NIS2 in Italien: Nationale Umsetzung, ACN und Pflichten

Mit dem Legislativdekret D.Lgs. 4. September 2024, Nr. 138 hat Italien die NIS-2-Richtlinie (EU) 2022/2555 in nationales Recht umgesetzt – fristgerecht: Das Dekret trat am 16. Oktober 2024 in Kraft, seine Bestimmungen gelten seit dem 18. Oktober 2024. Zuständige nationale Behörde ist die Agenzia per la Cybersicurezza Nazionale (ACN), unterstützt von sektoralen NIS-Behörden; das nationale CSIRT heißt CSIRT Italia und ist organisatorisch in die ACN eingegliedert. Für deutsche Unternehmen mit Tochtergesellschaften, Niederlassungen oder wesentlichen Lieferantenbeziehungen in Italien bedeutet dies: Neben den deutschen Pflichten nach dem NIS2UmsuCG können parallel eigenständige Compliance-Anforderungen nach D.Lgs. 138/2024 entstehen. Den europäischen Gesamtrahmen der NIS-2-Richtlinie – Anwendungsbereich, Sicherheitsmaßnahmen und Governance-Pflichten – erläutert der Leitfaden zu den NIS2-Grundlagen.

Italiens Rolle in der europäischen Cybersicherheitsarchitektur

Als drittgrößte Volkswirtschaft der EU und sechstgrößter Handelspartner Deutschlands (2025) ist Italien für zahlreiche deutsche Unternehmen ein zentraler Markt – allein im ersten Halbjahr 2026 belief sich der deutsch-italienische Warenverkehr laut Destatis auf rund 83 Milliarden Euro. Gleichzeitig verfügt Italien über eine der größten industriellen Infrastrukturen in Europa – von der Energieversorgung über die Automobilindustrie bis hin zum Finanzsektor. Die NIS2-Umsetzung ist daher nicht nur für italienische Unternehmen relevant, sondern hat direkte Auswirkungen auf grenzüberschreitende Lieferketten und Tochtergesellschaften deutscher Konzerne.

Auf europäischer Ebene ist Italien aktives Mitglied der NIS-Kooperationsgruppe, des CSIRT-Netzwerks und der EU-CyCLONe-Gruppe für das Management großflächiger Cybersicherheitsvorfälle. Über diese Gremien arbeitet die ACN auch mit dem deutschen BSI zusammen, insbesondere beim Informationsaustausch zu grenzüberschreitenden Vorfällen im CSIRT-Netzwerk. Welche Einrichtungen generell in den Anwendungsbereich der NIS-2-Richtlinie fallen, beschreibt der Leitfaden zum NIS2-Anwendungsbereich detailliert.

D.Lgs. 138/2024 – Italiens nationales NIS2-Umsetzungsgesetz

Das Decreto Legislativo 4. September 2024, Nr. 138 („Recepimento della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di cibersicurezza nell’Unione …“) wurde am 1. Oktober 2024 in der Gazzetta Ufficiale (Serie Generale Nr. 230) veröffentlicht und trat am 16. Oktober 2024 in Kraft; seine Bestimmungen gelten ab dem 18. Oktober 2024. Zum selben Datum hob es das vorherige italienische NIS1-Recht (D.Lgs. 65/2018) weitgehend auf (Art. 41).

Zentrale Regelungsgegenstände des D.Lgs. 138/2024:

• Anwendungsbereich (Art. 3 und 6): Umsetzung der NIS2-Sektor-Systematik (Allegati I und II); darüber hinaus erfasst Italien über Allegato III bestimmte öffentliche Verwaltungen und über Allegato IV weitere Einrichtungstypen, etwa im öffentlichen Nahverkehr, Bildungseinrichtungen mit Forschungstätigkeit und Einrichtungen von kulturellem Interesse
• Registrierungspflicht (Art. 7): Erfasste Einrichtungen registrieren sich auf der digitalen Plattform der ACN bzw. aktualisieren ihre Registrierung jährlich zwischen dem 1. Januar und dem 28. Februar; auf dieser Grundlage erstellt die ACN bis zum 31. März das Verzeichnis der wesentlichen und wichtigen Einrichtungen
• Sicherheitsmaßnahmen (Art. 24): Spiegelgetreue Umsetzung der zehn Maßnahmenkategorien aus Artikel 21 der NIS-2-Richtlinie; die konkreten Basismaßnahmen legt die ACN per Determinazione fest (derzeit Determinazione ACN 379907/2025)
• Meldepflichten (Art. 25): Dreistufiges Melderegime (Frühwarnung 24 Stunden, Erstmeldung 72 Stunden, Abschlussbericht 1 Monat) gegenüber CSIRT Italia
• Governance und Verantwortung der Führungsebene (Art. 23): Die Leitungsorgane billigen die Risikomanagementmaßnahmen, überwachen deren Umsetzung, sind für Verstöße verantwortlich und unterliegen einer Schulungspflicht; entspricht Artikel 20 NIS2
• Sanktionen (Art. 38): Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für soggetti essenziali; bis zu 7 Millionen Euro oder 1,4 Prozent für soggetti importanti (jeweils der höhere Betrag). Für Verstöße etwa gegen Registrierungs- und Mitwirkungspflichten sieht Art. 38 eigene Obergrenzen von 0,1 bzw. 0,07 Prozent des weltweiten Jahresumsatzes vor

Eine Besonderheit des italienischen Rechts ist die Verknüpfung mit dem Perimetro di Sicurezza Nazionale Cibernetica (PSNC), dem nationalen Cybersicherheitsperimeter für kritische Staatsinfrastrukturen. Art. 33 D.Lgs. 138/2024 regelt das Verhältnis: Die Risikomanagement- und Meldepflichten des PSNC (D.L. 105/2019) gelten als mindestens gleichwertig, und für die in die PSNC-Liste aufgenommenen Netze, Informationssysteme und Dienste gilt das NIS-Dekret nicht – für alle übrigen Systeme bleiben die NIS-Pflichten bestehen. Zusätzlich sind bestimmte ICT-Beschaffungen von PSNC-Einrichtungen vorab dem nationalen Evaluierungs- und Zertifizierungszentrum (CVCN) mitzuteilen, das Bedingungen und Tests vorschreiben kann.

ACN – Agenzia per la Cybersicurezza Nazionale

Die Agenzia per la Cybersicurezza Nazionale (ACN) wurde durch das Decreto-Legge Nr. 82/2021 (umgewandelt in Gesetz Nr. 109/2021) gegründet und hat ihren Sitz in Rom. Sie ist das direkte Pendant zum deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) – allerdings mit einer Besonderheit: Die ACN ist unmittelbar dem Präsidentenamt des Ministerrats (Presidenza del Consiglio dei Ministri) unterstellt, während das BSI dem Bundesinnenministerium gehört. Diese institutionelle Nähe zur höchsten Exekutive unterstreicht den strategischen Stellenwert der Cybersicherheit in der italienischen Regierungsarchitektur.

Die ACN übernimmt im Rahmen des D.Lgs. 138/2024 folgende Kernaufgaben:

• Nationale Cybersicherheitsbehörde (NCA): Umsetzung und Durchsetzung der NIS2-Vorgaben gegenüber betroffenen Einrichtungen; Aufsicht und Sanktionsbefugnisse
• Regulierung und Leitlinien: Erlass von Durchführungsbestimmungen und technischen Leitlinien zu Art.-24-Maßnahmen; unterstützt wird die ACN dabei von den sektoralen NIS-Behörden (Autorità di settore NIS, Art. 11), darunter das Wirtschafts- und Finanzministerium, das Ministerium für Unternehmen und Made in Italy sowie das Ministerium für Umwelt und Energiesicherheit
• Nationale Cybersicherheitsstrategie: Umsetzung der Strategia Nazionale di Cybersicurezza 2022–2026 mit 82 operativen Maßnahmen
• CSIRT-Betrieb: Die ACN betreibt CSIRT Italia als integrale Abteilung; 24/7-Incident-Response und Koordination mit dem europäischen CSIRT-Netzwerk
• Cloud-Qualifizierung: Die ACN qualifiziert Cloud-Dienste privater Anbieter, auf die öffentliche Verwaltungen zurückgreifen dürfen, und führt dazu einen Katalog (Catalogo delle infrastrutture digitali e dei servizi cloud) – dieses System betrifft die öffentliche Verwaltung, nicht den PSNC
• Digitale Plattform: Die ACN betreibt die digitale Plattform für die NIS2-Registrierung und die Kommunikation mit den NIS-Einrichtungen (Art. 7 und Art. 31 Abs. 7 D.Lgs. 138/2024)

Die ACN-Aufsicht ist für wesentliche Einrichtungen (soggetti essenziali) proaktiv: Prüfungen und Inspektionen sowie die Möglichkeit, regelmäßige oder gezielte Sicherheitsaudits anzuordnen (Art. 36 und 37). Für wichtige Einrichtungen (soggetti importanti) gilt wie in Deutschland eine reaktive Aufsicht, die jedoch bei begründetem Anlass ebenfalls proaktiv werden kann.

CSIRT Italia – Italiens nationales CERT

CSIRT Italia (“Computer Security Incident Response Team”) ist die national zuständige Stelle für die Entgegennahme und Koordination von Meldungen zu Cybersicherheitsvorfällen. Es ist als Abteilung in die ACN integriert und operiert rund um die Uhr. CSIRT Italia ist vollständiges Mitglied des europäischen CSIRT-Netzwerks nach Artikel 15 NIS2 und arbeitet über dieses Netzwerk mit dem deutschen CERT-Bund (BSI) zusammen.

Kernaufgaben von CSIRT Italia:

• Entgegennahme der dreistufigen Vorfallsmeldungen (24h Frühwarnung, 72h Erstmeldung, 1-Monats-Abschlussbericht) von betroffenen Einrichtungen in Italien
• Technische Unterstützung betroffener Einrichtungen bei der Vorfallsbewältigung
• Koordination EU-weiter Vorfälle über das CSIRT-Netzwerk und CyCLONe
• Veröffentlichung von Warnmeldungen, Schwachstellenhinweisen und Lageberichten (ähnlich dem BSI-Lagebericht)
• Festlegung der Modalitäten und Verfahren für NIS2-Vorfallsmeldungen (Art. 15 D.Lgs. 138/2024)

Die Kommunikation der Einrichtungen mit der ACN läuft nach Art. 31 Abs. 7 D.Lgs. 138/2024 vorrangig über die digitale Plattform der ACN; die Modalitäten für Vorfallsmeldungen legt CSIRT Italia fest (Art. 15). Für deutsche Unternehmen mit in Italien registrierten NIS2-Einrichtungen empfiehlt es sich daher, dass die lokalen Teams Zugang zur ACN-Plattform haben und die Meldewege kennen.

Soggetti essenziali und Soggetti importanti – Einstufungssystematik

Das D.Lgs. 138/2024 übernimmt die NIS2-Zweistufensystematik: Soggetti essenziali (wesentliche Einrichtungen) sind insbesondere große Unternehmen der Allegato-I-Sektoren sowie – unabhängig von der Größe – u. a. qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter und zentrale öffentliche Verwaltungen (Art. 6 Abs. 1). Alle übrigen erfassten Einrichtungen gelten als Soggetti importanti (wichtige Einrichtungen, Art. 6 Abs. 3) – etwa mittlere Unternehmen der Allegato-I-Sektoren sowie mittlere und große Unternehmen der Allegato-II-Sektoren. Die Größenschwellen folgen der EU-KMU-Empfehlung 2003/361/EG: Erfasst sind grundsätzlich Unternehmen ab 50 Beschäftigten oder mit einem Jahresumsatz und einer Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro. Die folgende Tabelle vergleicht die zentralen Merkmale des deutschen und des italienischen NIS2-Systems:

Merkmal	Deutschland (NIS2UmsuCG)	Italien (D.Lgs. 138/2024)
Zuständige Behörde (NCA)	BSI (Bundesinnenministerium)	ACN (Präsidentenamt)
Nationales CSIRT	CERT-Bund (BSI)	CSIRT Italia (ACN)
Umsetzungsgesetz	NIS2UmsuCG (BGBl. 2025 I Nr. 301)	D.Lgs. 138/2024
Registrierungsplattform	BSI-Portal (Zugang über „Mein Unternehmenskonto“)	Digitale Plattform der ACN
Max. Bußgeld (wesentl. E.)	10 Mio. € / 2 % Umsatz	10 Mio. € / 2 % Umsatz
Max. Bußgeld (wichtige E.)	7 Mio. € / 1,4 % Umsatz	7 Mio. € / 1,4 % Umsatz
Meldeadressat	BSI (BSI-Portal)	CSIRT Italia
Weiteres nationales Regime	KRITIS-Dachgesetz (Umsetzung der CER-Richtlinie, physische Resilienz; verkündet am 16. März 2026)	PSNC – nationaler Cybersicherheitsperimeter (seit 2019)
Inkrafttreten der Umsetzung	6. Dezember 2025	16. Oktober 2024

Meldepflichten nach D.Lgs. 138/2024

Artikel 25 des D.Lgs. 138/2024 setzt die NIS2-Meldepflicht wortgetreu um. In der Praxis bedeutet dies für in Italien registrierte Einrichtungen:

• Frühwarnung (entro 24 ore): Unverzügliche Vorabmeldung (pre-notifica) an CSIRT Italia innerhalb von 24 Stunden nach Kenntnisnahme eines erheblichen Vorfalls – wenn möglich mit der Angabe, ob der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgehen könnte oder grenzüberschreitende Auswirkungen haben kann.
• Erstmeldung (entro 72 ore): Meldung innerhalb von 72 Stunden: Aktualisierung der Vorabmeldung und erste Bewertung des Vorfalls einschließlich Schwere und Auswirkungen sowie, soweit verfügbar, Kompromittierungsindikatoren.
• Zwischenbericht (su richiesta del CSIRT): Auf Verlangen von CSIRT Italia können Zwischenberichte zum Vorfallsmanagement angefordert werden.
• Abschlussbericht (entro 1 mese): Innerhalb eines Monats nach der 72-Stunden-Meldung: ausführliche Beschreibung einschließlich Schwere und Auswirkungen, Art der Bedrohung bzw. Ursache, ergriffene und laufende Abhilfemaßnahmen sowie gegebenenfalls grenzüberschreitende Auswirkungen. Dauert der Vorfall noch an, sind monatliche Fortschrittsberichte und ein Abschlussbericht innerhalb eines Monats nach Abschluss der Vorfallsbewältigung vorgesehen.

Ein erheblicher Vorfall (incidente significativo) liegt nach Art. 25 Abs. 4 D.Lgs. 138/2024 vor, wenn er erhebliche Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen könnte, oder wenn andere natürliche oder juristische Personen erheblich beeinträchtigt werden. Für die erste Umsetzungsphase legt die ACN in den Anhängen 3 (wichtige Einrichtungen) und 4 (wesentliche Einrichtungen) der Determinazione 379907/2025 fest, welche Basis-Vorfälle (incidenti significativi di base) zu melden sind. Diese Meldepflicht gilt seit Januar 2026, also neun Monate nach der Mitteilung über die Aufnahme in das NIS-Verzeichnis.

Relevanz für deutsche Unternehmen mit Italien-Bezug

Für deutsche Unternehmen entstehen durch das D.Lgs. 138/2024 folgende relevante Konstellationen:

1. Tochtergesellschaft oder rechtlich selbständige Niederlassung in Italien: Wenn die italienische Einheit die Schwellenwerte (ab 50 Beschäftigten oder Jahresumsatz und Jahresbilanzsumme von jeweils mehr als 10 Mio. Euro) in einem der erfassten Sektoren erfüllt, ist sie als soggetto importante oder soggetto essenziale eigenständig bei der ACN registrierungspflichtig. Eine etwaige BSI-Registrierung in Deutschland überträgt sich nicht auf die italienische Einheit; es empfiehlt sich, die Registrierung konzernweit nachzuhalten. Zu beachten ist außerdem Art. 3 Abs. 10 D.Lgs. 138/2024: Danach kann das Dekret unabhängig von der Größe auch ein mit einer NIS-Einrichtung verbundenes Unternehmen erfassen, das etwa über deren Cybersicherheitsmaßnahmen entscheidet, deren Netz- und Informationssysteme betreibt oder ICT- bzw. Sicherheitsdienste für sie erbringt. Ob dies für eine Konzerngesellschaft außerhalb Italiens greift, hängt auch von den Zuständigkeitsregeln (Art. 5) ab und sollte im Einzelfall rechtlich geprüft werden.

2. Dienstleistungen für italienische NIS-Einrichtungen: Deutsche Unternehmen, die als Lieferanten für italienische NIS2-Einrichtungen tätig sind, müssen damit rechnen, dass ihre italienischen Kunden erhöhte vertragliche Sicherheitsanforderungen nach Art. 24 Abs. 2 lit. d D.Lgs. 138/2024 (Lieferkettensicherheit) stellen. Dies betrifft insbesondere IT-Dienstleister, Cloud-Anbieter und Softwarehersteller.

3. Grenzüberschreitende Vorfallsmeldungen: Ein Sicherheitsvorfall, der gleichzeitig eine in Deutschland registrierte Einrichtung und deren italienische Tochter trifft, kann parallele Meldungen erfordern: an das BSI (über das BSI-Portal) nach deutschem Recht und an CSIRT Italia nach D.Lgs. 138/2024. Unternehmen müssen ihre Incident-Response-Prozesse daher länderübergreifend koordinieren.

4. PSNC-Betroffenheit prüfen: Die Aufnahme in den Perimetro di Sicurezza Nazionale Cibernetica erfolgt nicht durch Selbsteinstufung, sondern per Dekret des Ministerpräsidenten (DPCM) auf Vorschlag des Interministeriellen Komitees für Cybersicherheit (CIC). Für die in die PSNC-Liste aufgenommenen Systeme gelten dann die PSNC-Regeln anstelle der NIS-Pflichten, einschließlich der Vorabprüfung bestimmter ICT-Beschaffungen durch das CVCN. Wie Deutschland NIS2 im Detail umsetzt, zeigt der Leitfaden zur NIS2-Umsetzung in Deutschland im direkten Vergleich.

Art.-21-Sicherheitsmaßnahmen im deutsch-italienischen Unternehmenskontext

Die zehn Sicherheitsmaßnahmenkategorien aus Artikel 21 NIS2 gelten nach D.Lgs. 138/2024 Art. 24 in Italien inhaltsgleich. Mehrfach tätige Unternehmensgruppen können konzernweit einheitliche Rahmenwerke (z. B. ISO 27001, BSI-Grundschutz-Profil) einsetzen und auf beide nationale Rechtsordnungen anwenden. Einige praktische Anpassungen sind jedoch erforderlich:

Maßnahmenbereich (Art. 21 Abs. 2)	Ital. Besonderheit / ACN-Leitlinie
Risikoanalyse und Sicherheitsrichtlinien (lit. a)	Basismaßnahmen nach Determinazione ACN 379907/2025 (Anhang 1 für wichtige, Anhang 2 für wesentliche Einrichtungen), aufgebaut auf dem Framework nazionale per la Cybersecurity e la Data Protection (Ausgabe 2025); umzusetzen bis Oktober 2026 (18 Monate nach Aufnahme in das NIS-Verzeichnis 2025)
Behandlung von Sicherheitsvorfällen (lit. b)	Meldung an CSIRT Italia nach dessen Vorgaben; meldepflichtige Basis-Vorfälle in Anhang 3/4 der Determinazione 379907/2025; CSIRT Italia gibt möglichst binnen 24 Stunden eine erste Rückmeldung und kann technische Unterstützung leisten
Business Continuity (lit. c)	Einschließlich Backup-Management, Wiederherstellung nach Notfällen und Krisenmanagement (Art. 24 Abs. 2 lit. c D.Lgs. 138/2024); Konkretisierung über die ACN-Basismaßnahmen
Lieferkettensicherheit (lit. d)	Art. 24 Abs. 3: Berücksichtigung der spezifischen Schwachstellen jedes direkten Lieferanten und Dienstleisters sowie der Qualität seiner Produkte und Sicherheitspraktiken; die ACN hat dazu FAQ zur Supply-Chain-Sicherheit veröffentlicht
Sicherheit bei Erwerb und Entwicklung (lit. e)	Einschließlich Schwachstellenmanagement und -offenlegung; CSIRT Italia koordiniert die Offenlegung gemeldeter Schwachstellen (Art. 16)
Wirksamkeitsbewertung (lit. f)	Die ACN kann im Rahmen ihrer Durchsetzungsbefugnisse regelmäßige oder gezielte Sicherheitsaudits anordnen (Art. 37 Abs. 3)
Grundlegende Cyberhygiene und Schulungen (lit. g)	Schulungspflicht für die Leitungsorgane und regelmäßige Schulungsangebote für Beschäftigte (Art. 23 Abs. 2 D.Lgs. 138/2024)
Kryptografie und Verschlüsselung (lit. h)	Richtlinien und Verfahren zum Einsatz von Kryptografie und gegebenenfalls Verschlüsselung; Konkretisierung über die ACN-Basismaßnahmen
Personalsicherheit, Zugangskontrolle und Asset-Management (lit. i)	Konkretisierung über die ACN-Basismaßnahmen auf Grundlage des Framework nazionale per la Cybersecurity e la Data Protection
Multi-Faktor-Authentifizierung und gesicherte Kommunikation (lit. j)	Im italienischen Text Art. 24 Abs. 2 lit. l: MFA oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikation, soweit angemessen

Compliance-Fahrplan für deutsch-italienisch tätige Unternehmen

Schritt 1: Betroffenheitsanalyse für jede italienische Einheit. Prüfen Sie für jede Tochtergesellschaft und rechtlich selbständige Niederlassung in Italien: Sektor gemäß Allegato I oder II, Mitarbeiterzahl und Jahresumsatz/-bilanzsumme. Bei Erfüllung der Schwellenwerte: Einstufung als soggetto essenziale oder soggetto importante und Registrierungspflicht bei der ACN; Allegati III und IV sowie Art. 3 Abs. 10 (verbundene Unternehmen) einbeziehen.

Schritt 2: Registrierung über die digitale Plattform der ACN. Registrierung und Aktualisierung erfolgen jährlich zwischen dem 1. Januar und dem 28. Februar – das nächste Fenster läuft vom 1. Januar bis 28. Februar 2027. Zwischen dem 15. April und dem 31. Mai sind zudem jährlich weitere Angaben zu aktualisieren, u. a. öffentliche IP-Adressräume und Domains. Benennen Sie einen Ansprechpartner (“punto di contatto”) nach Art. 7 Abs. 1 lit. c D.Lgs. 138/2024 samt Stellvertretung, der mit der ACN kommunizieren kann.

Schritt 3: PSNC-Betroffenheit ausschließen oder adressieren. Prüfen Sie, ob die italienische Einheit Dienste für nationale Sicherheitsbehörden, Streitkräfte oder kritische Staatsinfrastrukturen erbringt. Im PSNC-Fall: Vorabmitteilung bestimmter ICT-Beschaffungen an das CVCN und die PSNC-spezifischen Sicherheits- und Meldepflichten für die gelisteten Systeme beachten.

Schritt 4: Konzernweites Sicherheits-Framework auf D.Lgs. 138/2024 mappen. Bestehende ISO-27001- oder BSI-Grundschutz-Dokumentation kann als Grundlage dienen. Gleichen Sie die Dokumentation mit den ACN-Basismaßnahmen (Determinazione 379907/2025) ab, die auf dem Framework nazionale per la Cybersecurity e la Data Protection beruhen, und ergänzen Sie sie wo nötig. Für ISO-27001-zertifizierte Einrichtungen bietet die Praxisreferenz UNI/PdR 174:2025 eine Hilfestellung.

Schritt 5: Parallele Meldeprozesse implementieren. Richten Sie für Sicherheitsvorfälle mit grenzüberschreitender Wirkung doppelte Meldewege ein: BSI (BSI-Portal) für die deutsche Einheit, CSIRT Italia (ACN-Portal) für die italienische Einheit. Definieren Sie intern, wer welchen Meldeweg aktiviert, und testen Sie den Prozess jährlich.

Schritt 6: Lieferketten-Sicherheitsanforderungen an Kunden kommunizieren. Wenn Sie als IT-Dienstleister, Cloud-Anbieter oder kritischer Zulieferer für in Italien registrierte NIS2-Einrichtungen tätig sind, sollten Sie proaktiv dokumentieren, wie Ihre Dienste den Anforderungen des Art. 24 Abs. 2 lit. d D.Lgs. 138/2024 genügen. Bereiten Sie entsprechende Sicherheitsnachweise und Vertragsmuster vor.

Häufig gestellte Fragen

Muss eine deutsche Muttergesellschaft ihre italienische Tochter bei der ACN registrieren?

Die Registrierungspflicht trifft die rechtlich selbständige italienische Einheit – nicht die deutsche Muttergesellschaft. Wenn die Tochtergesellschaft in einem erfassten Sektor tätig ist und die Schwellenwerte erfüllt, ist sie selbst zur Registrierung auf der digitalen Plattform der ACN verpflichtet. Für die Muttergesellschaft empfiehlt es sich, die Registrierung aktiv zu koordinieren. Unter den Voraussetzungen des Art. 3 Abs. 10 D.Lgs. 138/2024 kann ein verbundenes Unternehmen allerdings auch selbst in den Anwendungsbereich fallen – das sollte im Einzelfall geprüft werden.

Was ist der Unterschied zwischen ACN und CSIRT Italia?

Die ACN (Agenzia per la Cybersicurezza Nazionale) ist die nationale Aufsichtsbehörde für Cybersicherheit – sie setzt die Regelungen des D.Lgs. 138/2024 durch, verhängt Bußgelder und gibt Leitlinien heraus. CSIRT Italia ist die operative Abteilung innerhalb der ACN, die für Vorfallsmeldungen, Lageberichte und die technische Unterstützung bei Cyberangriffen zuständig ist. Formal vergleichbar: ACN ≈ BSI (regulatorisch), CSIRT Italia ≈ CERT-Bund (operativ).

Welche Fristen gelten für die NIS2-Registrierung in Italien?

Die Registrierung bzw. ihre Aktualisierung erfolgt jährlich vom 1. Januar bis 28. Februar (Art. 7 D.Lgs. 138/2024); das nächste Fenster läuft vom 1. Januar bis 28. Februar 2027. In der Einführungsphase galten der 17. Januar 2025 für bestimmte digitale Anbieter (u. a. Cloud, Rechenzentren, Managed Services, Online-Marktplätze) und der 28. Februar 2025 für alle übrigen Einrichtungen. Für die 2025 in das Verzeichnis aufgenommenen Einrichtungen gilt die Meldepflicht seit Januar 2026; die Basis-Sicherheitsmaßnahmen sind bis Oktober 2026 umzusetzen. Eine unterlassene oder verspätete Registrierung kann nach Art. 38 Abs. 13 mit einer bis zu verdreifachten Sanktion geahndet werden.

Was ist das PSNC und sind deutsche Unternehmen betroffen?

Das Perimetro di Sicurezza Nazionale Cibernetica (PSNC) ist ein italienisches Sicherheitsregime für Einrichtungen, die für staatliche Kernfunktionen und nationale Sicherheit kritische Dienste erbringen – ähnlich dem deutschen KRITIS-Regime, aber mit zusätzlichen technischen Anforderungen an ICT-Produkte und Cloud-Nutzung. Auch ausländische Unternehmen, die entsprechende Dienste in Italien erbringen, können PSNC-pflichtig sein. Über die Einbeziehung wird per Dekret des Ministerpräsidenten (DPCM) auf Vorschlag des Interministeriellen Komitees für Cybersicherheit (CIC) entschieden.

Gelten in Italien andere Bußgeldobergrenzen als in Deutschland?

Nein. D.Lgs. 138/2024 setzt die NIS2-Bußgeldobergrenzen unverändert um: für wesentliche Einrichtungen (soggetti essenziali) bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen (soggetti importanti) bis zu 7 Millionen Euro oder 1,4 Prozent. Es gilt – wie in Deutschland – der jeweils höhere Betrag. Für Verstöße etwa gegen Registrierungs- oder Mitwirkungspflichten gelten gesonderte Obergrenzen von 0,1 Prozent (wesentliche) bzw. 0,07 Prozent (wichtige Einrichtungen) des weltweiten Jahresumsatzes. Kommt eine wesentliche Einrichtung einer Anordnung nicht fristgerecht nach, kann die ACN zudem Zertifizierungen oder Genehmigungen vorübergehend aussetzen oder deren Aussetzung veranlassen (Art. 38 Abs. 4).

Dieser Artikel stellt allgemeine Informationen bereit und stellt keine Rechts- oder Regulierungsberatung dar. Die konkreten Anforderungen variieren je nach Sektor, Einrichtungsgröße und Geschäftsmodell. Für eine auf Ihr Unternehmen zugeschnittene Einschätzung empfehlen wir die Hinzuziehung eines qualifizierten Rechtsanwalts oder NIS2-Compliance-Spezialisten.

Quellen

1. Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau (NIS-2-Richtlinie) — EUR-Lex, insbesondere Artikel 2, 3, 15, 20, 21 und Anhänge I und II
2. Decreto Legislativo 4 settembre 2024, n. 138 — Recepimento della direttiva (UE) 2022/2555 — Gazzetta Ufficiale della Repubblica Italiana, Serie Generale Nr. 230, 1. Oktober 2024
3. Agenzia per la Cybersicurezza Nazionale (ACN) — NIS — Registrierung, Fristen, Verpflichtungen der NIS-Einrichtungen
4. ACN — Specifiche di base (Determinazione ACN 379907/2025) — Basis-Sicherheitsmaßnahmen und meldepflichtige Basis-Vorfälle
5. Strategia Nazionale di Cybersicurezza 2022–2026 — ACN — Strategie und Umsetzungsplan mit 82 Maßnahmen
6. Decreto-legge 21 settembre 2019, n. 105 — Perimetro di sicurezza nazionale cibernetica — Normattiva