Artikel 64 2.

Niet-naleving van de essentiële cyberbeveiligingsvereisten van bijlage I en de in de artikelen 13 en 14 vastgestelde verplichtingen wordt bestraft met administratieve geldboeten tot 15 000 000  EUR of, als de overtreder een onderneming is, tot 2,5  % van haar totale wereldwijde jaarlijkse omzet voor het voorafgaande boekjaar, als dat hoger is.