NIS2-Italien: ACN-Compliance-Anforderungen, Durchsetzungszeitplan und was italienische Einrichtungen 2026 tun müssen

Italien hat sich als einer der aggressivsten NIS2-Durchsetzer in der EU etabliert. Die Agenzia per la Cybersicurezza Nazionale (ACN), 2021 gegründet, hat eine Compliance-Architektur aufgebaut, die über die Basisanforderungen der EU-Richtlinie hinausgeht — mit erweitertem Sektorenscope, Überraschungsaudit-Befugnissen und einem Dual-Aufsichtsmodell, das Organisationen zwingt, gleichzeitig ACN und Sektoraufsichtsbehörden zu befriedigen. Für jede Einrichtung, die in Italien unter NIS2-Zuständigkeit fällt, schließt sich das Fenster für proaktive Compliance schnell.

Dieser Leitfaden behandelt Italiens NIS2-Umsetzung durch Decreto Legislativo 138/2024, den Durchsetzungsansatz der ACN, das Dual-Autoritäts-Aufsichtsmodell, die persönliche Haftung für Leitungsorgane und die praktischen Schritte vor der Compliance-Frist im Oktober 2026.

Italiens NIS2-Umsetzung: Decreto Legislativo 138/2024

Italien hat NIS2 formell durch Legislativdekret Nr. 138 vom 4. September 2024 umgesetzt, das am 16. Oktober 2024 in Kraft trat. Das Dekret hob den bisherigen NIS1-Rahmen (D.Lgs. 65/2018) auf und übernahm die maximalen Strafniveaus der EU-Richtlinie — ein Signal, dass Italien aggressiv durchsetzen will.

Die Umsetzung behält die zweistufige NIS2-Struktur bei und fügt einzigartig italienische Elemente hinzu:

• Entità Essenziali (Wesentliche Einrichtungen): Große Organisationen in kritischen Sektoren einschließlich Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, digitale Infrastruktur, ICT-Dienstleistungsmanagement, öffentliche Verwaltung und Weltraum. Schwellenwert: 250+ Mitarbeiter ODER 50 Mio. Euro Jahresumsatz + 43 Mio. Euro Bilanzsumme.

• Entità Importanti (Wichtige Einrichtungen): Mittelgroße Organisationen in denselben Sektoren plus Postdienste, Abfallwirtschaft, Chemie, Lebensmittel, Medizinprodukte, verarbeitendes Gewerbe und digitale Anbieter. Schwellenwert: 50-249 Mitarbeiter ODER 10-50 Mio. Euro Jahresumsatz.

Italiens erweiterter Anwendungsbereich: Über die EU-Baseline hinaus

Italien hat die NIS2-Richtlinie nicht einfach kopiert. Decreto 138/2024 fügt Anhang III und Anhang IV hinzu, die die Liste der erfassten Einrichtungen über die EU-Baseline hinaus erweitern:

• Regionale und lokale Gebietskörperschaften — Gemeindeverwaltungen, regionale Gesundheitsbehörden und lokale Verkehrsunternehmen
• Bildungseinrichtungen — Universitäten und Forschungseinrichtungen
• Zusätzliche Untersektoren — einschließlich Teilen des Agrarsektors

ACN: Italiens zentrale Cybersicherheitsbehörde

Die ACN operiert als Italiens zentrale Cybersicherheitsbehörde mit umfassenden Durchsetzungsbefugnissen:

• Registrierungspflicht: Alle erfassten Einrichtungen müssen sich im ACN-Portal registrieren
• Überraschungsaudits: Die ACN kann unangekündigte Inspektionen bei wesentlichen Einrichtungen durchführen
• Vorfallkoordination: Nationale CSIRT-Funktion mit 24/72/30-Meldezeitleiste
• Sektorkoordination: Zusammenarbeit mit Bankitalia, IVASS, AGCOM und anderen Sektoraufsichtsbehörden

Das Dual-Autoritäts-Modell

Italiens NIS2-Durchsetzung erfordert, dass Einrichtungen zwei Aufsichtsbehörden gleichzeitig befriedigen:

1. ACN — für allgemeine Cybersicherheits-Compliance
2. Sektoraufsichtsbehörde — für sektorspezifische Anforderungen (z.B. Bankitalia für Banken, AGCOM für Telekommunikation)

Dieses Dual-Modell bedeutet, dass eine Einrichtung zwei separate Audit-Prozesse, zwei Berichtslinien und potenziell zwei verschiedene Durchsetzungsaktionen bei Compliance-Versagen haben kann.

Die drei Säulen der italienischen NIS2-Compliance

1. Risikomanagement und Sicherheitsmaßnahmen

Artikel 21 требует „angemessene und verhältnismäßige” Maßnahmen. Die ACN interpretiert dies durch italienische Leitlinien, die die folgenden Schwerpunkte setzen:

• Incident Handling und Vorfallreaktion
• Geschäftskontinuität und Notfallwiederherstellung
• Lieferkettensicherheit
• Kryptografische Maßnahmen
• Mitarbeiterschulung und Bewusstseinsbildung

2. Vorfallmeldung: Die 24/72/30-Regel

Italienische Einrichtungen müssen bedeutende Vorfälle in drei Phasen melden:

• Frühwarnung (24 Stunden): Initialmeldung an die ACN
• Vorfallbenachrichtigung (72 Stunden): Detaillierte Bewertung
• Abschlussbericht (30 Tage): Vollständige Analyse

3. Governance und persönliche Haftung

Decreto 138/2024 enthält ausdrückliche persönliche Haftung für Leitungsorgane:

• Persönliche Geldstrafen für Governance-Versagen
• Temporäre Verbote, Leitungspositionen zu bekleiden
• Die ACN kann öffentliche Bekanntgabe von Compliance-Versagen anordnen

Sanktionen

Italien hat die maximalen EU-Strafen übernommen und diese mit persönlicher Haftung für Leitungsorgane kombiniert.

Praktische Compliance-Schritte für italienische Einrichtungen

Sofortmaßnahmen (vor Q2 2026)

1. Im ACN-Portal registrieren — obligatorisch für alle erfassten Einrichtungen
2. Dual-Autoritäts-Zuständigkeiten klären — sowohl ACN als auch Sektoraufsichtsbehörde identifizieren
3. Governancedokumentation erstellen — Vorstandsbeschlüsse, Sicherheitsrichtlinien, Schulungsnachweise

Mittelfristige Maßnahmen (Q2-Q3 2026)

4. Artikel-21-Maßnahmen umsetzen — Risikobewertung, Vorfallreaktion, Lieferkette
5. Vorfallmeldeverfahren etablieren — 24/72/30-Prozesse und Eskalationswege
6. Dokumentationspaket zusammenstellen — für erwartete ACN-Audits

Laufende Anforderungen

7. Regelmäßige Überprüfungen der Sicherheitsmaßnahmen
8. Lieferkettenbewertungen aktualisieren
9. Mitarbeiterschulungen wiederholen und dokumentieren

Für einen strukturierten Ansatz nutzen Sie unsere NIS2-Compliance-Checkliste.

Was dies für die Cyberversicherung bedeutet

Italiens aggressive NIS2-Durchsetzung hat direkte Auswirkungen:

• Compliance = Versicherbarkeit: Fehlende ACN-Registrierung führt zu Deckungsproblemen
• Persönliche Haftung: D&O-Versicherung wird von NIS2-Compliance-Versagen betroffen
• Dual-Aufsicht: Versicherer müssen beide Aufsichtsrahmen bewerten

Siehe unseren Cyber-Versicherungs-Kaufratgeber 2026 und die NIS2-Underwriting-Fragen für Makler.

Verwandte NIS2-Länderleitfäden:

• NIS2 Frankreich (ANSSI) | NIS2 Deutschland (BSI) | NIS2 Spanien (INCIBE) | NIS2 Niederlande (NCSC-NL) | NIS2 Belgien (CCB) | NIS2 Polen (NCSA) | NIS2 Österreich (NISG 2026)