Ci siamo lasciati la scorsa puntata con alcune brevi considerazioni sugli obblighi di notifica, vediamo ora cosa si rischia nel farsi cogliere impreparati dall’effettivo enforcement del Decreto NIS 2.
Sanzioni economiche crescenti
L’apparato sanzionatorio è severo. Per i soggetti essenziali le multe arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo; per i soggetti importanti fino a 7 milioni di euro o all’1,4%.
Il meccanismo della recidiva prevede aggravamenti significativi: violazioni analoghe entro cinque anni possono portare a sanzioni raddoppiate o triplicate.
Insomma, non proprio sanzioni leggere o “simboliche”.
Responsabilità diretta degli organi di amministrazione
La Determinazione ACN del 14 aprile 2025, successivamente aggiornata e sostituita dalla n. 379907 del 19 dicembre 2025, chiarisce che la cybersecurity è responsabilità degli organi di amministrazione. CdA e Amministratori unici devono approvare formalmente le misure di sicurezza, ma non solo, dovranno sostanzialmente anche allocare risorse e vigilare sull’implementazione. In caso di inadempimento è possibile l’inibizione temporanea dalle funzioni direttive ed anche una responsabilità penale del Direttivo.
Misure interdittive e sanzioni accessorie
Oltre alle sanzioni pecuniarie e intrerdittive, l’ACN può imporre misure correttive sotto supervisione diretta, sospendere attività legate alla sicurezza informatica, revocare certificazioni o autorizzazioni e applicare sanzioni periodiche fino al rirpristino della situazione conforme in linea col Decreto e normativa secondaria.
Esclusione dal mercato e perdita competitiva
La non conformità può impedire la partecipazione a gare pubbliche, causare la perdita di clienti e generare, soprattutto, danni reputazionali. Se il principale driver di molte organizzazioni è sempre quello inerente fatturato e competitività, eventuali sanzioni non possono che avere devastanti sulla continuità di business di questi soggetti.
Chiaramente ci sono anche altri profili sanzionatori non indifferenti, molteplici ricadute da considerare e disfunzioni operative nascoste; diciamo che queste sono le principali da dover mettere sulla bilancia nel caso di non conformità.
Ma per tutti quei soggetti in ritardo? Spendiamo due parole…
I segnali che indicano che non siete pronti
Esistono indicatori chiari di impreparazione, non solo formale (come assenza del mero dato documentale): solitamente il grado di maturità (che si può misurare in molti modi) passa attraverso l’apparato organizzativo, quello tecnologico, quello fisico ed anche quello inerente al personale. Anzi se proprio volessimo usare una scala a noi conosciuta si potrebbe utilizzare proprio quella usata dal Decreto NIS 2 in punto di governance e misure di sicurezza. Gli ingrediente per la nostra ricetta di conformità sono tutti sul tavolo.
Ma per tutti quei soggetti in ritardo?
Su di loro spenderemo due parole nel prossimo episodio