Gestione degli incidenti informatici e sicurezza: le sanzioni di Nis2

Chi non si adegua alla direttiva Nis2 si espone a sanzioni economiche molto gravose, mentre i vertici aziendali possono essere chiamati a rispondere personalmente. Ma le conseguenze non si fermano qui: la mancata protezione dei sistemi digitali può trasformarsi in perdite economiche, azioni legali e danni alla reputazione.

Ricordiamo che la Direttiva NIS 2 amplia in modo significativo il perimetro dei soggetti coinvolti, includendo non solo le grandi utility o i player strategici, ma anche realtà di medie dimensioni attive in settori considerati critici.

Gestione degli incidenti informatici, la roadmap Nis2

Il Decreto NIS 2 ha previsto un percorso graduale di adeguamento, scandito da tappe precise che le imprese non possono ignorare. Con scadenze ravvicinate e sanzioni rilevanti, le imprese sono chiamate ad attivarsi tempestivamente.

Prima fase: registrazioni obbligatorie (febbraio – luglio 2025)

Entro il 28 febbraio 2025 (con proroga possibile al 31 luglio 2025, in caso di richieste di chiarimenti per l’aggiornamento annuale delle informazioni), tutti i soggetti NIS avrebbero dovuto registrarsi sulla piattaforma digitale dell’ACN, previa designazione di un punto di contatto.

Segue poi un secondo obbligo importante: entro il 31 maggio 2025, e ogni anno entro la stessa data, occorre trasmettere all’ACN una serie di informazioni essenziali. Nello specifico, il pacchetto informativo dovrà includere, tra le varie informazioni, anche i nomi dei componenti degli organi di amministrazione e direttivi, gli indirizzi IP utilizzati dall’organizzazione e i nomi di dominio in uso o disponibili per il soggetto, nonché l’indicazione del sostituto del punto di contatto.

Anche in assenza di variazioni, è importante ricordare che la trasmissione annuale resta obbligatoria, come previsto dall’art. 7, commi 4 e 5 del Decreto NIS. Secondo l’art. 38, commi 10 e 11 del Decreto NIS, la mancata registrazione dei soggetti NIS può essere punita con una sanzione amministrativa pecuniaria significativa. Nello specifico:

• per i soggetti essenziali, una sanzione fino all’importo massimo pari allo 0,1 % del fatturato annuo su scala mondiale (calcolato secondo la raccomandazione 2003/361/CE);
• per i soggetti importanti, una sanzione fino all’importo massimo pari allo 0,07 % del fatturato annuo su scala mondiale (calcolato secondo lo stesso criterio di cui sopra).

Seconda fase dal primo gennaio 2026

Entro il 1° gennaio 2026, tutti i soggetti NIS devono dimostrare di aver implementato procedure efficaci per la gestione degli incidenti di sicurezza e misure proporzionate di gestione dei rischi, inclusi gli obblighi di notifica degli incidenti, come previsto dall’art. 25 del Decreto NIS.

Terza fase: governance della cybersicurezza (ottobre 2026)

Da ottobre 2026, diventa obbligatorio istituire organismi direttivi dedicati alla sicurezza informatica (artt. 23, 24 e 29 del Decreto NIS).

Il mancato rispetto delle scadenze fissate per il 2026 comporta sanzioni pecuniarie molto più severe, fino ad un massimo di:

• 10 milioni di Euro o, in alternativa, fino al 2 % del fatturato mondiale annuo per i soggetti essenziali (art. 38, comma 9, lett. a) del Decreto NIS);
• 7 milioni di Euro, o, in alternativa, fino all’1,4 % del fatturato mondiale annuo per i soggetti importanti (art. 38, comma 9, lett. b) del Decreto NIS).

NIS 2, le sanzioni per chi non si adegua

Ignorare gli obblighi previsti nella Direttiva NIS 2 non si traduce solo in un’esposizione a sanzioni pecuniarie: le conseguenze possono colpire la governance, la reputazione e la continuità operativa dell’impresa.

Responsabilità personale dei vertici aziendali

Un elemento di forte novità rispetto al passato riguarda il ruolo dei vertici aziendali. I membri dei consigli di amministrazione e delle strutture direttive sono direttamente responsabili delle scelte in materia di sicurezza informatica e della vigilanza sull’attuazione delle misure. In caso di inadempienze, e dunque in caso di mancato adempimento degli obblighi previsti nella Direttiva NIS 2, potranno essere chiamati a rispondere personalmente, con sanzioni di natura pecuniaria e interdittiva.

Impatto economico e operativo

Non sono da meno gli effetti operativi che possono derivare dal mancato adeguamento al Decreto NIS 2: interruzioni operative, blocco delle forniture, perdita di dati sensibili e costi di ripristino. Ma il rischio più sottile e insidioso è quello reputazionale: un singolo incidente o la mancata compliance possono minare la fiducia di clienti, partner e investitori, erodendo anni di lavoro sul brand e sulla credibilità.

Il ruolo dell’ACN: controllo, ispezioni e interventi

Resta però aperta la questione cruciale dei controlli: chi vigila sull’effettiva attuazione degli obblighi da parte delle imprese? In Italia, l’ACN è l’autorità preposta al controllo su Nis2, con ampi poteri di monitoraggio, ispezione e possibilità di intervento diretto. Può effettuare verifiche in loco o da remoto, richiedere documentazione, analizzare procedure e sistemi aziendali e valutare l’efficacia delle misure adottate.

Se rileva inadempienze, l’ACN può:

• diffidare l’azienda imponendo azioni correttive immediate;
• sospendere certificati o autorizzazioni, in modo parziale o totale bloccando l’operatività della società fino all’adozione di azioni correttive;
• inibire i vertici apicali – legali rappresentanti e componenti degli organi direttivi sulla cybersicurezza – dallo svolgere le proprie funzioni per tutta la durata dell’inadempimento, con forti ricadute sulla continuità gestionale.

I passi verso la compliance a Nis2

Adeguarsi al Decreto NIS richiede una vera e propria strategia operativa, strutturata e continuativa.

Le imprese dovranno articolare il percorso in quattro passaggi fondamentali:

• gap analysis approfondita: capire dove la propria organizzazione è più vulnerabile rispetto agli obblighi della Direttiva NIS;
• aggiornamento delle politiche interne e delle misure: rivedere procedure, protocolli, processi e strumenti per allinearsi agli standard richiesti;
• implementazione di un sistema di governance in materia di cybersecurity: definire ruoli, responsabilità e strumenti di controllo;
• formazione mirata: avviare percorsi dedicati per tutti i livelli aziendali, dai manager ai team operativi, così da garantire consapevolezza e capacità di risposta agli incidenti.

Dunque adeguarsi alla NIS 2 non è solo un obbligo giuridico: è una scelta strategica per mettere al sicuro il futuro del proprio business. Le imprese che si muoveranno subito non solo eviteranno sanzioni, ma potranno rafforzare la propria reputazione e trasformare la compliance in un vantaggio competitivo.