Art. 21 
 
                       Sanzioni amministrative 
 
  1. Salvo che il fatto costituisca  reato,  l'operatore  di  servizi
essenziali che non adotta le misure tecniche e organizzative adeguate
e proporzionate per la gestione del rischio per  la  sicurezza  della
rete e dei sistemi informativi, ai sensi dell'articolo 12,  comma  1,
e' soggetto ad una sanzione amministrativa pecuniaria da 12.000  euro
a 120.000 euro. La sanzione e' ridotta di un terzo se lo stesso fatto
e' commesso da un fornitore di servizio digitale, in violazione degli
obblighi di cui all'articolo 14, comma 1. 
  2. Salvo che il fatto costituisca  reato,  l'operatore  di  servizi
essenziali  che  non  adotta  le  misure  adeguate  per  prevenire  e
minimizzare l'impatto di incidenti a  carico  della  sicurezza  della
rete e dei  sistemi  informativi  utilizzati  per  la  fornitura  dei
servizi essenziali, ai sensi dell'articolo 12, comma 2,  e'  soggetto
ad una sanzione amministrativa pecuniaria da 12.000  euro  a  120.000
euro. La sanzione e' ridotta di  un  terzo  se  lo  stesso  fatto  e'
commesso da un fornitore di servizio digitale,  in  violazione  degli
obblighi di cui all'articolo 14, comma 3. 
  3. Salvo che il fatto costituisca reato,  l'operatore  di  servizio
essenziale che non notifica al CSIRT italiano gli incidenti aventi un
impatto rilevante sulla continuita' dei servizi  essenziali  forniti,
ai sensi dell'articolo 12, comma  5,  e'  soggetto  ad  una  sanzione
amministrativa pecuniaria da 25.000 euro a 125.000 euro. 
  4. Salvo che il fatto costituisca reato,  l'operatore  di  servizio
essenziale che non ottempera agli obblighi,  ai  sensi  dell'articolo
13, comma 2, e' soggetto ad una sanzione amministrativa pecuniaria da
12.000 euro a 120.000 euro. 
  5. Salvo che il fatto costituisca reato,  l'operatore  di  servizio
essenziale che non osserva le istruzioni, ai sensi dell'articolo  13,
comma 4, e' soggetto ad una  sanzione  amministrativa  pecuniaria  da
15.000 euro a 150.000 euro. 
  6. Salvo che il fatto costituisca reato, il fornitore  di  servizio
digitale che non notifica al CSIRT italiano gli incidenti  aventi  un
impatto rilevante sulla fornitura di un servizio  fornito,  ai  sensi
dell'articolo 14, comma 4, e' soggetto ad una sanzione amministrativa
pecuniaria da 25.000 euro a 125.000 euro. 
  7. Salvo che il fatto costituisca  reato,  l'operatore  di  servizi
essenziali dipendente da terze parti che  fornisce  servizi  digitali
per la  fornitura  di  un  servizio  che  e'  indispensabile  per  il
mantenimento di attivita'  economiche  e  sociali  fondamentali,  che
ometta la notifica, ai sensi dell'articolo 14, comma 9,  e'  soggetto
ad una sanzione amministrativa pecuniaria da 12.000  euro  a  120.000
euro. 
  8. Salvo che il fatto costituisca reato, il  fornitore  di  servizi
digitali che non osserva gli  obblighi  ai  sensi  dell'articolo  15,
comma 2, e' soggetto ad una  sanzione  amministrativa  pecuniaria  da
12.000 euro a 120.000 euro. 
  9. Si ha reiterazione delle violazioni di cui al presente  articolo
nei casi regolati dall'articolo 8-bis della  legge  24  novembre  del
1981, n. 689. La reiterazione  determina  l'aumento  fino  al  triplo
della sanzione prevista.