Sanzioni NIS2: cosa prevede il § 65 BSIG
Il § 65 BSIG fissa importi massimi. Violare le misure di sicurezza o l'obbligo di notifica può comportare una sanzione fino a 10 milioni di euro (soggetto essenziale) o 7 milioni di euro (soggetto importante). Per una registrazione mancata il limite è di 500.000 euro. Sono limiti massimi, non importi fissi. L'autorità che decide è il BSI.
Quale violazione ha quale limite massimo
I casi principali del § 65 BSIG. Il primo importo vale per i soggetti essenziali, il secondo per quelli importanti. Dove c'è un solo importo, vale per entrambi.
| Violazione | Importo massimo |
|---|---|
| Misure di sicurezza non adottate, non adottate correttamente o non in tempo§ 65(2) n. 2 | 10 mln € / 7 mln € |
| Attuazione delle misure non documentata§ 65(2) n. 3 | 10 mln € / 7 mln € |
| Incidente significativo non notificato, notificato in modo errato o in ritardo, relazione finale mancata§ 65(2) nn. 4 e 5 | 10 mln € / 7 mln € |
| Ordine del BSI di informare i clienti su un incidente non seguito§ 65(2) n. 1(d) | 10 mln € / 7 mln € |
| Registrazione assente o tardiva, dati non trasmessi§ 65(2) n. 6 | 500.000 € |
| Determinati ordini del BSI non seguiti, come presentare prove§ 65(2) n. 1(c) | 500.000 € |
| Accesso, documenti o informazioni rifiutati durante un'ispezione del BSI§ 65(2) n. 17 | 100.000 € |
Gli importi massimi sono nel § 65(5) BSIG.
Quando si applica una percentuale del fatturato
Per le aziende molto grandi la sanzione può essere più alta: fino al 2 per cento (soggetto essenziale) o all'1,4 per cento (soggetto importante) del fatturato totale mondiale. Vale solo se questo fatturato supera i 500 milioni di euro.
Conta il fatturato dell'impresa a cui appartiene il soggetto, nell'esercizio precedente alla decisione. Può essere stimato.
La direttiva UE prevede il valore più alto tra importo fisso e percentuale (Art. 34(4) e (5) NIS 2). La legge tedesca lega la percentuale alla soglia di 500 milioni di euro di fatturato.
§ 65(6)-(8) BSIG
Chi decide, e come
Le sanzioni del § 65 BSIG le infligge il BSI. Sono illeciti amministrativi; il procedimento segue la legge tedesca sugli illeciti amministrativi.
Gli importi sono limiti massimi. Quanto sia alta una sanzione nel singolo caso dipende, secondo la direttiva, da fattori come la gravità e la durata della violazione, violazioni precedenti, il danno, il dolo o la negligenza e la collaborazione con l'autorità.
Se un'autorità per la protezione dei dati ha già sanzionato lo stesso comportamento in base al GDPR, il BSI non può infliggere un'altra sanzione.
Al nostro ultimo controllo, ad agosto 2026, il BSI non aveva pubblicato alcuna sanzione in base al nuovo BSIG.
§ 65(10) e (11) BSIG · Art. 32(7), Art. 34(3) NIS 2
E la direzione?
Separatamente dalle sanzioni, il § 38 BSIG stabilisce gli obblighi della direzione: attuare le misure, vigilare sulla loro attuazione, partecipare regolarmente a una formazione. Se la direzione li viola con colpa, risponde del danno verso la propria azienda secondo il diritto societario.
Per i soggetti essenziali, l'autorità di vigilanza può, come ultima risorsa, vietare temporaneamente alla direzione di esercitare le proprie funzioni se gli ordini del BSI non vengono seguiti nonostante una scadenza (§ 61(9) BSIG).
Responsabilità della direzione secondo il § 38 BSIGCosa significa per un'azienda con 50-150 dipendenti
Con 50-249 dipendenti, un'azienda è di solito un soggetto importante. A questa dimensione è essenziale solo se, in un settore dell'allegato 1, ha più di 50 milioni di euro di fatturato e più di 43 milioni di euro di totale di bilancio, oppure se gestisce un impianto critico (§ 28 BSIG).
Per un soggetto importante il limite massimo per misure e notifiche è quindi di 7 milioni di euro. Una percentuale del fatturato entra in gioco solo da 500 milioni di euro di fatturato.
Gli obblighi con i limiti più alti sono quelli che vanno comunque rispettati: adottare le misure, documentarle, notificare gli incidenti significativi.
Un esempio
Un'azienda inventata: un produttore di macchine utensili con 140 dipendenti e 28 milioni di euro di fatturato.
La costruzione di macchinari figura nell'allegato 2 del BSIG. Con 140 dipendenti l'azienda è un soggetto importante.
Valgono i limiti massimi fissi: fino a 7 milioni di euro per misure e notifiche, fino a 500.000 euro per la registrazione. Una percentuale del fatturato non entra in gioco.
Essendo un soggetto importante, il BSI la ispeziona solo se dei fatti fanno ritenere che non rispetti il § 30, il § 32 o il § 38(3) BSIG (§ 62 BSIG).
L'azienda è registrata, ha documentato le sue misure e sa chi notifica un incidente. Così copre gli obblighi a cui la legge collega gli importi più alti.
Come lo fa il percorso guidato
Il percorso guidato su nisd2.eu ti accompagna negli obblighi a cui il § 65 BSIG collega gli importi più alti.
Ognuna delle dieci aree del § 30(2) BSIG diventa almeno un passo che compili.
Ciò che decidi è poi messo per iscritto: come documento ricavato dalle tue risposte, o come elenco dove un elenco basta.
Un passo mostra le tre scadenze di notifica e chiede se puoi accedere al portale del BSI e notificare.
Un passo registra la tua registrazione presso il BSI.
Alla fine la direzione approva i documenti nell'app, accedendo con il proprio account.
Domande frequenti
In Germania sono già state inflitte sanzioni NIS2?
Al nostro ultimo controllo, ad agosto 2026, il BSI non aveva pubblicato alcuna sanzione in base al nuovo BSIG. Gli importi massimi si applicano dal 6 dicembre 2025.
La sanzione è sempre di 10 milioni di euro?
No. 10 milioni di euro è il limite massimo per i soggetti essenziali in caso di violazione delle misure e dell'obbligo di notifica. L'importo nel singolo caso dipende da fattori come la gravità, la durata e le conseguenze della violazione.
La percentuale del fatturato vale anche per le PMI?
Solo se il fatturato totale dell'impresa a cui appartiene il soggetto supera i 500 milioni di euro (§ 65(6) e (7) BSIG). Altrimenti valgono gli importi massimi fissi.
Chi infligge le sanzioni NIS2 in Germania?
Il BSI (§ 65(10) BSIG).
Può esserci anche una sanzione GDPR?
Non per lo stesso comportamento. Se un'autorità per la protezione dei dati lo ha già sanzionato, il BSI non può infliggere un'altra sanzione (§ 65(11) BSIG).
Fonti
- Legge sul BSI (BSIG) §§ 28, 30, 32, 33, 38, 61, 62, 65, gesetze-im-internet.de/bsig_2025
- Direttiva (UE) 2022/2555 (NIS 2), Art. 32(7) e Art. 34, EUR-Lex
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Quanto costa il percorso guidato
4800 € netti all'anno, più IVA
Rimborso entro 30 giorniCon fattura, da pagare entro 30 giorni. Annullamento entro i primi 30 giorni: fattura annullata o rimborso.
Implementazione guidata della NIS 2, passo dopo passo
Una cronologia di modifiche e approvazioni da mostrare alla tua autorità di vigilanza
Scadenze e promemoria per ogni requisito
Questionario di sicurezza per i tuoi fornitori
Esportazione in PDF o CSV in qualsiasi momento
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
