Artikel 36 pålægger hvert EU-land at fastsætte regler om sanktioner for overtrædelse af NIS2.
Sanktionerne skal være effektive, stå i forhold til overtrædelsen og have afskrækkende virkning.
Hvert land skal meddele Kommissionen sine sanktionsregler senest den 17. januar 2025. Ændringer i reglerne skal meddeles straks.