Sanzioni NIS2: quanto rischia un'azienda

Con la NIS2 un soggetto essenziale rischia sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, un soggetto importante fino a 7 milioni o all'1,4%, e nei casi gravi ne rispondono di persona anche gli amministratori. Sono le regole della Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024: un deterrente pensato per essere serio, che si somma al costo di un fermo dopo un attacco.

Le sanzioni economiche

La NIS2 divide le aziende obbligate in due categorie, con sanzioni diverse:

• Soggetti essenziali: fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, prendendo l'importo più alto.
• Soggetti importanti: fino a 7 milioni di euro o all'1,4% del fatturato annuo mondiale.

Sono massimali, non importi automatici: la sanzione viene graduata in base alla gravità della violazione, alla sua durata, al danno causato e alla collaborazione dell'azienda. Resta il fatto che per un'impresa strutturata il tetto si misura in milioni.

Chi controlla, e quando

La differenza fra le due categorie non sta solo nell'importo. I soggetti essenziali sono sottoposti a una vigilanza proattiva: l'autorità può effettuare ispezioni e controlli anche in assenza di segnalazioni o incidenti. Per i soggetti importanti la vigilanza è reattiva, cioè scatta a seguito di segnalazioni, incidenti o evidenze di non conformità.

Tradotto in pratica: se sei un soggetto essenziale il controllo può arrivare in un momento qualsiasi, e quello che conta è avere le prove già pronte. Se sei un soggetto importante il rischio si concentra nel momento peggiore, cioè subito dopo un incidente, quando l'azienda è già in difficoltà.

La responsabilità personale degli amministratori

La novità più pesante rispetto al passato è che la responsabilità non resta solo sull'azienda. In caso di violazioni gravi la normativa prevede sanzioni personali e, nei casi più seri, la possibilità di interdire temporaneamente dalle funzioni dirigenziali le persone responsabili. Gli organi di gestione devono approvare le misure di gestione del rischio e seguire una formazione specifica: per questo la NIS2 è un tema da consiglio di amministrazione, non solo da ufficio IT.

La mancata notifica si paga a parte

Un incidente significativo va notificato al CSIRT Italia con tempi stretti: una pre-notifica entro 24 ore, una notifica più completa entro 72 ore e una relazione finale entro un mese. La mancata notifica è sanzionabile in modo autonomo, quindi nascondere un problema costa più che gestirlo. Notificare correttamente, invece, non aggrava la posizione dell'azienda rispetto all'incidente in sé.

È il motivo per cui il piano di gestione degli incidenti va scritto prima: a incidente in corso nessuno ha il tempo di capire chi deve avvisare chi, con quali informazioni ed entro quando.

Il conto vero va oltre la multa

Oltre alla sanzione, il rischio concreto è il blocco dell'attività dopo un attacco, la perdita dei dati e il danno di reputazione. Un fermo dei sistemi di qualche giorno in piena produzione, o la perdita degli archivi gestionali, pesa sul bilancio quanto una sanzione, con la differenza che arriva senza preavviso e mentre l'azienda sta già gestendo l'emergenza.

Gli errori che aumentano l'esposizione

Il primo è trattare la NIS2 come una questione informatica da delegare al fornitore IT. La norma chiede governance, analisi del rischio, procedure e formazione degli amministratori: sono decisioni aziendali, e la responsabilità resta in capo a chi dirige.

Il secondo è dare per scontato che essere in regola con il GDPR basti anche per la NIS2. Le due normative si sovrappongono in parte, per esempio sull'analisi del rischio, sulla formazione e sui backup, ma proteggono cose diverse e hanno tempi di notifica diversi.

Il terzo è partire dalla scansione tecnica delle vulnerabilità. È la fase finale di un percorso, non il punto di partenza: senza l'inventario degli asset e l'elenco dei fornitori, il risultato è una lista di problemi tecnici che l'azienda non è in grado di gestire.

Come si evita

Il modo per non trovarsi esposti è mettersi in regola per tempo, con metodo. Trovi il quadro completo nella guida NIS2 (chi rientra, obblighi, scadenze e costi) e il nostro percorso nella pagina consulenza NIS2, dove puoi anche fare il test per capire se la tua azienda rientra.

Siamo consulenti informatici a Napoli e affianchiamo aziende ed enti in Campania e in tutta Italia sull'adeguamento alla NIS2. Raccontaci la tua situazione per un primo confronto gratuito.

Fonti

Gli obblighi e gli importi citati derivano dalla Direttiva (UE) 2022/2555, dal D.Lgs. 138/2024 che la recepisce in Italia e dal portale NIS dell'ACN. Fonti verificate il 3 ottobre 2026.