Sanzioni NIS2 e GDPR: quanto costa non adeguarsi

Le norme europee sulla protezione dei dati e sulla sicurezza informatica prevedono sanzioni elevate, pensate per essere significative anche per le grandi organizzazioni. Conoscerle aiuta chi decide a valutare il rischio di non adeguarsi. Ma, come vedremo, la sanzione è raramente il costo più alto.

GDPR

Il Regolamento generale sulla protezione dei dati prevede due fasce di sanzioni amministrative pecuniarie:

• fino a 10 milioni di euro o al 2% del fatturato mondiale annuo dell'esercizio precedente, se superiore, per violazioni come quelle relative alla sicurezza del trattamento, alla notifica delle violazioni, al registro dei trattamenti o agli obblighi verso il DPO;
• fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore, per violazioni dei principi fondamentali, delle basi giuridiche, dei diritti degli interessati e dei trasferimenti di dati fuori dall'Unione.

Il Garante può inoltre adottare misure correttive: ordinare di conformare i trattamenti, limitarli o vietarli, imporre di comunicare una violazione agli interessati. Le persone danneggiate possono chiedere il risarcimento dei danni.

Le sanzioni si applicano anche alle pubbliche amministrazioni.

NIS2

Il decreto legislativo 138/2024 prevede sanzioni per la violazione degli obblighi di gestione del rischio e di notifica degli incidenti:

• per i soggetti essenziali: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore;
• per i soggetti importanti: fino a 7 milioni di euro o all'1,4% del fatturato mondiale annuo, se superiore.

Per le pubbliche amministrazioni il decreto prevede un regime specifico. Sono previste sanzioni anche per altri inadempimenti, come la mancata registrazione sulla piattaforma dell'ACN.

Accanto alle sanzioni economiche, il decreto prevede misure che riguardano le persone: nei casi più gravi, chi ricopre ruoli di vertice può essere temporaneamente sospeso dalle funzioni dirigenziali nel soggetto interessato.

Altre norme

Per alcune pubbliche amministrazioni, la legge 90/2024 prevede sanzioni per la mancata segnalazione reiterata degli incidenti all'ACN, da 25.000 a 125.000 euro, oltre a profili di responsabilità per i dirigenti. Altre norme, come quelle sulla responsabilità degli enti per i reati informatici o le regole settoriali di banche, assicurazioni e sanità, possono aggiungere ulteriori conseguenze.

Il costo vero di un incidente

Le sanzioni fanno notizia, ma per la maggior parte delle organizzazioni i costi principali di un incidente grave sono altri:

• fermo operativo: giorni o settimane senza produzione, vendite o servizi;
• ripristino: specialisti, ricostruzione dei sistemi, recupero dei dati;
• risarcimenti a clienti, partner e persone coinvolte;
• perdita di clienti e di contratti, anche negli anni successivi;
• danno di reputazione, particolarmente pesante per chi gestisce dati delicati o servizi pubblici;
• tempo dei vertici, sottratto per settimane alla gestione ordinaria.

Come le autorità valutano

Nel decidere l'entità di una sanzione, le autorità considerano tra l'altro la gravità e la durata della violazione, il numero di persone coinvolte, l'intenzionalità o la negligenza, le misure adottate per attenuare il danno, la collaborazione con l'autorità e le misure di sicurezza già in essere. Un'organizzazione che ha documentato le proprie scelte, notificato in tempo e collaborato si trova in una posizione molto diversa da chi ha ignorato gli obblighi.

In sintesi

Le sanzioni previste da GDPR e NIS2 sono elevate, ma sono solo una parte del conto. Investire nella sicurezza e documentare le scelte fatte è il modo migliore per ridurre sia la probabilità di un incidente sia le sue conseguenze.