Artykuł 64 2.

Niezgodność z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I oraz z obowiązkami określonymi w art. 13 i 14 podlega administracyjnej karze pieniężnej w wysokości do 15 000 000  EUR lub, jeżeli za naruszenie odpowiada przedsiębiorstwo – w wysokości do 2,5  % jego łącznego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa.