta estingue il procedimento e impedisce che la violazione valga come reiterazione.

Dopo quanto tempo una nuova violazione conta come reiterazione? Entro cinque anni dalla commissione di una violazione accertata con provvedimento esecutivo, se la nuova violazione è della stessa indole. Se è violata la medesima disposizione la reiterazione è specifica e la sanzione aumenta fino al doppio, altrimenti si applica quella prevista per la violazione più grave aumentata fino al triplo.

I contenuti di questa pagina si riferiscono a fattispecie generali e non costituiscono parere legale su casi concreti. Per una valutazione della propria posizione è necessario l’esame della documentazione specifica.