// Cosa si rischia davvero
Sanzioni NIS2 e responsabilità personale
Non è più solo un problema del reparto IT. È una responsabilità che la norma chiede al vertice aziendale, con nome e cognome.
Gli importi a regime
Soggetti essenziali
Fino a 10 milioni €
o il 2% del fatturato globale annuo, si applica l'importo più alto tra i due.
Soggetti importanti
Fino a 7 milioni €
o l'1,4% del fatturato globale annuo, si applica l'importo più alto tra i due.
Per le pubbliche amministrazioni le sanzioni vanno da 25.000 a 125.000 euro. Questi importi valgono per le violazioni sostanziali (misure di sicurezza mancanti, incidenti non notificati) a partire dal 2026. Nella fase transitoria, per la sola mancata registrazione entro il 28 febbraio 2025, gli importi erano più contenuti: 0,1% del fatturato per gli essenziali, 0,07% per gli importanti.
La parte che cambia il tono della conversazione
Gli importi delle sanzioni sono seri, ma da soli non spiegano perché la NIS2 cambia davvero il modo in cui un'azienda deve trattare la sicurezza informatica. Quello che lo spiega è un altro potere che la norma attribuisce ad ACN: per i soggetti che non si adeguano dopo una diffida formale, l'agenzia può sospendere temporaneamente chi ricopre funzioni dirigenziali o di rappresentanza legale dalle proprie responsabilità, fino a quando l'azienda non dimostra di aver colmato le lacune contestate.
È questo il punto che, quando lo spiego a un consiglio di amministrazione, cambia tono alla riunione. Non stiamo più parlando di un budget IT da approvare per accontentare l'ufficio sicurezza. Stiamo parlando di una responsabilità che la norma chiede espressamente agli organi di amministrazione e direttivi di esercitare in prima persona: approvare le misure di gestione del rischio, seguire una formazione documentata, supervisionare attivamente l'attuazione, non delegare tutto e dimenticarsene.
Un amministratore che non può dimostrare di aver seguito questo percorso, in caso di incidente grave, non risponde più soltanto davanti al mercato o ai soci. Risponde davanti a un'autorità con poteri sanzionatori diretti sulla persona, non solo sulla società.
In sintesi
| Violazione | Conseguenza |
|---|---|
| Misure di sicurezza mancanti (essenziali) | Fino a 10 milioni € o 2% del fatturato globale |
| Misure di sicurezza mancanti (importanti) | Fino a 7 milioni € o 1,4% del fatturato globale |
| Mancata registrazione (PA) | Da 25.000 a 125.000 € |
| Mancato adeguamento dopo diffida | Sospensione certificazioni/autorizzazioni; sospensione temporanea dall'incarico per il management |
Importi e casistiche in evoluzione: alcune determinazioni attuative sono state pubblicate a fine 2025 e possono essere aggiornate. Verifica sempre la fonte ufficiale ACN prima di prendere decisioni operative.
Domande frequenti
La responsabilità dell'amministratore è penale o solo amministrativa?
La NIS2 e il D.Lgs. 138/2024 configurano principalmente una responsabilità amministrativa e di vigilanza, con possibilità di sospensione dall'incarico. Restano ovviamente impregiudicate eventuali responsabilità penali previste da altre norme, ad esempio in caso di dolo o colpa grave nella gestione di un incidente con conseguenze gravi.
Posso delegare completamente la sicurezza informatica a un fornitore esterno?
Puoi delegare l'esecuzione tecnica, non la responsabilità di governance. La norma chiede al vertice aziendale di approvare, supervisionare e formarsi, indipendentemente da chi materialmente implementa le misure tecniche. La delega senza supervisione documentata non protegge l'amministratore.
Le sanzioni si applicano dal primo giorno di mancato adeguamento?
No, il regime prevede fasi e termini progressivi: registrazione, aggiornamento dati, adozione delle misure di sicurezza entro ottobre 2026 per i soggetti inseriti nell'elenco nel 2025, entro il 31 luglio 2027 per quelli inseriti nel 2026. Le sanzioni più severe riguardano le violazioni sostanziali verificate dopo questi termini, non i primi giorni di un percorso di adeguamento in corso.
Il tuo CdA sa cosa rischia davvero?
Organizzo sessioni di formazione mirate su rischio cyber e responsabilità legale per gli organi di amministrazione.
Le altre guide NIS2
Aggiornata a settembre 2026; scadenze riverificate il 30 ottobre 2026. Importi, casistiche e responsabilità possono cambiare con le determinazioni ACN e con eventuali modifiche al D.Lgs. 138/2024: prima di prendere decisioni verifica sempre le fonti ufficiali sul portale NIS dell'ACN.
Tag