Chi non si adegua alla direttiva Nis2 si espone a sanzioni economiche molto gravose, mentre i vertici aziendali possono essere chiamati a rispondere personalmente. Ma le conseguenze non si fermano qui: la mancata protezione dei sistemi digitali può trasformarsi in perdite economiche, azioni legali e danni alla reputazione.
Ricordiamo che la Direttiva NIS 2 amplia in modo significativo il perimetro dei soggetti coinvolti, includendo non solo le grandi utility o i player strategici, ma anche realtà di medie dimensioni attive in settori considerati critici.
Indice degli argomenti
Gestione degli incidenti informatici, la roadmap Nis2
Il Decreto NIS 2 ha previsto un percorso graduale di adeguamento, scandito da tappe precise che le imprese non possono ignorare. Con scadenze ravvicinate e sanzioni rilevanti, le imprese sono chiamate ad attivarsi tempestivamente.
Prima fase: registrazioni obbligatorie (febbraio – luglio 2025)
Entro il 28 febbraio 2025 (con proroga possibile al 31 luglio 2025, in caso di richieste di chiarimenti per l’aggiornamento annuale delle informazioni), tutti i soggetti NIS avrebbero dovuto registrarsi sulla piattaforma digitale dell’ACN, previa designazione di un punto di contatto.
Segue poi un secondo obbligo importante: entro il 31 maggio 2025, e ogni anno entro la stessa data, occorre trasmettere all’ACN una serie di informazioni essenziali. Nello specifico, il pacchetto informativo dovrà includere, tra le varie informazioni, anche i nomi dei componenti degli organi di amministrazione e direttivi, gli indirizzi IP utilizzati dall’organizzazione e i nomi di dominio in uso o disponibili per il soggetto, nonché l’indicazione del sostituto del punto di contatto.
Anche in assenza di variazioni, è importante ricordare che la trasmissione annuale resta obbligatoria, come previsto dall’art. 7, commi 4 e 5 del Decreto NIS. Secondo l’art. 38, commi 10 e 11 del Decreto NIS, la mancata registrazione dei soggetti NIS può essere punita con una sanzione amministrativa pecuniaria significativa. Nello specifico:
- per i soggetti essenziali, una sanzione fino all’importo massimo pari allo 0,1 % del fatturato annuo su scala mondiale (calcolato secondo la raccomandazione 2003/361/CE);
- per i soggetti importanti, una sanzione fino all’importo massimo pari allo 0,07 % del fatturato annuo su scala mondiale (calcolato secondo lo stesso criterio di cui sopra).
Seconda fase dal primo gennaio 2026
Entro il 1° gennaio 2026, tutti i soggetti NIS devono dimostrare di aver implementato procedure efficaci per la gestione degli incidenti di sicurezza e misure proporzionate di gestione dei rischi, inclusi gli obblighi di notifica degli incidenti, come previsto dall’art. 25 del Decreto NIS.
Terza fase: governance della cybersicurezza (ottobre 2026)
Da ottobre 2026, diventa obbligatorio istituire organismi direttivi dedicati alla sicurezza informatica (artt. 23, 24 e 29 del Decreto NIS).
Il mancato rispetto delle scadenze fissate per il 2026 comporta sanzioni pecuniarie molto più severe, fino ad un massimo di:
- 10 milioni di Euro o, in alternativa, fino al 2 % del fatturato mondiale annuo per i soggetti essenziali (art. 38, comma 9, lett. a) del Decreto NIS);
- 7 milioni di Euro, o, in alternativa, fino all’1,4 % del fatturato mondiale annuo per i soggetti importanti (art. 38, comma 9, lett. b) del Decreto NIS).
NIS 2, le sanzioni per chi non si adegua
Ignorare gli obblighi previsti nella Direttiva NIS 2 non si traduce solo in un’esposizione a sanzioni pecuniarie: le conseguenze possono colpire la governance, la reputazione e la continuità operativa dell’impresa.
Responsabilità personale dei vertici aziendali
Un elemento di forte novità rispetto al passato riguarda il ruolo dei vertici aziendali. I membri dei consigli di amministrazione e delle strutture direttive sono direttamente responsabili delle scelte in materia di sicurezza informatica e della vigilanza sull’attuazione delle misure. In caso di inadempienze, e dunque in caso di mancato adempimento degli obblighi previsti nella Direttiva NIS 2, potranno essere chiamati a rispondere personalmente, con sanzioni di natura pecuniaria e interdittiva.
Impatto economico e operativo
Non sono da meno gli effetti operativi che possono derivare dal mancato adeguamento al Decreto NIS 2: interruzioni operative, blocco delle forniture, perdita di dati sensibili e costi di ripristino. Ma il rischio più sottile e insidioso è quello reputazionale: un singolo incidente o la mancata compliance possono minare la fiducia di clienti, partner e investitori, erodendo anni di lavoro sul brand e sulla credibilità.
Il ruolo dell’ACN: controllo, ispezioni e interventi
Resta però aperta la questione cruciale dei controlli: chi vigila sull’effettiva attuazione degli obblighi da parte delle imprese? In Italia, l’ACN è l’autorità preposta al controllo su Nis2, con ampi poteri di monitoraggio, ispezione e possibilità di intervento diretto. Può effettuare verifiche in loco o da remoto, richiedere documentazione, analizzare procedure e sistemi aziendali e valutare l’efficacia delle misure adottate.
Se rileva inadempienze, l’ACN può:
- diffidare l’azienda imponendo azioni correttive immediate;
- sospendere certificati o autorizzazioni, in modo parziale o totale bloccando l’operatività della società fino all’adozione di azioni correttive;
- inibire i vertici apicali – legali rappresentanti e componenti degli organi direttivi sulla cybersicurezza – dallo svolgere le proprie funzioni per tutta la durata dell’inadempimento, con forti ricadute sulla continuità gestionale.
I passi verso la compliance a Nis2
Adeguarsi al Decreto NIS richiede una vera e propria strategia operativa, strutturata e continuativa.
Le imprese dovranno articolare il percorso in quattro passaggi fondamentali:
- gap analysis approfondita: capire dove la propria organizzazione è più vulnerabile rispetto agli obblighi della Direttiva NIS;
- aggiornamento delle politiche interne e delle misure: rivedere procedure, protocolli, processi e strumenti per allinearsi agli standard richiesti;
- implementazione di un sistema di governance in materia di cybersecurity: definire ruoli, responsabilità e strumenti di controllo;
- formazione mirata: avviare percorsi dedicati per tutti i livelli aziendali, dai manager ai team operativi, così da garantire consapevolezza e capacità di risposta agli incidenti.
Dunque adeguarsi alla NIS 2 non è solo un obbligo giuridico: è una scelta strategica per mettere al sicuro il futuro del proprio business. Le imprese che si muoveranno subito non solo eviteranno sanzioni, ma potranno rafforzare la propria reputazione e trasformare la compliance in un vantaggio competitivo.
