Quando l'Unione Europea ha progettato il regime sanzionatorio della Direttiva NIS2, ha preso a modello il GDPR — e chi ha vissuto le prime sanzioni del Garante Privacy sa cosa questo significhi. Le multe NIS2 sono pensate per essere realmente dissuasive, calibrate sul fatturato aziendale, e accompagnate da una novita assoluta: la possibilita di sospendere i dirigenti dalle loro funzioni.
Il messaggio del legislatore e chiaro: la cybersicurezza non e piu un'opzione, ma un obbligo di legge con conseguenze concrete per chi lo ignora. Vediamo nel dettaglio cosa prevede il D.Lgs. 138/2024 in materia di sanzioni e come strutturare un percorso di compliance che protegga l'azienda e i suoi vertici.
Il quadro sanzionatorio NIS2 in Italia
Il decreto di recepimento italiano prevede un sistema di sanzioni articolato su piu livelli, che tiene conto della natura del soggetto (essenziale o importante), della gravita della violazione e del grado di cooperazione con l'autorita.
| Tipo di violazione | Soggetti Essenziali | Soggetti Importanti |
|---|---|---|
| Mancata adozione misure di sicurezza (art. 24) | Fino a 10M EUR o 2% fatturato mondiale | Fino a 7M EUR o 1,4% fatturato mondiale |
| Mancata notifica incidente al CSIRT | Fino a 10M EUR o 2% fatturato mondiale | Fino a 7M EUR o 1,4% fatturato mondiale |
| Mancata registrazione piattaforma ACN | Fino a 10M EUR o 2% fatturato mondiale | Fino a 7M EUR o 1,4% fatturato mondiale |
| Violazione obblighi di governance | Sospensione dirigenti + sanzione pecuniaria | Sanzione pecuniaria |
| Mancata cooperazione con ACN | Aggravante sulla sanzione base | Aggravante sulla sanzione base |
| Omessa formazione dirigenti | Sanzione proporzionata | Sanzione proporzionata |
Responsabilita personale dei dirigenti
La novita piu dirompente della NIS2 e la responsabilita personale degli organi di amministrazione e direzione. L'articolo 23 del D.Lgs. 138/2024 stabilisce che i dirigenti che non adempiono ai loro obblighi di supervisione possono subire:
- Sospensione temporanea dalle funzioni — L'ACN puo disporre l'inibizione temporanea di un dirigente dall'esercizio delle funzioni direttive
- Responsabilita civile — I dirigenti possono essere chiamati a risarcire i danni causati dalla mancata adozione delle misure di sicurezza
- Pubblicazione del provvedimento — La sanzione puo essere resa pubblica, con evidente danno reputazionale personale
Questo significa che un amministratore delegato o un membro del CdA non puo piu trincerarsi dietro l'ignoranza tecnica. La legge richiede che i dirigenti siano formati, informati e attivamente coinvolti nelle decisioni sulla cybersicurezza. Delegare tutto al responsabile IT senza supervisionare non e piu sufficiente.
Come vengono calcolate le sanzioni
L'ACN applica le sanzioni tenendo conto di diversi fattori, seguendo un approccio simile a quello del GDPR:
- Gravita della violazione — Quante misure obbligatorie sono state omesse? L'omissione era totale o parziale?
- Durata — Da quanto tempo la violazione era in essere? L'azienda era stata gia avvertita?
- Precedenti — L'azienda ha gia ricevuto sanzioni o ammonimenti dall'ACN?
- Danno causato — La violazione ha contribuito a un incidente? Quali sono stati gli impatti su terzi?
- Cooperazione — L'azienda ha collaborato con l'ACN durante l'ispezione? Ha cercato di rimediare?
- Proporzionalita — La sanzione e proporzionata alla dimensione e alla capacita economica dell'azienda
Confronto con le sanzioni GDPR: cosa possiamo aspettarci
Per farci un'idea di come l'Italia potrebbe applicare le sanzioni NIS2, e utile guardare ai precedenti GDPR. Il Garante Privacy italiano ha irrogato sanzioni significative:
| Caso | Sanzione | Anno |
|---|---|---|
| TIM (Telecom Italia) | 27,8 milioni EUR | 2020 |
| Enel Energia | 26,5 milioni EUR | 2021 |
| Clearview AI | 20 milioni EUR | 2022 |
| Douglas Italia | 1,4 milioni EUR | 2024 |
| ASL Napoli (data breach) | 75.000 EUR | 2023 |
Se l'ACN seguira un approccio altrettanto rigoroso — e tutto lascia pensare che lo fara — le prime sanzioni NIS2 saranno probabilmente esemplari per dare un segnale forte al mercato. Le aziende che si adeguano in ritardo pagheranno un prezzo molto piu alto di quelle che investono ora nella compliance.
Poteri ispettivi dell'ACN
L'ACN dispone di poteri ispettivi ampi per verificare la compliance NIS2. Per i soggetti essenziali, la supervisione e ex ante — l'ACN puo effettuare controlli anche in assenza di incidenti. Per i soggetti importanti, la supervisione e ex post — le verifiche scattano tipicamente dopo un incidente o una segnalazione.
I poteri includono: ispezioni in loco, audit di sicurezza, richiesta di documentazione e prove di conformita, scansioni di sicurezza mirate, richiesta di informazioni specifiche entro termini stringenti. Rifiutarsi di cooperare o ostacolare un'ispezione costituisce un'aggravante.
Come evitare le sanzioni: un percorso concreto
La buona notizia e che le sanzioni NIS2 sono evitabili al 100% con un percorso di adeguamento serio e documentato. L'ACN non sanziona chi si sta adeguando in buona fede, ma chi non ha fatto nulla o chi ha cercato di aggirare la normativa.
- Registrati subito sulla piattaforma ACN — Se non l'hai ancora fatto, e la prima cosa da fare. La mancata registrazione e la violazione piu facile da contestare.
- Nomina un responsabile cybersicurezza — Un CISO interno o esterno che coordini il percorso. Per le PMI, consulta un commercialista online per la corretta configurazione contrattuale.
- Fai una gap analysis documentata — Dimostra che hai valutato la situazione e identificato le lacune. Anche se non sei ancora conforme, avere un piano e gia un elemento attenuante.
- Implementa le misure prioritarie — MFA, backup, gestione patch, piano incident response. Queste quattro misure coprono la maggior parte dei rischi. Approfondisci nella guida sulla sicurezza informatica per aziende.
- Forma i dirigenti — Organizza sessioni formative per il CdA. Anche un workshop di mezza giornata e sufficiente per soddisfare l'obbligo iniziale.
- Documenta tutto — Ogni azione, ogni decisione, ogni investimento. In caso di ispezione, la documentazione e la tua migliore difesa.
- Pianifica il percorso completo — Definisci milestone, budget e responsabilita per raggiungere la compliance entro ottobre 2026.
L'assicurazione cyber: una rete di sicurezza aggiuntiva
Sempre piu aziende italiane stanno sottoscrivendo polizze di cyber insurance per coprire i rischi residui. Attenzione pero: le polizze generalmente non coprono le sanzioni amministrative (come le multe NIS2), ma possono coprire i costi di gestione dell'incidente, la responsabilita verso terzi e il fermo operativo.
Curiosamente, molti assicuratori stanno usando la compliance NIS2 come criterio per la sottoscrizione: le aziende conformi ottengono premi piu bassi. Un motivo in piu per adeguarsi rapidamente.
Cosa fare se ricevi un'ispezione ACN
Se l'ACN avvia un procedimento ispettivo nei confronti della tua azienda, ecco le regole d'oro:
- Coopera pienamente — La cooperazione e un fattore attenuante, l'ostruzione un aggravante
- Coinvolgi subito un legale specializzato — Preferibilmente con esperienza in cybersecurity law
- Prepara la documentazione — Risk assessment, misure implementate, piano di miglioramento, verbali CdA
- Non mentire e non nascondere — Meglio ammettere una lacuna che essere scoperti a nasconderla
- Dimostra il percorso — Se non sei ancora conforme, mostra che hai un piano credibile con tempistiche realistiche