La conformità al D.Lgs. 138/2024 (NIS2) non rappresenta un mero adempimento formale, ma un imperativo strategico e legale. Il legislatore ha introdotto un impianto sanzionatorio estremamente severo, mutuato dal modello del GDPR, con l'obiettivo di punire severamente l'inerzia aziendale e garantire un livello elevato di cybersicurezza comune.
Le conseguenze della mancata compliance si articolano su tre livelli: sanzioni pecuniarie di natura amministrativa, responsabilità personali degli amministratori e provvedimenti interdittivi sul business. Di seguito, se ne elencano le principali.
Le sanzioni economiche sono proporzionate al fatturato globale dell'organizzazione e variano in base alla qualifica del soggetto:
Soggetti Essenziali: Sanzioni fino a 10 milioni di euro o fino al 2% del fatturato mondiale annuo (si applica l'importo maggiore).
Soggetti Importanti: Sanzioni fino a 7 milioni di euro o fino all'1,4% del fatturato mondiale annuo (si applica l'importo maggiore).
Nota bene: Le sanzioni colpiscono sia l'assenza di adeguate misure di sicurezza, sia l'omessa o tardiva notifica degli incidenti informatici all'ACN.
Questa è la reale rivoluzione della NIS2. Gli organi di amministrazione e direttivi aziendali (CdA, Amministratori Delegati, Direttori Generali, ecc.) rispondono personalmente e direttamente della mancata compliance.
In caso di gravi violazioni, l'Agenzia per la Cybersicurezza Nazionale (ACN) ha il potere di:
Richiedere la sospensione temporanea delle cariche dirigenziali e del legale rappresentante.
Vietare l'esercizio di funzioni di direzione all'interno dell'azienda fino al completo adeguamento normativo.
Oltre alle sanzioni delle Autorità, la non-conformità espone l'azienda a:
Esclusione dalla Supply Chain: Perdita di contratti con grandi committenti obbligati a tagliare i legami con fornitori non a norma.
Rischio di rivalsa: Richieste di risarcimento da parte di terzi danneggiati da un attacco cyber.
Inoperatività assicurativa: Rifiuto di risarcimento da parte delle polizze Cyber Risk per mancato rispetto dei requisiti minimi di legge.
Il Regolamento europeo sull'intelligenza artificiale (Regolamento UE 2024/1689) prevede una struttura sanzionatoria a scaglioni, calibrata sulla gravità intrinseca della violazione rispetto ai livelli di rischio dei sistemi:
Utilizzo di Pratiche Vietate (Rischio Inaccettabile): La commercializzazione o l'impiego di sistemi di IA proibiti (es. manipolazione comportamentale, riconoscimento delle emozioni sul posto di lavoro) comporta le sanzioni più severe: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore;
Violazione degli Obblighi sui Sistemi ad Alto Rischio: L'inosservanza dei requisiti di governance, trasparenza e monitoraggio per i sistemi ad alto rischio (es. algoritmi di selezione del personale o scoring del credito) prevede sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale annuo;
Fornitura di Informazioni Inesatte o Fuorvianti: La trasmissione di dati non corretti alle autorità di controllo o agli organismi notificati è punita con sanzioni fino a 7,5 milioni di euro o all'1,5% del fatturato.
Nota per le PMI: Il Regolamento prevede tetti massimi agevolati e proporzionali per le piccole e medie imprese e per le start-up, ma l'impatto economico residuo rimane comunque potenzialmente letale per il business.
Le sanzioni non sono automatiche: le Autorità commisurano l'entità delle sanzioni valutando la gravità della colpa e gli sforzi concreti compiuti dall'azienda. Dimostrare di aver avviato un piano di adeguamento e una rigorosa analisi dei gap, sia sui sistemi informativi che sui software di intelligenza artificiale in uso, costituisce la prima e più efficace linea di difesa legale per la società e per i suoi amministratori.
Noi supportiamo la governance nella pianificazione di un percorso di compliance accelerato e integrato (NIS2 e AI Act) per blindare l'azienda da contestazioni, responsabilità e sanzioni pecuniarie.