NIS2 in Italien: Was die ACN wirklich prüft

Wenn die ACN Ihre NIS-Akte öffnet, verlangt sie kein Zertifikat. Sie verlangt datierte Dokumente. In der Praxis prüft sie vier Dinge. Ihre Registrierung im ACN-Portal und deren jährliche Aktualisierung. Die Freigabe der Maßnahmen durch die Leitungs- und Verwaltungsorgane. Den Stand jeder Risikomanagementmaßnahme im Bereich der Cybersicherheit, mit dem zugehörigen Nachweis. Die Nachvollziehbarkeit Ihrer Meldungen erheblicher Sicherheitsvorfälle. Alles andere ist Beiwerk. Dieser Artikel listet, Pflicht für Pflicht, das Dokument auf, das Sie vorlegen können müssen.

Monitoring, Prüfungen und Inspektionen sind drei verschiedene Tätigkeiten

Die ACN-FAQ zu Monitoring, Aufsicht und Durchsetzung unterscheiden drei Ebenen. Das Monitoring läuft kontinuierlich und ist für Sie weitgehend passiv: Die Agentur sammelt, analysiert und unterstützt. Prüfungen und Inspektionen sind punktuelle, dokumentengestützte Tätigkeiten. Durchsetzungsmaßnahmen kommen danach, als Ergebnis.

Der operative Unterschied liegt im Auslöser. Bei wesentlichen Einrichtungen können Prüfungen auch ex ante angeordnet werden, ohne auslösendes Ereignis. Bei wichtigen Einrichtungen wird die Agentur tätig, wenn sie über Beweise, Hinweise oder Informationen verfügt. Gleiches Gesetz, zwei verschiedene Türen.

Praktische Folge: Wenn Sie eine wesentliche Einrichtung sind, muss die Akte jederzeit stimmig sein, nicht nur nach einem Sicherheitsvorfall.

Wesentlich oder wichtig: Das entscheiden nicht Sie

Die Einstufung folgt aus dem Sektor, nicht aus einer Selbsterklärung. Sektoren mit hoher Kritikalität stehen in Anhang I (Anhang 1) der Richtlinie, sonstige kritische Sektoren in Anhang II (Anhang 2). Zum Sektor kommt der Größentest. Die Schwelle liegt bei 50 oder mehr Beschäftigten oder bei mehr als 10 Millionen Euro Umsatz oder Jahresbilanzsumme.

Einige Einrichtungen fallen unabhängig von ihrer Größe darunter — unter anderem DNS-Diensteanbieter, Register für Domänennamen der obersten Ebene und qualifizierte Vertrauensdiensteanbieter. Deshalb enthält die italienische Liste der NIS-Einrichtungen auch sehr kleine Unternehmen.

Eine Einrichtung nach Anhang II (Anhang 2) ist nie wesentlich. In Anhang I (Anhang 1) sind die Einrichtungen wesentlich, die die Schwellenwerte für mittlere Unternehmen überschreiten, plus die größenunabhängig erfassten Kategorien.

Der Kalender, den die Agentur bereits in der Hand hat

Die ACN geht von Daten aus, die Sie selbst geliefert haben. Die Registrierung oder deren Aktualisierung für NIS-Einrichtungen läuft jedes Jahr vom 1. Januar bis zum 28. Februar. Vom 15. April bis zum 31. Mai führen die NIS-Einrichtungen die jährliche Aktualisierung ihrer Angaben durch.

Dann kommen die inhaltlichen Fristen. Für Einrichtungen, die 2025 in die Liste aufgenommen wurden, nennt die ACN Januar 2026 als Beginn der Meldepflicht für Sicherheitsvorfälle. Die Frist für den Abschluss der grundlegenden Cybersicherheitsmaßnahmen ist Oktober 2026. Wer 2026 in die Liste kommt, hat eine eigene Uhr: Meldungen ab dem 1. Januar 2027, Grundmaßnahmen bis zum 31. Juli 2027.

Der europäische Kontext zeigt, wo wir stehen. Am 8. Juli 2026 hat die Kommission Irland, Spanien, Frankreich und die Niederlande vor dem Gerichtshof verklagt. Grund war die fehlende Mitteilung der vollständigen Umsetzung der Richtlinie. Die Kommission beantragte beim Gerichtshof einen Pauschalbetrag und ein tägliches Zwangsgeld. Der Gerichtshof hat nicht entschieden, und es wurde keine Sanktion verhängt. Italien dagegen hat die Richtlinie zur Frist vom 17. Oktober 2024 umgesetzt. Das Gesetzesdekret 138/2024 wurde am 1. Oktober 2024 im Amtsblatt veröffentlicht und ist seit dem 16. Oktober 2024 in Kraft. Hier lautet die Frage nicht mehr, ob es ein Gesetz geben wird, sondern was Sie vorlegen müssen.

Die Nachweise für jede Maßnahme nach Art. 21 Abs. 2

Art. 21 Abs. 2 Buchstaben a bis j listet die Risikomanagementmaßnahmen im Bereich der Cybersicherheit auf. Eine Prüfung will kein einzelnes Gesamtdokument. Sie will, Maßnahme für Maßnahme, einen Status, eine verantwortliche Rolle, einen Link zum Nachweis und ein Datum für die nächste Überprüfung.

Zwei konkrete Beispiele.

Lieferkette. Am 24. Juli 2026 hat die ACN ihre FAQ zu den Sicherheitsmaßnahmen für die Lieferkette (MSB.13-MSB.19) aktualisiert. Der erwartete Prozess hat definierte Phasen: Risikobewertung der Lieferung, Festlegung der Sicherheitsanforderungen, Durchsetzung der Anforderungen und deren Überprüfung. Die Anforderungen sind nach Verhältnismäßigkeit, Relevanz und Angemessenheit für die tatsächlich beauftragten Leistungen abzustufen. Ein identischer Fragebogen für jeden Lieferanten ist nicht die Antwort.

Betriebskontinuität. „Wir haben einen Plan“ übersteht keine Prüfung. Ein Plan mit ausgewiesenem RPO und RTO, dem Datum des letzten Tests und dem Testergebnis schon.

Dasselbe gilt für die Kryptografie: Eine Richtlinie ohne Überprüfungsdatum ist eine Richtlinie, die sich niemand angesehen hat.

Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht nach einem Monat

Die Kette steht in Art. 23 Abs. 4 der Richtlinie. Frühwarnung unverzüglich und in jedem Fall innerhalb von 24 Stunden, nachdem Sie von dem erheblichen Sicherheitsvorfall Kenntnis erlangt haben. Meldung des Sicherheitsvorfalls innerhalb von 72 Stunden. Auf Ersuchen ein Zwischenbericht. Und ein Abschlussbericht spätestens einen Monat nach der Meldung.

In Italien gilt die ACN-Verfügung 379907 vom 19. Dezember 2025 seit dem 15. Januar 2026. Sie setzt dieselbe Kette gegenüber dem CSIRT Italia um: Vorabmeldung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden.

Der verlangte Nachweis ist nicht die gesendete Nachricht. Es ist der Zeitpunkt, zu dem Sie Kenntnis erlangt haben, wer die Erheblichkeit bewertet hat, nach welchem Kriterium, und der Zeitstempel jedes Schritts. Ohne diese drei Elemente beweist eine pünktliche Meldung nichts.

Eine realistische Anmerkung. Allein im Juli 2026 hat das CSIRT Italia 8.952 Mitteilungen an italienische öffentliche Stellen und Unternehmen zu möglichen Kompromittierungen oder Risikofaktoren versandt. Im selben Monat verzeichnete es 188 Sicherheitsvorfälle und 305 Ereignisse insgesamt. Das ist eine operative Zahl, keine Sanktionsstatistik. Sie sagt trotzdem etwas Nützliches: Statistisch ist Ihr erster Kontakt mit der Agentur eine eingehende Mitteilung, keine Inspektion.

Information der Empfänger Ihrer Dienste

Die Pflicht, die Empfänger der Dienste über erhebliche Sicherheitsvorfälle zu informieren, wird mit zwei Objekten belegt. Das erste ist die vor dem Vorfall freigegebene Kommunikationsvorlage. Das zweite ist das Versandregister mit Datum, Anzahl der Empfänger und Rückmeldungen.

Die Freigabe durch das Leitungsorgan

Hier war die ACN zuletzt am deutlichsten. Am 14. Juli 2026 hat sie die FAQ zu den Pflichten der Verwaltungs- und Leitungsorgane aktualisiert. Die Freigabe der nach Art. 23 des italienischen NIS-Dekrets erforderlichen Dokumente ist die ausschließliche Zuständigkeit des Organs, ob Kollegial- oder Einzelorgan. Diese Freigabe ist nicht delegierbar; die Durchführung der operativen Tätigkeiten bleibt delegierbar.

Dieselben FAQ stellen klar, was dem Organ zur Freigabe vorgelegt wird. Die vorgelegten Dokumente müssen die Ausrichtung und die strategische Planung der Maßnahmen festlegen. Technische und operative Dokumentation können die zuständigen Funktionen ohne Freigabe des Organs erstellen. Die Dokumentation kann ein einzelnes Dokument oder ein abgestimmtes Set sein. Eine Aktualisierung der technischen Dokumente erfordert keine erneute Freigabe des strategischen Teils.

In einen Nachweis übersetzt: ein datierter Beschluss, der sich auf eine identifizierte Version des Maßnahmensets bezieht. Er nennt den beschriebenen Geltungsbereich und das Datum der nächsten Überprüfung.

Was Sie in welcher Reihenfolge in Ordnung bringen

Zuerst die Registrierung mit dem Datum ihrer letzten Aktualisierung. Dann der Beschluss des Organs, mit Version und Datum. Dann die Maßnahmenmatrix, mit verknüpftem Nachweis. Zuletzt die Meldekette, nachgewiesen an einem echten Vorfall oder einer datierten Übung.

Wenn Sie auch KI-Systeme betreiben, gilt dieselbe Dokumentationslogik unter der EU-KI-Verordnung: Die Compliance-Checkliste zur EU-KI-Verordnung nutzt dieselbe Struktur aus Nachweisen und Verantwortlichen.

Häufige Fragen zu ACN-Prüfungen

Was sieht sich eine ACN-Prüfung zuerst an?

Die Dokumentenakte. In der Regel: die Registrierung im ACN-Portal mit dem Datum der letzten Aktualisierung. Dann den Beschluss des Leitungsorgans zu den Maßnahmen. Dann den Status jeder Maßnahme mit dem verknüpften Nachweis und die Nachvollziehbarkeit der Vorfallsmeldungen. Kein Zertifikat.

Kann die ACN ohne Vorfall inspizieren?

Bei wesentlichen Einrichtungen ja: Die ACN-FAQ zu Monitoring, Aufsicht und Durchsetzung besagen, dass Prüfungen auch ex ante angeordnet werden können. Bei wichtigen Einrichtungen handelt die Agentur, wenn sie über Beweise, Hinweise oder Informationen verfügt. Die Einstufung folgt aus dem Sektor, nicht aus einer Wahl.

Welche Meldefristen gelten bei einem erheblichen Sicherheitsvorfall?

Die Richtlinie sieht eine Frühwarnung innerhalb von 24 Stunden ab Kenntnis und eine Meldung des Sicherheitsvorfalls innerhalb von 72 Stunden vor. Der Abschlussbericht ist spätestens einen Monat nach der Meldung fällig. In Italien gilt die ACN-Verfügung 379907 vom 19. Dezember 2025 seit dem 15. Januar 2026. Sie sieht eine Vorabmeldung innerhalb von 24 Stunden und eine vollständige Meldung innerhalb von 72 Stunden an das CSIRT Italia vor.

Bis wann muss ich die grundlegenden Sicherheitsmaßnahmen abschließen?

Das hängt davon ab, wann Sie in die Liste aufgenommen wurden. Für 2025 aufgenommene Einrichtungen nennt die ACN Oktober 2026 für den Abschluss der grundlegenden Cybersicherheitsmaßnahmen. Die Meldepflicht für diese Kohorte begann im Januar 2026. Für Einrichtungen, die 2026 in die Liste kommen: Maßnahmen bis zum 31. Juli 2027, Meldungen ab dem 1. Januar 2027.

Kann das Leitungsorgan die Freigabe der Dokumente delegieren?

Nein. Die am 14. Juli 2026 aktualisierten ACN-FAQ besagen, dass die Freigabe der nach Art. 23 des italienischen NIS-Dekrets erforderlichen Dokumente die ausschließliche Zuständigkeit des Organs ist. Das gilt für Kollegial- wie Einzelorgane und ist nicht delegierbar. Die Durchführung der zugrunde liegenden operativen Tätigkeiten bleibt delegierbar.

Verwandte Ressourcen

• NIS2-Compliance-Software — wie LandingRed die NIS2-Pflichten abdeckt
• Compliance-Checkliste zur EU-KI-Verordnung — dieselbe Struktur aus Nachweisen und Verantwortlichen
• So überwachen Sie KI-Systeme nach der EU-KI-Verordnung

Dieser Artikel ist eine Information, keine Rechtsberatung. Die Einstufung Ihrer Organisation, ihre NIS-Kategorie und die Erheblichkeit eines Vorfalls müssen Sie mit Ihrem Rechtsbeistand bestätigen. Prüfen Sie sie gegen die offiziellen Quellen der ACN und von EUR-Lex.