9-6-2018 GAZZETTA UFFICIALE DELLA REPUBBLICA ITALIANA Serie generale - n. 132 Art. 21. Sanzioni amministrative 1. Salvo che il fatto costituisca reato, l’operatore di servizi essenziali che non adotta le misure tecniche e organizzative adeguate e proporzionate per la gestione del rischio per la sicurezza della rete e dei sistemi informativi, ai sensi dell’articolo 12, comma 1, è soggetto ad una sanzione amministrativa pecuniaria da 12.000 euro a 120.000 euro. La sanzione è ridotta di un terzo se lo stesso fatto è commesso da un fornitore di servizio digitale, in violazione degli obblighi di cui all’articolo 14, comma 1. 2. Salvo che il fatto costituisca reato, l’operatore di servizi essenziali che non adotta le misure adeguate per prevenire e minimizzare l’impatto di incidenti a carico della sicurezza della rete e dei sistemi informativi utilizzati per la fornitura dei servizi essenziali, ai sensi dell’articolo 12, comma 2, è soggetto ad una sanzione amministrativa pecuniaria da 12.000 euro a 120.000 euro. La sanzione è ridotta di un terzo se lo stesso fatto è commesso da un fornitore di servizio digitale, in violazione degli obblighi di cui all’articolo 14, comma 3. 3. Salvo che il fatto costituisca reato, l’operatore di servizio essenziale che non notifica al CSIRT italiano gli incidenti aventi un impatto rilevante sulla continuità dei servizi essenziali forniti, ai sensi dell’articolo 12, comma 5, è soggetto ad una sanzione amministrativa pecuniaria da 25.000 euro a 125.000 euro. 4. Salvo che il fatto costituisca reato, l’operatore di servizio essenziale che non ottempera agli obblighi, ai sensi dell’articolo 13, comma 2, è soggetto ad una sanzione amministrativa pecuniaria da 12.000 euro a 120.000 euro. 5. Salvo che il fatto costituisca reato, l’operatore di servizio essenziale che non osserva le istruzioni, ai sensi dell’articolo 13, comma 4, è soggetto ad una sanzione amministrativa pecuniaria da 15.000 euro a 150.000 euro. 6. Salvo che il fatto costituisca reato, il fornitore di servizio digitale che non notifica al CSIRT italiano gli incidenti aventi un impatto rilevante sulla fornitura di un servizio fornito, ai sensi dell’articolo 14, comma 4, è soggetto ad una sanzione amministrativa pecuniaria da 25.000 euro a 125.000 euro. 7. Salvo che il fatto costituisca reato, l’operatore di servizi essenziali dipendente da terze parti che fornisce servizi digitali per la fornitura di un servizio che è indispensabile per il mantenimento di attività economiche e sociali fondamentali, che ometta la notifica, ai sensi dell’articolo 14, comma 9, è soggetto ad una sanzione amministrativa pecuniaria da 12.000 euro a 120.000 euro. 8. Salvo che il fatto costituisca reato, il fornitore di servizi digitali che non osserva gli obblighi ai sensi dell’articolo 15, comma 2, è soggetto ad una sanzione amministrativa pecuniaria da 12.000 euro a 120.000 euro. 9. Si ha reiterazione delle violazioni di cui al presente articolo nei casi regolati dall’articolo 8-bis della legge 24 novembre del 1981, n. 689. La reiterazione determina l’aumento fino al triplo della sanzione prevista. Art. 22. Disposizioni finanziarie 1. Agli oneri derivanti dagli articoli 7 e 8, pari a 5.300.000 euro per l’anno 2018 e 3.300.000 euro annui a decorrere dall’anno 2019, si provvede mediante corrispondente riduzione del Fondo per il recepimento della normativa europea di cui all’articolo 41-bis della legge 24 dicembre 2012, n. 234. 2. Le spese ICT sostenute dalle pubbliche amministrazioni ai sensi degli articoli 7, 8 e 12 del presente decreto e più in generale le spese ICT sostenute per l’adeguamento dei sistemi informativi al presente decreto sono coerenti con il Piano triennale per l’informatica nella pubblica amministrazione ai sensi dei commi da 512 a 520, dell’articolo 1, della legge 28 dicembre 2015, n. 208. 3. Dall’attuazione del presente decreto, ad esclusione degli articoli 7 e 8, non devono derivare nuovi o maggiori oneri a carico della finanza pubblica e le amministrazioni pubbliche provvedono con le risorse umane, strumentali e finanziarie previste a legislazione vigente. 4. Il Ministro dell’economia e delle finanze è autorizzato ad apportare le occorrenti variazioni di bilancio negli stati di previsione interessati. — 10 —