Italien: der Rahmen der Cybersicherheit
Nationale Strategie, geltende Gesetze und Dekrete, Umsetzung von NIS 2, CER und CRA, Meldepflichten und Fristen der nächsten 24 Monate.
Stets aktuelle Fassung: https://www.cybersecuritydatabase.org/de/reports/italy/
Die Datenbank enthält 21 italienische Rechtsakte zur Cybersicherheit, davon 15 geltende Gesetze, Dekrete oder Verordnungen. In den nächsten 24 Monaten fallen 38 Fristen an, die Italien betreffen: 8 aus italienischen Rechtsakten, die übrigen aus EU-Rechtsakten.
Nationale Strategie
Nationale Cybersicherheitsstrategie 2022-2026 · 2022–2026
Umsetzung und Durchführung von EU-Rechtsakten
- NIS 2: Umgesetzt, in Kraft · Decreto legislativo 4 settembre 2024, n. 138 · fristgerecht
- CER: Umgesetzt, in Kraft · Decreto legislativo 4 settembre 2024, n. 134 · fristgerecht
- CRA: Entwurf im Parlament · Schema di decreto legislativo recante disposizioni per l'adeguamento della normativa nazionale al regolamento (UE) 2024/2847 (regolamento sulla ciberresilienza)
Geltende Gesetze, Dekrete und Verordnungen
Meldepflichten für Vorfälle
| Regelung | Fristen | Behörde |
|---|---|---|
| CRA (Entwurf eines gesetzesvertretenden Dekrets, AG 447) |
| CSIRT Italia (ACN), über die zentrale Meldeplattform der ENISA |
| NIS 2 (Gesetzesvertretendes Dekret 138/2024) |
| CSIRT Italia (Nationale Agentur für Cybersicherheit, ACN) |
| Nationaler Cybersicherheitsperimeter (Gesetzesdekret 105/2019) |
| CSIRT Italia (Nationale Agentur für Cybersicherheit, ACN) |
| Gesetz 90/2024 (öffentliche Verwaltungen) |
| Nationale Agentur für Cybersicherheit (ACN) |
Fristen der nächsten 24 Monate (38)
- Die Änderungen durch das Gesetzesvertretende Dekret 191/2026 über verwaltete Sicherheitsdienste gelten
GvD 123/2022 – Cybersicherheitszertifizierung · Italien - Erste Schlüsselmaßnahmen: strukturierter Zugang zu fortschrittlicher KI, Testplattform, Open-Source-Kampagne, Grand Challenge
EU-Aktionsplan für Cybersicherheit und KI (2026) · Europäische Union - Neue Verbote nach der Verordnung (EU) 2026/1744 und Kennzeichnung von Inhalten für bereits in Verkehr befindliche generative Systeme
KI-Verordnung (Verordnung (EU) 2024/1689) · Europäische Union - Die Mitgliedstaaten bemühen sich um eine ausreichende Zahl notifizierter Stellen
Cyberresilienz-Verordnung (Cyber Resilience Act, Verordnung (EU) 2024/2847) · Europäische Union - Jeder Mitgliedstaat muss mindestens eine europäische Brieftasche für die Digitale Identität bereitstellen
eIDAS 2 (Verordnung (EU) 2024/1183) · Europäische Union - Vorlage für Übungsszenarien für Übungen auf Ebene der Einrichtungen und der Mitgliedstaaten (danach alle drei Jahre)
Netzkodex für Cybersicherheit im Stromsektor (NCCS) · Europäische Union - Erste Schritte abgeschlossen und nationale Fahrpläne für Post-Quanten-Kryptografie in allen Mitgliedstaaten
EU-Fahrplan für Post-Quanten-Kryptografie (2025) · Europäische Union - EU-Kapazität zur Bewertung von KI-Modellen, einschließlich Cybersicherheit
EU-Aktionsplan für Cybersicherheit und KI (2026) · Europäische Union - Im Jahr 2026 in die NIS-Liste aufgenommene Einrichtungen: die Pflicht zur Meldung erheblicher Vorfälle beginnt (ACN-Verfügung 127434/2026)
ACN-Verfügung 379907/2025 – Grundlegende NIS-Sicherheitsmaßnahmen und Meldung von Vorfällen · Italien - Erster zweijährlicher Bericht der Kommission über die Durchführung
Cybersicherheit der EU-Organe (2023/2841) · Europäische Union - Die Verordnung gilt zum größten Teil; die Maschinenrichtlinie 2006/42/EG wird aufgehoben
Maschinenverordnung (EU) 2023/1230 · Europäische Union - Erste Bewertung der Verordnung durch die Kommission (danach mindestens alle vier Jahre)
Cybersolidaritätsverordnung (Cyber Solidarity Act, Verordnung (EU) 2025/38) · Europäische Union - Frist für die jährliche Registrierung auf der ACN-Plattform (ab 1. Januar); bereits gelistete Einrichtungen ohne Änderungen reichen keine neue Erklärung ein
GvD 138/2024 – Umsetzung der NIS-2-Richtlinie · Italien - Gemeinsame Verfahrensregeln für grenzüberschreitende Fälle gelten (Verordnung (EU) 2025/2518)
DSGVO (Verordnung (EU) 2016/679) · Europäische Union - Erste zweijährliche Aktualisierung der Listen der wesentlichen und wichtigen Einrichtungen und Übermittlung der Zahlen an die Kommission
NIS-2-Richtlinie (EU) 2022/2555 · Europäische Union - Frist für die jährliche Aktualisierung der Angaben auf der ACN-Plattform (ab 15. April)
ACN-Verfügung 314287/2026 – NIS-Registrierung und Plattform · Italien - EU-CyCLONe vereinbart eine gemeinsame Taxonomie der Schweregrade von Sicherheitsvorfällen (innerhalb von 24 Monaten)
EU-Konzeptentwurf für das Cyberkrisenmanagement (Cyber Blueprint, 2025) · Europäische Union - Frist für die Übermittlung der kategorisierten Liste der Tätigkeiten und Dienste (ab 1. Mai)
ACN-Verfügung 314287/2026 – NIS-Registrierung und Plattform · Italien - Bericht der Kommission über die Umsetzungsmaßnahmen der Mitgliedstaaten
CER-Richtlinie (EU) 2022/2557 · Europäische Union - Im Jahr 2026 in die NIS-Liste aufgenommene Einrichtungen: Frist für die Umsetzung der grundlegenden Sicherheitsmaßnahmen (ACN-Verfügung 127434/2026)
ACN-Verfügung 379907/2025 – Grundlegende NIS-Sicherheitsmaßnahmen und Meldung von Vorfällen · Italien - Nationale KI-Reallabore einsatzbereit; Anpassung der vor August 2025 in Verkehr gebrachten Modelle mit allgemeinem Verwendungszweck
KI-Verordnung (Verordnung (EU) 2024/1689) · Europäische Union - Erste Überprüfung der Richtlinie durch die Kommission
NIS-2-Richtlinie (EU) 2022/2555 · Europäische Union - Hochrisiko-Systeme nach Anhang III (Termin durch den digitalen Omnibus verschoben)
KI-Verordnung (Verordnung (EU) 2024/1689) · Europäische Union - Die Konformitätsverfahren für wichtige und kritische Produkte gelten mit der vollständigen Anwendung des CRA
CRA: wichtige und kritische Produkte (VO 2025/2392) · Europäische Union - Die Verordnung gilt vollständig
Cyberresilienz-Verordnung (Cyber Resilience Act, Verordnung (EU) 2024/2847) · Europäische Union - Aufgehoben durch die Delegierte Verordnung (EU) 2026/339: Die Cyberresilienz-Verordnung tritt an ihre Stelle
Delegierte RED-Verordnung (EU) 2022/30 · Europäische Union - Private vertrauende Beteiligte, die zur starken Authentifizierung verpflichtet sind, müssen die Brieftasche auf Wunsch des Nutzers akzeptieren
eIDAS 2 (Verordnung (EU) 2024/1183) · Europäische Union - Letzter Tag für die Ausstellung von EUCC-Zertifikaten auf der Grundlage früherer Versionen der Gemeinsamen Kriterien
Europäisches Zertifizierungsschema EUCC (VO 2024/482) · Europäische Union - Allgemeine Überprüfung der Verordnung durch die Kommission
DORA (Verordnung (EU) 2022/2554) · Europäische Union - Nach anderen Unionsvorschriften ausgestellte EU-Baumusterprüfbescheinigungen zur Cybersicherheit laufen ab
Cyberresilienz-Verordnung (Cyber Resilience Act, Verordnung (EU) 2024/2847) · Europäische Union - Letzte Frist für die Mitteilung an die Einrichtungen, dass sie Einrichtungen mit hoher oder kritischer Auswirkung sind
Netzkodex für Cybersicherheit im Stromsektor (NCCS) · Europäische Union - Erster Bericht der zentralen Anlaufstellen über Meldungen von Sicherheitsvorfällen (danach alle zwei Jahre)
CER-Richtlinie (EU) 2022/2557 · Europäische Union - Erster zusammenfassender Bericht der zentralen Anlaufstelle an die Europäische Kommission über gemeldete Sicherheitsvorfälle (danach alle zwei Jahre)
GvD 134/2024 – Umsetzung der CER-Richtlinie · Italien - Erster Bewertungs- und Überprüfungsbericht der Kommission (danach alle vier Jahre)
Maschinenverordnung (EU) 2023/1230 · Europäische Union - Hochrisiko-Systeme nach Anhang I (Termin durch den digitalen Omnibus verschoben)
KI-Verordnung (Verordnung (EU) 2024/1689) · Europäische Union - Frist für die Anwendung der durch delegierte Rechtsakte hinzugefügten Anforderungen an Hochrisiko-KI-Systeme
Maschinenverordnung (EU) 2023/1230 · Europäische Union - Bericht der Kommission über die Wirksamkeit der zentralen Meldeplattform
Cyberresilienz-Verordnung (Cyber Resilience Act, Verordnung (EU) 2024/2847) · Europäische Union