Artikel 64 2.

Manglende opfyldelse af de væsentlige cybersikkerhedskrav i bilag I og forpligtelserne i artikel 13 og 14 straffes med administrative bøder på op til 15 000 000 EUR eller, hvis lovovertræderen er en virksomhed, op til 2,5  % af dens samlede globale årsomsætning i det foregående regnskabsår, alt efter hvilket beløb der er størst.