Sanzioni e vigilanza secondo il Decreto NIS

Chi vigila

L’Agenzia per la cybersicurezza nazionale (ACN) è l’autorità nazionale competente NIS e il punto di contatto unico. Accanto all’ACN operano le autorità di settore previste dall’art. 11, comma 2, D.Lgs. 138/2024, ad esempio il Ministero dell’economia e delle finanze per banche e infrastrutture dei mercati finanziari, il Ministero delle infrastrutture e dei trasporti per i trasporti, il Ministero della salute per la sanità. Il CSIRT Italia, presso l’ACN, riceve le notifiche degli incidenti.

Prima della sanzione l’autorità dispone di poteri di verifica e ispezione e può adottare disposizioni e diffide (art. 37). La sanzione pecuniaria arriva tipicamente quando un obbligo è stato violato o una diffida non è stata rispettata.

Le sanzioni pecuniarie

L’art. 38 distingue due gruppi di violazioni.

Violazioni gravi (art. 38, commi 8 e 9)

Riguardano gli obblighi degli organi di amministrazione (art. 23), le misure di gestione dei rischi (art. 24), la notifica degli incidenti (art. 25) e l’inosservanza di disposizioni e diffide dell’autorità.

Il minimo conta: per un soggetto essenziale con massimo di 10 milioni di euro, la sanzione minima è di 500.000 euro; per un soggetto importante con massimo di 7 milioni, circa 233.000 euro.

Quando la percentuale supera l’importo fisso, cresce anche il minimo. Un esempio di calcolo: un soggetto essenziale con 800 milioni di euro di fatturato mondiale annuo ha un massimo del 2%, cioè 16 milioni di euro, perché supera i 10 milioni. Il minimo è un ventesimo di questo valore, quindi 800.000 euro. Per un soggetto importante con lo stesso fatturato l’1,4% vale 11,2 milioni di euro, e il minimo, un trentesimo, circa 373.000 euro. Gli importi concreti dipendono dalla gravità della violazione e dalle circostanze del caso.

Altre violazioni (art. 38, commi 10 e 11)

Comprendono, tra l’altro, la mancata registrazione o il mancato aggiornamento dei dati (art. 7), la mancata comunicazione dell’elenco di attività e servizi (art. 30, comma 1) e la mancata collaborazione con l’ACN e il CSIRT Italia. Le sanzioni arrivano fino allo 0,1% del fatturato mondiale annuo per i soggetti essenziali e fino allo 0,07% per quelli importanti, fermi restando i minimi del comma 9. Per le pubbliche amministrazioni essenziali vanno da 10.000 a 50.000 euro, per quelle importanti sono ridotte di un terzo.

Mancata registrazione e reiterazione

Due regole rendono le sanzioni più pesanti. In caso di mancata o tardiva registrazione l’autorità contesta tutte le violazioni dei commi 8 e 10 e applica la sanzione più grave aumentata fino al triplo (art. 38, comma 13). Chi non si è registrato, in pratica, non può contare sul fatto che le singole lacune vengano valutate una per una.

In caso di reiterazione specifica la sanzione può essere aumentata fino al doppio; in caso di reiterazione non specifica si applica la sanzione più grave aumentata fino al triplo (art. 38, comma 12).

Conseguenze oltre la sanzione pecuniaria

• Sospensione: se un soggetto essenziale non si adegua entro il termine della diffida, l’autorità può chiedere la sospensione temporanea di certificazioni o autorizzazioni relative ai servizi (art. 38, comma 4).
• Incapacità a svolgere funzioni dirigenziali: sanzione accessoria per le persone indicate all’art. 38, comma 5, nello stesso soggetto e fino al ripristino della conformità (art. 38, comma 6). Più dettagli nella pagina sugli organi di amministrazione.
• Dipendenti pubblici: responsabilità dirigenziale, disciplinare e amministrativo-contabile (art. 38, comma 7).

Invito a conformarsi e pagamento ridotto

L’art. 38, comma 15, prevede strumenti deflattivi. Con l’invito a conformarsi l’autorità fissa un termine perentorio, proporzionato alla gravità della violazione: se il soggetto si adegua, il procedimento non prosegue. Lo strumento non si applica in caso di reiterazione né a chi ha già ricevuto una diffida secondo l’art. 37, comma 6. In alternativa è possibile il pagamento in misura ridotta, pari a un terzo del massimo o, se più favorevole, al doppio del minimo, entro 60 giorni dalla notifica della contestazione.

La strategia più sicura resta evitare di arrivarci. Chi ha registrazione, catena di notifica e delibera degli organi in ordine elimina le violazioni più rischiose. Il NIS2-Scoring pesa proprio questi punti in modo più forte e Le mostra da dove partire.