Artikel 36 pålægger hvert EU-land at fastsætte regler om sanktioner for overtrædelse af NIS2.

Sanktionerne skal være effektive, stå i forhold til overtrædelsen og have afskrækkende virkning.

Hvert land skal meddele Kommissionen sine sanktionsregler senest den 17. januar 2025. Ændringer i reglerne skal meddeles straks.