Regulierungsmonitor Cyber: die Neuerungen im Oktober 2026

Die fünf regulatorischen Neuerungen im Oktober 2026, die für Risikoträger im Cyberbereich zählen: das italienische Dekret zur Umsetzung der KI-Verordnung, die vereinfachte NIS2-Registrierung, die Position des EU-Rates zum Digital-Omnibus, ein Bußgeld der italienischen Datenschutzbehörde nach einem Ransomware-Angriff und die erste Erinnerung an die Meldepflichten des Cyber Resilience Act.

Regulierungsmonitor · Oktober 2026 · von cybercoverinsurance

Der Oktober 2026 setzt die KI-Verordnung in Italien vollständig in Kraft, vereinfacht die Verwaltung von NIS2 und eröffnet in Europa die Debatte über einen einzigen Kanal für die Meldung von Vorfällen. Für Risikoträger im Cyberbereich ist die nützlichste Nachricht jedoch ein Bußgeld der italienischen Datenschutzbehörde: Es listet Kontrolle für Kontrolle die Schwächen auf, die aus einem Ransomware-Angriff eine Datenpanne gemacht haben.

Auf einen Blick

KI-Verordnung in Italien: Seit dem 23. Oktober 2026 gilt das Gesetzesdekret 179/2026, das der ACN Aufsichtsbefugnisse gibt und die Sanktionen festlegt.
NIS2: Die ACN-Verfügung Nr. 314287/2026 vereinfacht die Registrierung 2027 für Einrichtungen, die bereits gelistet sind.
Digital-Omnibus: Am 21. Oktober 2026 hat der EU-Rat seine Position beschlossen, die die Meldung von Datenpannen neu regelt.
Italienische Datenschutzbehörde: Ein Ingenieurbüro erhielt nach einem Ransomware-Angriff ein Bußgeld von 120.000 Euro wegen Schwächen bei Authentifizierung, Segmentierung und Backups.
Cyber Resilience Act: Die europäischen Behörden erinnern Hersteller an die Pflicht, ausgenutzte PHP-Schwachstellen zu melden.

1. Das Dekret zur Umsetzung der KI-Verordnung ist in Kraft

Das italienische Gesetzesdekret Nr. 179 vom 7. Oktober 2026, veröffentlicht im Amtsblatt Nr. 234 vom 8. Oktober, ist seit dem 23. Oktober 2026 in Kraft (Quotidiano Sanità, Normattiva). Die ACN wird allgemeine Marktüberwachungsbehörde mit Prüfbefugnissen, auch ohne Vorankündigung; die AgID beaufsichtigt die Konformitätsbewertungsstellen; Datenschutzbehörde, Banca d'Italia, Consob und IVASS arbeiten für ihre Sektoren zusammen. Die Sanktionen entsprechen denen der KI-Verordnung: bis zu 35 Millionen Euro oder 7 % des Umsatzes für verbotene Praktiken, bis zu 15 Millionen oder 3 % für andere Pflichten.

Das Dekret verbietet außerdem, dass endgültige Entscheidungen über Einstellung, Kündigung, Disziplinarmaßnahmen und Leistungsbewertung von Beschäftigten allein von automatisierten Systemen getroffen werden; andernfalls sind sie nichtig.

Für die Risikoübernahme: Zusammen mit dem Gesetzesdekret 160/2026, in Kraft seit dem 30. September, ist der italienische Rahmen vollständig. Es gibt eine Behörde mit Prüfbefugnissen, und ein Verstoß gegen die KI-Verordnung begründet eine Vermutung des Kausalzusammenhangs in einem Schadensersatzprozess. Einzelheiten im Faktenblatt zur KI-Verordnung.

2. NIS2: einfachere Registrierung ab 2027

Die ACN-Verfügung Nr. 314287/2026, anwendbar seit dem 25. Oktober 2026, ersetzt die Nr. 127437/2026 (CyberSecItalia). Einrichtungen, die bereits auf der NIS-Liste stehen und keine Daten ändern müssen, brauchen sich im Zeitfenster Januar bis Februar 2027 nicht erneut zu registrieren. Für Fusionen und die Übertragung von Unternehmensteilen mit NIS-Tätigkeiten gelten besondere Pflichten. Die Auflistung und Kategorisierung von Tätigkeiten und Diensten bleibt auf den Zeitraum vom 1. Mai bis 30. Juni festgelegt.

Für die Risikoübernahme: Die Regel zu Fusionen und Übertragungen ist bei Unternehmenstransaktionen relevant. Ein NIS-Unternehmensteil, der den Eigentümer wechselt, nimmt seine Registrierungspflichten mit, und der Risikofragebogen sollte das berücksichtigen. Das Gesamtbild steht im NIS2-Faktenblatt.

3. Digital-Omnibus: Der EU-Rat regelt die Meldung von Datenpannen neu

Am 21. Oktober 2026 hat der EU-Rat seine Position zum Digital-Omnibus beschlossen, dem Paket zur Vereinfachung der digitalen Vorschriften (NicFab). Zwei Punkte betreffen die Bewältigung von Vorfällen unmittelbar:

die Meldung einer Datenpanne an die Behörde wäre nur noch bei Verletzungen mit hohem Risiko verpflichtend, innerhalb von 96 statt bisher 72 Stunden;
die zentrale europäische Anlaufstelle für Vorfallmeldungen würde zu einer Informationsstelle, die auf die nationalen Kanäle verweist, mit einem neuen Artikel 23b NIS2.

Die Position erstreckt sich auch auf die Meldung von DORA-Vorfällen. Der Text ist noch kein geltendes Recht: Als Nächstes folgen die Verhandlungen mit dem Europäischen Parlament.

Für die Risikoübernahme: Werden die Änderungen angenommen, bedeuten weniger Pflichtmeldungen an die Datenschutzbehörden geringere Meldekosten und weniger Bußgelder wegen verspäteter Meldung bei kleineren Vorfällen. Für NIS2, DORA und den CRA ändert sich nichts; sie behalten ihre eigenen Fristen.

4. Italienische Datenschutzbehörde: die Schwächen hinter einem Ransomware-Angriff

Mit einer Entscheidung vom Juli 2026, besprochen am 13. Oktober, hat die italienische Datenschutzbehörde ein Ingenieurberatungsbüro, das im Oktober 2024 Opfer eines Ransomware-Angriffs wurde, mit 120.000 Euro belegt (Data Protection Law). Das Büro verarbeitete Daten im Auftrag von mehr als 1.200 Kunden; ein Teil der gestohlenen Daten, darunter Gesundheitsdaten, wurde im Dezember 2024 im Darknet veröffentlicht. Die Behörde stellte Verstöße gegen die Artikel 5 und 32 DSGVO fest und nannte fünf Schwächen:

Kontosperre nach zehn Fehlversuchen, aber automatische Entsperrung nach fünf Minuten;
Multi-Faktor-Authentifizierung nur für einen Teil der Konten, nicht für VPN, Firewall oder Netzwerkgeräte;
keine Netzsegmentierung, die Domain-Controller konnten alle VLANs erreichen, auch das Backup-Netz;
keine Offline- oder unveränderliche Sicherung, das letzte nutzbare Backup war zwei Monate alt;
kein formales Schwachstellenmanagement.

Für die Risikoübernahme: Die fünf Schwächen entsprechen den Kernfragen eines Cyber-Risikofragebogens. Die Entscheidung bestätigt zudem, dass ein Dienstleister mit vielen Kunden, hier mehr als 1.200, ein Kumulpunkt ist: Ein einziger Angriff erzeugt einen Schaden beim Dienstleister und Meldepflichten für jeden Kunden.

5. Cyber Resilience Act: erste Erinnerung zu PHP-Schwachstellen

Am 21. Oktober 2026 haben die Europäische Kommission, ENISA, CERT-EU, Europol und das CSIRT-Netzwerk eine gemeinsame Erklärung zu kritischen PHP-Schwachstellen veröffentlicht (NicFab). Sie erinnert daran, dass Hersteller seit dem 11. September 2026 aktiv ausgenutzte Schwachstellen über die zentrale Meldeplattform der ENISA melden müssen. Es ist das erste Mal, dass die Behörden diese Pflicht öffentlich für eine weit verbreitete Schwachstelle in Erinnerung rufen.

Für die Risikoübernahme: Für Softwarehersteller, die PHP in ihren Produkten ausliefern, gilt die Meldepflicht bereits. Wer nicht gemeldet hat, riskiert Bußgelder und ab dem 9. Dezember 2026 eine schwächere Position in einem Produkthaftungsprozess. Einzelheiten im Faktenblatt zum Cyber Resilience Act.

Nächste Fristen

2. Dezember 2026: neue Verbote der KI-Verordnung für Systeme, die nicht einvernehmliche intime Bilder erzeugen.
9. Dezember 2026: Die Richtlinie (EU) 2024/2853 macht Software zum Produkt im Sinne der Produkthaftung.
1. Januar bis 28. Februar 2027: Registrierungsfenster NIS 2027 in Italien, nach den neuen Regeln der Verfügung 314287/2026.

Auswirkung für VersichererMittel

Der Oktober vervollständigt den italienischen Rahmen der KI-Verordnung und vereinfacht NIS2, während der Digital-Omnibus noch verhandelt wird; das Bußgeld der Datenschutzbehörde liefert eine konkrete Liste von Kontrollen für die Risikoprüfung.