Punti chiave
- Entità essenziali: multe fino a 10 milioni di euro o il 2% del fatturato globale annuo, il maggiore dei due.
- Entità importanti: fino a 7 milioni o l'1,4% del fatturato.
- Per la prima volta rispondono anche gli organi di gestione: la responsabilità arriva al vertice.
- La multa è solo una parte del conto: l'incidente che non vedi arrivare costa di più.
La risposta breve: con NIS2 una entità essenziale rischia fino a 10 milioni di euro o il 2% del fatturato globale annuo, a seconda di quale dei due è più alto. Per le entità importanti il tetto è 7 milioni o l'1,4%. Ma il numero che spaventa il consiglio di amministrazione è un altro: per la prima volta una direttiva europea fa rispondere anche chi dirige l'azienda.
Quanto si rischia: i numeri esatti
NIS2 distingue due categorie di soggetti, con due soglie diverse.
- Entità essenziali (energia, sanità, banche, infrastrutture digitali, trasporti e altri settori critici): sanzioni fino a 10 milioni di euro o al 2% del fatturato globale annuo, si applica l'importo maggiore.
- Entità importanti (manifatturiero, alimentare, chimica, fornitori digitali e altri): fino a 7 milioni di euro o all'1,4% del fatturato.
La parola chiave è "il maggiore dei due". Per un'azienda da 150 milioni di fatturato, il 2% sono 3 milioni: ben oltre molti budget di sicurezza annuali. La sanzione è calibrata per farsi sentire dove si decide il budget.
La novità vera: paga anche chi dirige
Fino a ieri la sicurezza informatica era un problema dell'IT. Con NIS2 diventa un tema da consiglio di amministrazione, perché la direttiva (in Italia recepita dal D.Lgs 138/2024) prevede la responsabilità degli organi di gestione. Amministratori e dirigenti devono approvare le misure di gestione del rischio, vigilare sulla loro attuazione e formarsi sul tema. Per le entità essenziali è prevista anche la possibilità di sospendere temporaneamente dirigenti dalle funzioni.
Tradotto: il rischio non resta più confinato in un capitolo di spesa, sale fino alla firma di chi guida l'azienda. Per questo serve che la conformità sia spiegabile al vertice, non solo "fatta" dall'IT. Se vuoi capire prima di tutto se rientri tra i soggetti obbligati, parti da chi si applica la NIS2.
Non serve un attacco per essere sanzionati
Un equivoco comune: "se non mi attaccano, non mi multano". Falso. Le autorità di vigilanza (in Italia l'ACN) possono verificare l'adozione delle misure e sanzionare la loro assenza a prescindere da un incidente. I controlli arrivano dopo la fase di registrazione, completata a inizio 2025, con gli obblighi di base che entrano a regime secondo la timeline scandita da ACN tra 2025 e 2026.
La conseguenza pratica: aspettare "di vedere come va" è la strategia più costosa. Quando arriva la verifica, le misure devono già esserci.
Oltre la multa: il conto che non vedi
Concentrarsi solo sulla sanzione fa perdere di vista la parte più cara. In Italia gli incidenti gravi sono cresciuti del 40% in un anno (Clusit 2025), il costo medio di una violazione è intorno ai 3,6 milioni di euro (IBM), e il tempo medio per accorgersi di un attaccante resta nell'ordine dei mesi, non delle ore. La multa NIS2 si somma al fermo operativo, al riscatto, alla perdita di clienti e al danno di reputazione.
E qui sta il punto che NIS2 in fondo ti sta chiedendo: non "paga e mettiti in regola", ma "sii in grado di accorgerti e reagire". Abbiamo raccontato perché il tempo di scoperta è la vera metrica in quanto tempo serve per accorgersi di un attacco.
Come si abbassa il rischio (sul serio)
Tre passi concreti, in ordine:
- Capire dove sei. Mappare le 10 misure dell'articolo 21 alle capacità che hai davvero. È un gap analysis: dice cosa manca, non cosa dovrebbe esistere in teoria.
- Chiudere i gap che pesano. Di solito i buchi non sono nei firewall, ma nella capacità di detection e response continua: accorgersi di notte, nel weekend, quando non guarda nessuno.
- Rendere tutto dimostrabile. Le misure vanno documentate e spiegabili al vertice, perché è il vertice a rispondere.
AmagisTech costruisce questo percorso per il mid-market italiano: dal cosa fare per non rischiare le sanzioni fino alla detection 24/7 sul campo. Se vuoi vedere a che punto sei, parti dai nostri servizi NIS2 o leggi i 5 rischi concreti oltre la multa.
In sintesi: la NIS2 non è una multa da mettere a budget, è un cambio di responsabilità che arriva fino al CdA. Il modo più economico di gestirla è sapere oggi dove sei, prima che lo scopra l'autorità di vigilanza o un attaccante.