Le sanzioni per le violazioni della sicurezza informatica sono concentrate nelle mani del Garante della privacy, anche quelle relative a inosservanze degli standard fissati dal decreto NIS2 (D.Lgs. 138/2024). Se viene a conoscenza di tali illeciti, l’ACN (Agenzia per la cybersicurezza nazionale) deve darne informazione al Garante e deve astenersi dall’irrogare sanzioni, nel caso in cui a provvedere in tale senso sia l’autorità per la protezione dei dati personali. Si applica, quindi, la regola del ne bis in idem e il potere sanzionatorio dell’ACN è, quindi, residuale.

Confronto tra Gdpr e decreto NIS2

L’art. 32 del Gdpr (Reg. UE 2016/679) impone al titolare del trattamento di mettere in atto misure tecniche e organizzative mirate a garantire un livello di sicurezza adeguato al rischio, tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del livello di rischio di probabilità e gravità per i diritti e le libertà delle persone fisiche.

In maniera molto simile all’art. 32 Gdpr, l’