Sanzioni NIS2 nel 2026: 10 Milioni di Euro o il 2% del Fatturato — Cosa il Vostro Consiglio Deve Sapere
Un'azienda energetica di medie dimensioni in Germania riceve una lettera dalla BSI. Il termine di registrazione NIS2 è scaduto tre mesi fa. Non si sono mai registrati. La sanzione? Fino a 10 milioni di euro — o il 2% del fatturato annuo mondiale, il maggiore dei due. E ai sensi dell'articolo 20 della Direttiva NIS2, i membri del consiglio che non hanno approvato le misure di cybersecurity possono essere ritenuti personalmente responsabili.
Questo non è uno scenario ipotetico. (Se desidera comprendere l'intera gamma dei poteri esecutivi oltre le sanzioni pecuniarie, legga la nostra analisi precedente: 7 sanzioni NIS2 peggiori del denaro.) La legge tedesca di attuazione NIS2 è in vigore dal dicembre 2025, e circa 29.500 aziende sono ora sotto la supervisione della BSI. I Paesi Bassi, la Francia e una dozzina di altri Stati membri dell'UE seguono da vicino.
Se la vostra organizzazione rientra nell'ambito di applicazione di NIS2 e il vostro consiglio non ha ancora agito, la finestra per prepararsi senza pressione si sta chiudendo rapidamente.
Come funzionano realmente le sanzioni NIS2
La Direttiva NIS2 (UE 2022/2555) stabilisce due livelli di sanzioni ai sensi dell'articolo 34. Gli importi dipendono dalla classificazione della vostra organizzazione come entità essenziale o importante.
Le entità essenziali — energia, trasporti, sanità, settore bancario, infrastruttura digitale, acqua e fornitori di servizi ICT — affrontano sanzioni fino a 10 milioni di euro o il 2% del fatturato annuo mondiale totale, il maggiore dei due.
Le entità importanti — servizi postali, gestione dei rifiuti, produzione alimentare, chimica, manifattura e fornitori digitali — affrontano sanzioni fino a 7 milioni di euro o l'1,4% del fatturato annuo mondiale totale, il maggiore dei due.
La clausola "il maggiore dei due" è fondamentale. Per un'azienda con 800 milioni di euro di fatturato annuo, il 2% equivale a 16 milioni di euro — ben al di sopra del limite di 10 milioni. Gli importi fissi limitano solo le organizzazioni più piccole.
Unknown comparison key: finesComparison
Queste sanzioni si applicano a inadempimenti in due aree: la mancata attuazione delle misure di cybersecurity richieste (articolo 21) e il mancato rispetto degli obblighi di segnalazione degli incidenti (articolo 23). Le autorità nazionali possono inoltre imporre penalità periodiche per imporre la conformità continuativa.
Un esempio concreto
Considerate un fornitore di servizi IT gestiti con 50 milioni di euro di fatturato annuo, classificato come entità essenziale. Se un'autorità di regolamentazione rileva la mancanza di procedure adeguate di risposta agli incidenti e controlli di sicurezza della catena di approvvigionamento, l'esposizione massima alla sanzione è di 10 milioni di euro (poiché il 2% di 50 milioni è 1 milione, si applica il tetto fisso). Si tratta del 20% del fatturato annuo — sufficiente a minacciare la sopravvivenza dell'azienda.
Il Vostro Consiglio è Personalmente Responsabile
L'articolo 20 della Direttiva NIS2 introduce qualcosa che molti amministratori non hanno ancora pienamente compreso: la responsabilità dell'organo di gestione per la cybersecurity.
Il vostro consiglio deve:
- Approvare le misure di gestione del rischio di cybersecurity che la vostra organizzazione attua ai sensi dell'articolo 21
- Supervisionare l'attuazione di tali misure
- Completare una formazione regolare in cybersecurity — e assicurare che anche i dipendenti ricevano formazione continua
- Accettare la responsabilità per le violazioni dell'articolo 21
Questo non è un obbligo delegabile. La direttiva stabilisce esplicitamente che gli organi di gestione possono essere ritenuti responsabili per la non conformità. Per le entità essenziali, gli articoli 32 e 33 vanno oltre: le autorità competenti possono richiedere ai tribunali di vietare temporaneamente ai singoli amministratori di esercitare funzioni gestionali fino al raggiungimento della conformità.
L'ambito esatto della responsabilità personale varia a seconda dello Stato membro — Germania, Italia e Belgio hanno già implementato meccanismi specifici di responsabilità personale nelle rispettive legislazioni nazionali. Ma la direzione è chiara in tutta l'UE: la cybersecurity è ora una responsabilità a livello di consiglio, non un problema del reparto IT.
Cosa significa nella pratica
Se la vostra organizzazione subisce un incidente di cybersecurity significativo e l'autorità di regolamentazione scopre che il consiglio non ha mai approvato una politica di cybersecurity, non ha mai completato la formazione e non ha mai esaminato la postura di rischio dell'organizzazione — le conseguenze personali per gli amministratori vanno oltre la sanzione aziendale.
Le 10 Misure che la Vostra Organizzazione Deve Attuare
L'articolo 21 prescrive dieci misure minime di gestione del rischio di cybersecurity. Non sono facoltative e si applicano a ogni entità rientrante nell'ambito di applicazione:
- Analisi dei rischi e politiche di sicurezza delle informazioni — documentate, approvate dal consiglio
- Gestione degli incidenti — procedure che supportano le scadenze di segnalazione di 24/72 ore
- Continuità operativa — gestione dei backup, ripristino di emergenza e gestione delle crisi
- Sicurezza della catena di approvvigionamento — requisiti di sicurezza per fornitori diretti e prestatori di servizi
- Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi — inclusa la gestione delle vulnerabilità
- Valutazione dell'efficacia — politiche e procedure per valutare se le misure funzionano realmente
- Igiene informatica e formazione — pratiche di base per tutti i dipendenti
- Politiche di crittografia — inclusa la cifratura ove appropriato
- Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset
- Autenticazione a più fattori — e comunicazioni sicure ove appropriato
Articolo 21 — 10 Misure di Cybersicurezza NIS2
Articolo 21
10 Misure di Cybersicurezza
Governance & Strategia
1Analisi dei rischi & politiche di sicurezza delle informazioni6Valutazione dell'efficacia delle misure di sicurezzaIncidenti & Continuità
2Gestione degli incidenti & notifica3Continuità operativa & ripristino di emergenzaCatena di Fornitura & Sistemi
4Sicurezza della catena di fornitura5Sicurezza nello sviluppo di sistemi di rete e informativiControlli Tecnici
8Crittografia & cifratura10Autenticazione a più fattori & comunicazioni sicurePersone & Risorse
7Igiene informatica & formazione9Sicurezza HR & controllo degli accessi
Non è sicuro che la Sua organizzazione soddisfi questi 10 requisiti? Faccia il Quick Scan NIS2 gratuito — mappa la Sua postura attuale rispetto all'Articolo 21 in meno di 10 minuti.
Le misure più comunemente carenti nelle organizzazioni di medie dimensioni sono la sicurezza della catena di approvvigionamento, le procedure formali di gestione degli incidenti, la valutazione dell'efficacia e l'implementazione dell'MFA oltre la posta elettronica. Queste sono anche le aree su cui le autorità di regolamentazione si concentreranno presumibilmente per prime.
Segnalazione degli Incidenti: La Tempistica 24-72-30
L'articolo 23 stabilisce scadenze di segnalazione rigide per cui molte organizzazioni non sono preparate:
| Fase | Scadenza | Cosa dovete segnalare |
|---|---|---|
| Preallarme | 24 ore dopo esserne venuti a conoscenza | Se l'incidente è sospettato di origine dolosa; potenziale impatto transfrontaliero |
| Notifica dell'incidente | 72 ore dopo esserne venuti a conoscenza | Informazioni aggiornate, valutazione iniziale della gravità, indicatori di compromissione |
| Rapporto finale | 1 mese dopo la notifica | Analisi delle cause profonde, misure di mitigazione adottate, valutazione completa dell'impatto |
Cronologia delle Notifiche di Incidenti NIS2
24hAllerta Precoce
Notificare all'autorità competente (CSIRT/ANC) entro 24 ore dalla conoscenza di un incidente significativo.
Fase 172hNotifica dell'Incidente
Presentare una notifica dettagliata entro 72 ore con una valutazione iniziale della gravità, dell'impatto e degli indicatori di compromissione.
Fase 21moRapporto Finale
Consegnare un rapporto finale completo entro un mese che copra la causa principale, le misure adottate e l'impatto transfrontaliero.
Fase 324hAllerta Precoce
Notificare all'autorità competente (CSIRT/ANC) entro 24 ore dalla conoscenza di un incidente significativo.
72hNotifica dell'Incidente
Presentare una notifica dettagliata entro 72 ore con una valutazione iniziale della gravità, dell'impatto e degli indicatori di compromissione.
1moRapporto Finale
Consegnare un rapporto finale completo entro un mese che copra la causa principale, le misure adottate e l'impatto transfrontaliero.
Il mancato rispetto di queste scadenze espone la vostra organizzazione alle stesse sanzioni dell'articolo 34 previste per la mancata attuazione delle misure di sicurezza. Il preallarme di 24 ore è particolarmente impegnativo — richiede che la vostra organizzazione disponga già di processi di monitoraggio, classificazione ed escalation prima che si verifichi un incidente.
Dove si Trova l'Enforcement in Questo Momento
Il panorama dell'enforcement in Europa è disomogeneo, ma in accelerazione:
La Germania è pienamente operativa. La NIS2UmsuCG è entrata in vigore il 6 dicembre 2025. Il portale di registrazione della BSI ha aperto il 6 gennaio 2026, con scadenza di registrazione il 6 marzo 2026. Circa 29.500 entità rientrano nell'ambito — rispetto alle 4.500 del precedente regime NIS1.
I Paesi Bassi seguono da vicino. La Cyberbeveiligingswet (Cbw) era in dibattito parlamentare alla fine di marzo 2026, con entrata in vigore prevista nel Q2 2026. Il RDI supervisionerà l'infrastruttura digitale; l'ILT copre i trasporti. L'infrastruttura di registrazione è già disponibile per la preparazione anticipata.
La Francia ha lanciato il suo quadro ReCyF tramite l'ANSSI (marzo 2026) con 20 obiettivi di sicurezza per le entità essenziali e 15 per le entità importanti. Tuttavia, la legge di trasposizione francese non è ancora stata adottata — l'esame parlamentare è previsto per luglio 2026.
Belgio, Italia, Croazia, Ungheria e diversi altri Stati membri hanno completamente trasposto la direttiva. La Commissione Europea ha emesso pareri motivati verso 19 Stati membri nel maggio 2025 per il mancato rispetto della scadenza originale di ottobre 2024.
Stato di Attuazione NIS2 per Paese (2025–2026)
Pienamente in vigore
BelgioCroaziaUngheriaLituaniaLettoniaItalia6 paesiAdottata — fine 2025
GermaniaRepubblica CecaFinlandia3 paesiIn corso — previsto 2026
Paesi BassiFranciaSpagnaPoloniaAustriaSveziaIrlanda7 paesi
La conclusione: l'applicazione non è una preoccupazione futura. In molteplici Paesi dell'UE, sta avvenendo ora.
Cosa il Vostro Consiglio Dovrebbe Fare Questa Settimana
Non dovete risolvere tutto in una volta. Ma il vostro consiglio deve iniziare — visibilmente, formalmente e in modo documentato.
Passo 1: Determinate la vostra classificazione. Siete un'entità essenziale o importante? Le soglie sono chiare: 50+ dipendenti o fatturato di 10M+ euro in un settore coperto. Alcune entità (fornitori DNS, servizi fiduciari) rientrano sempre nell'ambito indipendentemente dalle dimensioni.
Passo 2: Coinvolgete formalmente il vostro consiglio. Programmate una delibera del consiglio che approvi un approccio di gestione del rischio di cybersecurity. Documentatelo. Questo risponde direttamente al requisito di responsabilità dell'articolo 20.
Passo 3: Prenotate la formazione per il management. La direttiva lo richiede. Una sessione non sarà sufficiente — deve essere continua. Assicuratevi che i membri del consiglio possano dimostrare di comprendere la postura di rischio cyber dell'organizzazione.
Passo 4: Valutate le vostre lacune attuali. Mappate le vostre misure di sicurezza esistenti rispetto ai 10 requisiti dell'articolo 21. Dove siete più deboli? La sicurezza della catena di approvvigionamento e la risposta agli incidenti sono lacune comuni.
Passo 5: Preparate la vostra capacità di segnalazione. La vostra organizzazione può rilevare, classificare e segnalare un incidente entro 24 ore? In caso contrario, quel processo deve essere costruito ora — non dopo il primo incidente.
Volete sapere a che punto è la vostra organizzazione? Avviate la scansione gratuita di preparazione NIS2 — richiede 10 minuti e vi offre un quadro chiaro delle vostre lacune di conformità rispetto all'articolo 21.
Il Costo dell'Attesa
Ogni mese di ritardo aumenta la vostra esposizione al rischio. La Germania sta già applicando le sanzioni. I Paesi Bassi sono a poche settimane. Francia, Spagna e Polonia sono in fasi avanzate di trasposizione.
Le sanzioni NIS2 sono progettate per essere proporzionate ma significative — abbastanza elevate da rendere l'ignorare la direttiva una scelta mai economicamente razionale. E con la responsabilità personale del consiglio ora sancita dal diritto dell'UE, le conseguenze vanno oltre il bilancio.
Le organizzazioni che agiscono ora spenderanno meno, affronteranno meno sorprese ed eviteranno la corsa quando l'enforcement inizierà sul serio. Il percorso di conformità è gestibile — ma solo se iniziate prima che lo faccia l'autorità di regolamentazione.
Lettura correlata: 7 sanzioni NIS2 peggiori del denaro — Oltre alle sanzioni pecuniarie, NIS2 conferisce alle autorità il potere di vietare ai dirigenti l'esercizio delle funzioni, di nominare pubblicamente la Sua organizzazione e di sospendere le Sue operazioni. Conosca il quadro completo.