L'articolo 28 prevede sanzioni prevalentemente penali per il gestore che non adempie agli obblighi principali, come l'omessa notifica o l'omessa redazione della politica di prevenzione, del rapporto di sicurezza o del piano di emergenza interno, o la mancata attuazione delle prescrizioni. Accanto alle sanzioni, l'autorità può limitare o vietare l'esercizio dello stabilimento quando le misure adottate sono nettamente insufficienti o quando il gestore non ha trasmesso nei termini i documenti richiesti.
Il decreto disciplina anche gli obblighi successivi a un incidente rilevante. Il gestore deve informare immediatamente le autorità competenti, comunicando le circostanze dell'incidente, le sostanze coinvolte, i dati disponibili per valutarne le conseguenze per la salute e l'ambiente e le misure di emergenza adottate; deve poi aggiornare le informazioni man mano che l'indagine procede e indicare le misure previste per evitarne la ripetizione.
Un incidente rilevante con vittime o danni ambientali apre inoltre scenari di responsabilità ulteriori. Sul piano penale possono essere contestati, tra gli altri, l'omicidio e le lesioni colpose con violazione delle norme di sicurezza e i delitti contro l'ambiente introdotti nel codice penale dalla L. 68/2015, come il disastro ambientale. Sul piano dell'ente, il D.Lgs. 231/01 prevede la responsabilità amministrativa per i reati in materia di sicurezza del lavoro, articolo 25-septies, e per i reati ambientali, articolo 25-undecies. Un SGS-PIR effettivamente attuato è quindi anche una componente sostanziale del modello organizzativo.