REGULIERUNG
NIS2 in Italien: Pflichten, Fristen und was sich für die Cyber-Versicherung ändert
Faktenblatt mit Stand 1. November 2026 zur NIS2-Richtlinie und zum italienischen Gesetzesdekret 138/2024: wer betroffen ist, Sicherheits- und Meldepflichten, Bußgelder, Haftung der Leitungsorgane und Folgen für die Cyber-Police.
Regulatorisches Faktenblatt · Stand 1. November 2026 · von cybercoverinsurance
Die Richtlinie (EU) 2022/2555, bekannt als NIS2, legt Pflichten zur Cybersicherheit und zur Meldung von Vorfällen für Organisationen fest, die für Wirtschaft und Gesellschaft wesentliche Dienste erbringen (EUR-Lex). Italien hat sie mit dem Gesetzesdekret Nr. 138 vom 4. September 2024 umgesetzt; zuständige Behörde ist die Nationale Agentur für Cybersicherheit (ACN) (ACN). Für Risikoträger im Cyberbereich zählt NIS2 aus drei Gründen: Sie macht Maßnahmen verpflichtend, die bisher nur gute Praxis waren, sie setzt sehr knappe Meldefristen und sie trägt die Verantwortung für Cybersicherheit bis in den Vorstand.
Im Text bezeichnet „Artikel“ eine verbindliche Regel; „Erwägungsgrund“ bezeichnet die einleitenden Absätze, die erklären, wie sie zu lesen ist.
Wer betroffen ist
NIS2 gilt für öffentliche und private Einrichtungen der in den Anhängen I und II der Richtlinie genannten Sektoren, darunter Energie, Verkehr, Banken, Gesundheit, Wasser, digitale Infrastruktur, verwaltete IKT-Dienste, öffentliche Verwaltung, Postdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Anbieter. In der Regel sind mittlere und große Unternehmen dieser Sektoren erfasst; einige Kategorien unabhängig von ihrer Größe.
Die Einrichtungen sind entweder wesentlich oder wichtig. Der Unterschied wirkt sich auf die Aufsicht (vorab für die ersten, nachträglich für die zweiten) und auf die Höchstbußgelder aus. In Italien muss sich jede Einrichtung jedes Jahr zwischen dem 1. Januar und dem 28. Februar auf der ACN-Plattform registrieren; die ACN teilt die Aufnahme in die Liste bis zum 14. April mit (Diritto.it).
Die wichtigsten Pflichten
Sicherheitsmaßnahmen
Artikel 21 der Richtlinie, übernommen in Artikel 24 des italienischen Dekrets, verlangt technische, operative und organisatorische Maßnahmen, die dem Risiko angemessen sind. Die Mindestliste umfasst Risikoanalyse, Bewältigung von Vorfällen, Betriebskontinuität und Backup, Sicherheit der Lieferkette, Schwachstellenmanagement, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Die ACN hat diese Grundsätze mit der Verfügung Nr. 379907 vom 19. Dezember 2025, anwendbar seit dem 15. Januar 2026, in „grundlegende Sicherheitsmaßnahmen“ übersetzt (ICT Security Magazine).
Meldung von Vorfällen
Für einen erheblichen Vorfall sieht Artikel 25 des italienischen Dekrets drei Schritte gegenüber dem CSIRT Italia vor (ICT Security Magazine):
- Frühwarnung innerhalb von 24 Stunden nach Kenntnis des Vorfalls;
- Meldung innerhalb von 72 Stunden mit einer ersten Bewertung und den verfügbaren Kompromittierungsindikatoren;
- Abschlussbericht innerhalb eines Monats oder ein Fortschrittsbericht, wenn der Vorfall noch andauert.
Leitungsorgane
Artikel 23 des italienischen Dekrets, der Artikel 20 der Richtlinie umsetzt, verpflichtet die Leitungsorgane, die Sicherheitsmaßnahmen zu billigen, ihre Umsetzung zu überwachen und an spezifischen Schulungen teilzunehmen. Geschäftsleiter können für Verstöße haftbar gemacht werden.
Fristen
- Im Jahr 2025 gelistete Einrichtungen: Meldung von Vorfällen seit Januar 2026; grundlegende Sicherheitsmaßnahmen innerhalb von 18 Monaten nach der Mitteilung über die Aufnahme, also meist bis Oktober 2026 (ICT Security Magazine).
- Im Jahr 2026 gelistete Einrichtungen: Meldung ab dem 1. Januar 2027; grundlegende Maßnahmen bis zum 31. Juli 2027 (ACN-Verfügung Nr. 127434 vom 13. April 2026).
- Jedes Jahr: Registrierung vom 1. Januar bis 28. Februar, Aktualisierung der Angaben vom 15. April bis 31. Mai, Kategorisierung der Tätigkeiten vom 1. Mai bis 30. Juni.
Seit 2026 müssen die Einrichtungen der ACN außerdem die Liste ihrer relevanten IKT-Lieferanten übermitteln (Verfügung Nr. 127437 vom 13. April 2026).
Bußgelder
Für die schwersten Verstöße gegen Sicherheitsmaßnahmen oder Meldepflichten sieht Artikel 38 des italienischen Dekrets höchstens 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist, für wesentliche Einrichtungen, und 7 Millionen Euro oder 1,4 % des Umsatzes für wichtige Einrichtungen (ICT Security Magazine). Das sind dieselben Obergrenzen wie in Artikel 34 der Richtlinie. Hat die Datenschutzbehörde denselben Verstoß bereits nach der DSGVO geahndet, kann die NIS2-Behörde kein zweites Bußgeld verhängen.
Was sich auf EU-Ebene ändert
Im Januar 2026 hat die Europäische Kommission gezielte Änderungen an NIS2 zusammen mit einer Überarbeitung des Rechtsakts zur Cybersicherheit vorgeschlagen (Europäische Kommission). Dazu gehören eine neue Kategorie „kleine Midcaps“ (weniger als 750 Beschäftigte und weniger als 150 Millionen Euro Umsatz), die in der Regel als wichtige Einrichtungen gelten, sowie zusätzliche Angaben bei Ransomware-Meldungen, wobei die Behörden Einzelheiten zur Lösegeldforderung, zur Zahlung und zur Zahlungsart verlangen können (Covington). Am 1. November 2026 liegt der Vorschlag beim ITRE-Ausschuss des Europäischen Parlaments und ist noch kein geltendes Recht (Europäisches Parlament, Verfahren 2026/0012(COD)).
Was sich für die Cyber-Police ändert
Meldung. Die 24 Stunden der Frühwarnung an die ACN laufen parallel zu den Anzeigepflichten aus der Police. Ein NIS2-Versicherungsnehmer braucht einen Incident-Response-Dienst der Police, der in den ersten Stunden anläuft, nicht erst nach der Deckungsprüfung. Die Kosten für die Abwicklung der Meldung fallen meist unter die Kosten der Vorfallbewältigung, sollten aber in den Bedingungen geprüft werden.
Bußgelder. Viele Policen decken Bußgelder nur „soweit gesetzlich versicherbar“. In Italien ist die Versicherbarkeit von Verwaltungsbußgeldern nicht geklärt: Der NIS2-Höchstbetrag sollte nicht als gedeckt angenommen werden.
Geschäftsleiter. Die Haftung der Leitungsorgane verlagert einen Teil des Risikos auf die D&O-Police. Es sollte klar sein, welche Police bei einem Anspruch gegen Geschäftsleiter aus einem Cybervorfall leistet, um Lücken oder Doppeldeckungen zu vermeiden.
Informationen für die Risikoübernahme. NIS2 erzeugt Dokumente, die der Antragsteller bereits hat: ACN-Registrierung, Risikoanalyse, Liste der relevanten IKT-Lieferanten, Verfahren zur Bewältigung von Vorfällen. Sie sind nützlich für den Risikofragebogen und zur Einschätzung des Kumuls bei gemeinsamen Lieferanten.
Ransomware. Werden die vorgeschlagenen Änderungen angenommen, gelangen Angaben zu gezahlten Lösegeldern auch an die Behörden. Policen, die Lösegeld erstatten, müssen ihr Verfahren auf diesen neuen Informationsfluss abstimmen.
Auswirkung für VersichererHoch
NIS2 macht Kontrollen und Meldefristen für Tausende italienische Unternehmen verpflichtend und trägt die Verantwortung für Sicherheit bis in den Vorstand.