La Direttiva NIS2 introduce le sanzioni per la cybersicurezza più severe della storia europea. I soggetti essenziali rischiano multe fino a 10 milioni di euro o il 2% del fatturato annuo mondiale totale, a seconda di quale importo sia superiore. I soggetti importanti rischiano multe fino a 7 milioni di euro o l'1,4% del fatturato globale. Ma le sanzioni pecuniarie sono solo una parte del quadro: la NIS2 introduce anche la responsabilità personale per il top management, rendendo i dirigenti C-suite direttamente responsabili per le carenze nella cybersicurezza. Questo articolo fornisce un'analisi completa di ciò che le organizzazioni rischiano in caso di mancata conformità.
Punti Chiave
- Soggetti essenziali: Multe fino a 10 milioni di euro o il 2% del fatturato annuo globale (il maggiore dei due).
- Soggetti importanti: Multe fino a 7 milioni di euro o l'1,4% del fatturato annuo globale.
- Responsabilità personale: I dirigenti possono essere ritenuti individualmente responsabili, incluso il divieto temporaneo di esercitare funzioni dirigenziali.
- L'applicazione e attiva: Le autorità nazionali dispongono di ampi poteri, tra cui ispezioni in loco, audit di sicurezza e ordini di conformità.
- Le sanzioni superano molte multe GDPR: Per le aziende di medie dimensioni, le multe NIS2 possono rappresentare un impatto finanziario più severo rispetto al GDPR.
La Struttura Sanzionatoria a Due Livelli
La NIS2 stabilisce una chiara distinzione tra soggetti essenziali e importanti, con sanzioni proporzionate. Questo approccio a due livelli rispecchia il modello GDPR ma e specificamente calibrato per la gestione del rischio di cybersicurezza.
Soggetti Essenziali: Sanzioni Massime
| Tipo di Sanzione | Importo Massimo |
|---|---|
| Multa massima fissa | 10.000.000 EUR |
| Massimo basato sul fatturato | 2% del fatturato annuo mondiale totale |
| Massimo applicato | Il maggiore tra i due |
I soggetti essenziali includono organizzazioni in settori quali energia, trasporti, banche, sanita, acqua potabile, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio. Per una grande azienda energetica con 5 miliardi di euro di fatturato annuo, il limite basato sul fatturato potrebbe significare una potenziale multa di 100 milioni di euro, ben oltre il tetto fisso di 10 milioni.
Soggetti Importanti: Sanzioni Massime
| Tipo di Sanzione | Importo Massimo |
|---|---|
| Multa massima fissa | 7.000.000 EUR |
| Massimo basato sul fatturato | 1,4% del fatturato annuo mondiale totale |
| Massimo applicato | Il maggiore tra i due |
I soggetti importanti includono organizzazioni in settori quali servizi postali, gestione dei rifiuti, produzione chimica, produzione alimentare, manifattura, fornitori digitali e organizzazioni di ricerca.
Cosa Determina una Sanzione?
Le sanzioni ai sensi della NIS2 possono essere attivate da diverse categorie di non conformità:
- Mancata implementazione delle misure di gestione del rischio (Articolo 21): Non disporre di adeguate politiche di cybersicurezza, procedure di gestione degli incidenti, piani di continuita operativa, sicurezza della supply chain o pratiche di cifratura.
- Mancata segnalazione degli incidenti (Articolo 23): Non inviare il pre-allarme entro 24 ore, la notifica dell'incidente entro 72 ore o la relazione finale entro un mese al CSIRT competente.
- Mancata registrazione presso l'autorità competente: Non completare il processo di registrazione obbligatorio entro i termini previsti.
- Mancata cooperazione con le autorità: Rifiutare di conformarsi a istruzioni vincolanti, ostacolare gli audit di sicurezza o non affrontare le vulnerabilità identificate entro le scadenze stabilite.
- Inadempienze degli organi di gestione (Articolo 20): Il top management che non approva o non supervisiona le misure di gestione del rischio di cybersicurezza, o che non completa la formazione obbligatoria sulla cybersicurezza.
Responsabilità Personale per i Dirigenti C-Suite
L'Articolo 20 della NIS2 rappresenta un cambio di paradigma nella regolamentazione europea della cybersicurezza. Per la prima volta, i membri del top management possono essere ritenuti individualmente e personalmente responsabili per carenze nella governance della cybersicurezza.
Gli obblighi specifici per gli organi di gestione includono:
- Approvare le misure di gestione del rischio di cybersicurezza adottate ai sensi dell'Articolo 21
- Supervisionare l'implementazione di tali misure
- Seguire una formazione specifica sulla cybersicurezza
- Offrire formazione analoga a tutti i dipendenti su base regolare
Se gli organi di gestione non adempiono a questi obblighi, gli Stati Membri devono garantire che possano essere ritenuti responsabili. Le sanzioni per le persone fisiche possono includere:
- Sospensione temporanea dalle funzioni dirigenziali: Le autorità nazionali possono vietare temporaneamente a individui di esercitare responsabilità gestionali nei soggetti essenziali.
- Divulgazione pubblica: Le autorità possono identificare pubblicamente la persona fisica responsabile della violazione e la natura dell'infrazione.
- Sanzioni pecuniarie personali: A seconda del recepimento nazionale, possono applicarsi multe individuali.
Secondo un rapporto Gartner (2024), entro il 2026, il 75% dei CEO sara personalmente responsabile per gli incidenti di sicurezza cyber-fisica a seguito di normative come la NIS2. Questa previsione sottolinea l'urgenza del coinvolgimento del consiglio di amministrazione nella cybersicurezza.
Meccanismi di Applicazione
La NIS2 conferisce alle autorità nazionali competenti ampi poteri di supervisione e applicazione. Questi variano leggermente tra soggetti essenziali e importanti.
Supervisione dei Soggetti Essenziali (Articolo 32)
Le autorità dispongono di poteri di supervisione proattivi, ex ante, tra cui:
- Ispezioni in loco e supervisione da remoto
- Audit di sicurezza regolari e ad hoc eseguiti da revisori qualificati
- Scansioni di sicurezza mirate basate sulla valutazione del rischio
- Richieste di informazioni e prove di conformità
- Accesso a dati, documenti e qualsiasi informazione necessaria per svolgere compiti di supervisione
Supervisione dei Soggetti Importanti (Articolo 33)
Le autorità dispongono di poteri di supervisione reattivi, ex post, che si attivano quando vengono presentate prove di non conformità. Questi includono:
- Ispezioni in loco
- Audit di sicurezza mirati
- Scansioni di sicurezza
- Richieste di informazioni
Azioni di Applicazione Disponibili
Quando viene identificata una non conformità, le autorità possono adottare le seguenti azioni (in ordine crescente di severità):
- Avvertimenti: Notifica formale di non conformità con termine per rimediare.
- Istruzioni vincolanti: Ordini specifici e obbligatori per implementare misure particolari o correggere carenze.
- Ordini di cessazione: Richieste di interrompere pratiche che violano gli obblighi NIS2.
- Designazione di un responsabile del monitoraggio: Per i soggetti essenziali, le autorità possono nominare un responsabile indipendente per supervisionare la conformità.
- Sanzioni amministrative: Le sanzioni pecuniarie sopra descritte.
- Sospensione temporanea delle certificazioni: Le autorità possono sospendere certificazioni o autorizzazioni pertinenti.
- Divieto temporaneo di gestione: Per i soggetti essenziali, divieto temporaneo per le persone fisiche di esercitare funzioni dirigenziali.
NIS2 vs GDPR: Confronto delle Sanzioni
Molte organizzazioni hanno già familiarita con le sanzioni GDPR. Ecco come si confronta la NIS2:
| Aspetto | NIS2 | GDPR |
|---|---|---|
| Multa massima (essenziali/livello superiore) | 10M EUR o 2% del fatturato | 20M EUR o 4% del fatturato |
| Multa massima (importanti/livello inferiore) | 7M EUR o 1,4% del fatturato | 10M EUR o 2% del fatturato |
| Responsabilità personale | Si, esplicita nella direttiva | Limitata, tramite legge nazionale |
| Divieto di gestione | Si, per soggetti essenziali | No |
| Identificazione pubblica | Si | Si |
| Termine segnalazione incidente | 24 ore (pre-allarme) | 72 ore |
Sebbene il GDPR preveda multe massime più elevate sulla carta, la NIS2 e probabilmente più minacciosa a livello personale per i dirigenti a causa delle disposizioni esplicite sulla responsabilità personale e sul divieto di gestione. Inoltre, un singolo incidente di cybersicurezza può attivare sanzioni ai sensi di entrambe le normative se sono coinvolti dati personali, anche se l'Articolo 35 della NIS2 prevede che le sanzioni GDPR per lo stesso incidente debbano essere prese in considerazione.
Tendenze nell'Applicazione
Sebbene l'applicazione della NIS2 sia nelle fasi iniziali, l'attività di enforcement sotto la Direttiva NIS originale e le prime implementazioni NIS2 forniscono indicatori su cosa aspettarsi:
- Francia (ANSSI): Sotto la NIS1, l'ANSSI ha emesso molteplici ordini di conformità agli operatori del settore energetico e ha condotto oltre 200 audit di sicurezza tra il 2020 e il 2024. Con la NIS2, il mandato e il budget di applicazione dell'ANSSI si sono ampliati significativamente.
- Germania (BSI): Il BSI e stato uno degli applicatori NIS1 più attivi, con casi documentati di istruzioni vincolanti emesse a operatori di infrastrutture critiche per capacità inadeguate di risposta agli incidenti.
- Italia (ACN): L'Agenzia per la Cybersicurezza Nazionale sta potenziando la capacità di applicazione, con piani per condurre audit sistematici dei soggetti essenziali a partire dal 2026. L'ACN ha già pubblicato linee guida settoriali che serviranno come base per le valutazioni di conformità.
- Paesi Bassi: Le autorità olandesi hanno multato un fornitore di telecomunicazioni per 525.000 euro ai sensi della NIS1 per non aver segnalato tempestivamente un incidente significativo, una delle prime sanzioni pecuniarie NIS in Europa.
Secondo l'ENISA NIS Investment Report 2024, il 46% delle organizzazioni intervistate prevedeva di aumentare il proprio budget di cybersicurezza di oltre il 10% specificamente per soddisfare i requisiti NIS2, indicando che la minaccia delle sanzioni sta già guidando gli investimenti.
Come Minimizzare il Rischio
La strategia più efficace per evitare le sanzioni NIS2 e la conformità proattiva. Le azioni chiave includono:
- Iniziare con una gap analysis: Identificare dove la propria postura di cybersicurezza attuale non soddisfa i requisiti NIS2.
- Coinvolgere il top management da subito: Assicurarsi che il C-suite comprenda la propria responsabilità personale e partecipi attivamente alla governance della cybersicurezza.
- Implementare tutte le misure dell'Articolo 21: Affrontare sistematicamente tutte le 10 categorie di misure di gestione del rischio.
- Costruire la capacità di segnalazione degli incidenti: Assicurarsi di poter soddisfare il requisito del pre-allarme entro 24 ore.
- Documentare tutto: Mantenere evidenze di conformità per audit e ispezioni.
- Avvalersi di supporto esperto: Collaborare con aziende specializzate in cybersicurezza per garantire una conformità completa.
Le soluzioni Orizon per la conformità NIS2 aiutano le organizzazioni ad affrontare sistematicamente tutti i requisiti, minimizzando sia il rischio di sanzioni che l'impatto operativo degli sforzi di conformità.
Domande Frequenti
Un'azienda può ricevere sanzioni sia NIS2 che GDPR per lo stesso incidente?
Si, e possibile. Se un incidente di cybersicurezza coinvolge dati personali, possono applicarsi sanzioni sia NIS2 che GDPR. Tuttavia, l'Articolo 35 della NIS2 richiede che le sanzioni imposte ai sensi del GDPR per gli stessi fatti siano prese in considerazione, al fine di evitare una doppia punizione sproporzionata.
I CEO e i membri del consiglio sono personalmente a rischio?
Sì. L'Articolo 20 della NIS2 stabilisce che gli organi di gestione devono approvare e supervisionare le misure di cybersicurezza. La mancata osservanza può comportare sanzioni personali, incluso il divieto temporaneo di esercitare funzioni dirigenziali nei soggetti essenziali.
Quando inizieranno ad essere applicate le multe NIS2?
Le tempistiche di applicazione dipendono dal recepimento di ciascuno Stato Membro. L'Italia, attraverso il D.Lgs. 138/2024, ha fissato l'inizio della piena applicazione delle sanzioni dal 2026. Altri Stati Membri hanno tempistiche simili. Le organizzazioni non dovrebbero attendere l'inizio dell'applicazione prima di raggiungere la conformità.
Come vengono calcolate le multe ai sensi della NIS2?
La NIS2 fissa soglie massime ma lascia la metodologia di calcolo specifica alle autorità nazionali. I fattori che probabilmente influenzeranno l'importo delle multe includono la gravita e la durata dell'infrazione, le violazioni precedenti, l'impatto sugli utenti e sull'economia, il grado di cooperazione con le autorità e le misure adottate per mitigare i danni.