NIS-2 in Italien und ISO 27001 im Vergleich

Die italienische Tochter eines internationalen Unternehmens verweist gelassen auf das Zertifikat der Konzernmutter: „Wir haben doch ISO 27001. Damit müsste NIS-2 in Italien erledigt sein.“

Das Zertifikat ist echt. Das ISMS ist ordentlich. Nur hat die italienische Gesellschaft weder ihre Betroffenheit vollständig geprüft noch einen Punkt von der jährlichen Aufgabenliste im Portal der Agenzia per la Cybersicurezza Nazionale, kurz ACN, erledigt.

Das ist ungefähr so, als hätte man für die Fahrt nach Rom einen sehr guten Motor gebaut – und anschließend vergessen, das Fahrzeug anzumelden.

ISO 27001 und das italienische NIS-Dekret passen fachlich ausgesprochen gut zusammen. Risikomanagement, Vorfälle, Business Continuity, Lieferkette, sichere Entwicklung, Wirksamkeit, Schulungen, Kryptografie, Zugriffe und Assets kommen auf beiden Seiten vor. Italien setzt jedoch ein eigenes administratives und technisches Regelwerk darauf: Registrierung, jährliche Aktualisierungsfenster, benannte Ansprechpartner, Kategorisierung der Tätigkeiten und Dienste, konkrete ACN-Basismaßnahmen und gesetzliche Meldefristen.

Ein ISO 27001-Zertifikat spart daher sehr viel Aufbauarbeit. Es nimmt einem aber nicht die italienischen Hausaufgaben ab.

Die kurze Antwort

ISO 27001 mappt sehr gut auf das italienische NIS-Dekret. Ein ISO 27001-Zertifikat erfüllt die italienischen NIS-2-Pflichten jedoch nicht automatisch.

Warum nicht?

• Das italienische Recht bestimmt seinen Anwendungsbereich selbst; der Zertifikats-Scope kann kleiner oder anders zugeschnitten sein.
• Die ACN hat verbindliche Basismaßnahmen und Kriterien für erhebliche Vorfälle festgelegt.
• Betroffene Organisationen müssen sich im ACN-Portal registrieren und ihre Angaben regelmäßig aktualisieren.
• Tätigkeiten und Dienste müssen jährlich aufgelistet, beschrieben und einer Relevanzkategorie zugeordnet werden.
• Erhebliche Vorfälle müssen über die italienischen Meldewege innerhalb gesetzlicher Fristen gemeldet werden.
• Leitungsgremien müssen Maßnahmen genehmigen, ihre Umsetzung überwachen und sich schulen lassen.
• Die ACN beaufsichtigt die Einhaltung und kann prüfen, anweisen und sanktionieren.

Anders als Belgien baut Italien keine ausdrückliche gesetzliche Konformitätsvermutung allein auf ein ISO 27001-Zertifikat. Das Zertifikat ist ein sehr überzeugendes Beweismittel. Es ist aber kein amtlicher „Salta il resto“-Knopf.

Welches italienische NIS-2-Gesetz meinen wir?

Italien hat die NIS-2-Richtlinie mit dem Decreto legislativo 4 settembre 2024, n. 138 umgesetzt. Das Gesetzesdekret Nr. 138/2024 wurde am 1. Oktober 2024 veröffentlicht und trat am 16. Oktober 2024 in Kraft.

Im italienischen Sprachgebrauch wird es häufig schlicht decreto NIS genannt. Zuständige nationale Behörde, zentrale Anlaufstelle und Heimat des CSIRT Italia ist die Agenzia per la Cybersicurezza Nazionale, kurz ACN.

Zum Gesetz kommen Durchführungsakte und technische Vorgaben der ACN. Besonders wichtig sind die Specifiche di base: Sie konkretisieren die Basismaßnahmen für wesentliche und wichtige Einrichtungen sowie die Kriterien für meldepflichtige erhebliche Vorfälle. Die im Dezember 2025 aktualisierte Determinazione ACN Nr. 379907/2025 gilt seit Januar 2026. Für neu im Jahr 2026 aufgenommene Einrichtungen kamen eigene Fristen hinzu.

Dieser Vergleich hat den Stand 14. August 2026. Das ist bei Italien kein dekorativer Hinweis: Die ACN entwickelt Verfahren, Termine, Formulare und technische Vorgaben weiter.

Wer fällt in Italien unter NIS-2?

Das italienische Dekret unterscheidet soggetti essenziali und soggetti importanti, also wesentliche und wichtige Einrichtungen.

Grundsätzlich werden öffentliche und private Organisationen erfasst, die zu den in den Anhängen I bis IV genannten Typen gehören. Die Anhänge I und II umfassen hochkritische beziehungsweise kritische Sektoren, darunter:

• Energie, Verkehr, Banken und Finanzmarktinfrastrukturen;
• Gesundheit, Trinkwasser, Abwasser und digitale Infrastruktur;
• öffentliche Verwaltung, Raumfahrt und ICT-Dienstemanagement;
• Post, Abfall, Chemie, Lebensmittel und bestimmte produzierende Unternehmen;
• digitale Anbieter und Forschung.

Regelmäßig muss die Organisation die Schwellen für kleine Unternehmen überschreiten. Als grober Einstieg gilt damit: mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme. Für große Unternehmen in besonders kritischen Bereichen kommt typischerweise die Einordnung als wesentliche Einrichtung in Betracht.

Es gibt zahlreiche Sonderfälle. Bestimmte Telekommunikationsanbieter, Vertrauensdienste, TLD-Register, DNS-Dienste und öffentliche Stellen können unabhängig von ihrer Größe erfasst sein. Auch besonders kritische Lieferanten, verbundene Unternehmen und Organisationen mit systemischer Bedeutung können einbezogen werden.

Italien arbeitet nicht nur mit Selbsteinschätzung. Die ACN führt jährlich eine Liste der wesentlichen und wichtigen Einrichtungen und teilt den Organisationen ihre Aufnahme, den Verbleib oder die Herausnahme über das Portal mit.

Was regelt ISO 27001?

ISO 27001 beschreibt ein Informationssicherheitsmanagementsystem. Die Organisation bestimmt Kontext und Geltungsbereich, bewertet Risiken, plant deren Behandlung, weist Verantwortlichkeiten und Ressourcen zu, setzt Maßnahmen um, bewertet ihre Wirksamkeit und verbessert das System fortlaufend.

Eine akkreditierte Zertifizierungsstelle kann bestätigen, dass dieses ISMS die Anforderungen der Norm erfüllt. Unser Artikel zu den sieben Schritten zum ISO 27001-Zertifikat zeigt den typischen Weg.

Das passt gut zur Grundidee des italienischen Dekrets: angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen, orientiert an Risiken, aktuellem Kenntnisstand, internationalen Normen, Umsetzungsaufwand sowie möglichen sozialen und wirtschaftlichen Folgen.

Der Unterschied liegt weniger im grundsätzlichen Sicherheitsdenken als in der gesetzlichen Außenhaut. ISO 27001 sagt nicht, in welchem italienischen Portal Sie sich wann registrieren, welche ACN-Kategorie Ihr Dienst erhält und wohin nachts um halb zwei die 24-Stunden-Vorwarnung geht.

NIS-2 Italien und ISO 27001: das Mapping

Die folgende Tabelle ordnet die wichtigsten italienischen Pflichten passenden ISO-Anforderungen zu. Sie ist eine Orientierung, keine automatische Konformitätserklärung.

Die Anwendbarkeitserklärung hilft beim Mapping. Sie zeigt, welche Controls aus Anhang A gelten, wie sie umgesetzt werden und warum etwas ausgeschlossen wurde. Die ACN-Basismaßnahmen müssen trotzdem einzeln dagegengelegt werden. Eine SoA ist kein italienischer Zauberübersetzer, der aus „nicht anwendbar“ automatisch „gesetzlich erledigt“ macht.

Wo passen das italienische NIS-Dekret und ISO 27001 besonders gut zusammen?

Risikomanagement mit Mehrgefahrenansatz

Artikel 24 des italienischen Dekrets verlangt angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen. Sie sollen Risiken für Netz- und Informationssysteme steuern und die Folgen von Vorfällen minimieren. Ausdrücklich verlangt wird ein Mehrgefahrenansatz, der auch die physische Umgebung berücksichtigt.

Das passt sehr gut zum Risikomanagement nach ISO 27001. Risiken werden nicht nur für Hackerangriffe bewertet. Auch Stromausfall, Feuer, Fehlbedienung, Ausfall eines Dienstleisters oder eine physische Störung können die Sicherheit der Dienste treffen.

Führung ist keine Zuschauerrolle

Die Verwaltungs- und Leitungsorgane müssen die Umsetzung der Maßnahmen genehmigen, die Erfüllung der Pflichten überwachen und tragen Verantwortung für Verstöße. Sie müssen außerdem Cybersicherheitsschulungen absolvieren und passende Schulungen der Beschäftigten fördern.

Auch ISO 27001 verlangt Führung und Verpflichtung des Topmanagements. Italien formuliert nur noch deutlicher: Die Geschäftsführung darf beim Thema Cybersicherheit nicht in der Loge sitzen, kurz applaudieren und anschließend erklären, für den Inhalt sei der ISB zuständig.

Vorfälle, BCM und Lieferketten

Incident Management, Business Continuity, Backups, Wiederherstellung, Krisenmanagement und Lieferkettensicherheit finden sich beinahe deckungsgleich in Artikel 24 und Anhang A.

Ein belastbarer Prozess für Informationssicherheitsvorfälle liefert Erkennung, Bewertung, Eskalation, Eindämmung, Wiederherstellung und Lernen. Die praktische Herleitung von BCM-Plänen sorgt dafür, dass nicht nur ein allgemeines Notfallpapier existiert, sondern die wirklich kritischen Ausfälle behandelt werden.

Sichere Entwicklung und Wirksamkeit

Das Dekret verlangt Sicherheit bei Beschaffung, Entwicklung und Wartung, einschließlich Schwachstellenmanagement und koordinierter Offenlegung. Ebenso ausdrücklich verlangt werden Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen.

Das ist sehr nah an ISO 27001. Wer nur Maßnahmen sammelt, aber nie prüft, ob sie funktionieren, erfüllt weder den Geist der Norm noch den des italienischen Gesetzes. Unser Artikel Wirksamkeit in NIS-2: Bringt das was? widmet sich genau diesem Unterschied.

Die italienische Besonderheit: Gesetz plus ACN-Arbeitskalender

In Italien reicht es nicht, die zehn bekannten NIS-2-Themen in einer Tabelle abzuhaken. Das Dekret und die ACN-Vorgaben bauen einen wiederkehrenden administrativen Prozess auf.

Registrierung und jährliche Aktualisierung

Grundsätzlich registrieren beziehungsweise aktualisieren potenziell betroffene Organisationen ihre Registrierung jedes Jahr vom 1. Januar bis 28. Februar im ACN-Portal. Bis zum 31. März erstellt die ACN die Liste der wesentlichen und wichtigen Einrichtungen und informiert die registrierten Organisationen.

Aufgenommene Einrichtungen liefern beziehungsweise aktualisieren anschließend weitere Angaben. Dazu gehören etwa öffentliche IP-Adressräume, Domainnamen, Staaten der Leistungserbringung, verantwortliche Leitungspersonen sowie die Stellvertretung des NIS-Ansprechpartners. Änderungen sind unverzüglich, spätestens innerhalb von 14 Tagen, zu melden.

Tätigkeiten und Dienste kategorisieren

Artikel 30 verlangt jährlich zwischen 1. Mai und 30. Juni eine Liste der eigenen Tätigkeiten und Dienste. Sie müssen beschrieben und einer Relevanzkategorie zugeordnet werden.

Das ist mehr als Verwaltungsballett. Die Kategorisierung verbindet das Unternehmen mit den passenden Sicherheitsanforderungen. Wer seine Dienste nicht sauber abgrenzen und ihre Kritikalität nicht erklären kann, bekommt schon vor der technischen Umsetzung einen ziemlich ehrlichen Spiegel vorgehalten.

2026 kamen außerdem konkrete Vorgaben zur Meldung relevanter Lieferanten hinzu. Italien interessiert sich damit nicht nur dafür, was eine Einrichtung selbst tut, sondern auch dafür, von welchen ICT- und Sicherheitsdienstleistern ihre Leistungserbringung abhängt.

Basismaßnahmen statt freier Framework-Wahl

Die ACN hat eigene misure di sicurezza di base für wichtige und wesentliche Einrichtungen veröffentlicht. Sie orientieren sich am italienischen nationalen Cybersecurity-Framework und sind in Funktionen wie Governance, Identifikation, Schutz, Erkennung, Reaktion und Wiederherstellung gegliedert.

ISO 27001 deckt sehr viel davon ab. Die italienischen Anforderungen müssen dennoch auf Ebene der einzelnen ACN-Vorgaben gemappt werden. Wesentliche Einrichtungen haben dabei weitergehende Anforderungen als wichtige Einrichtungen.

Für bereits 2025 gelistete Organisationen laufen die Fristen aus der Determinazione 379907/2025 weiter: Die Meldepflichten begannen nach neun Monaten, die Basismaßnahmen sind innerhalb von 18 Monaten nach der Listungsmitteilung umzusetzen. Für erstmals 2026 gelistete Einrichtungen legte die ACN eigene feste Daten fest: Meldung erheblicher Vorfälle ab 1. Januar 2027, Umsetzung der Basismaßnahmen bis 31. Juli 2027.

Wo ist das italienische NIS-Dekret genauer als ISO 27001?

Gesetzliche Meldefristen

Bei einem erheblichen Vorfall verlangt Artikel 25 grundsätzlich:

• unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, eine Vorabmeldung;
• unverzüglich, spätestens binnen 72 Stunden, eine Vorfallmeldung;
• auf Anforderung einen Zwischenbericht;
• innerhalb eines Monats nach der Vorfallmeldung einen Abschlussbericht.

Bei noch laufenden Vorfällen folgen monatliche Fortschrittsberichte und anschließend ein Abschlussbericht. Für Vertrauensdienste gelten Besonderheiten.

ISO 27001 verlangt einen funktionierenden Incident-Prozess und die Berücksichtigung rechtlicher Meldepflichten. Sie kennt aber weder CSIRT Italia noch das ACN-Portal oder diese Fristen. „Wir schauen uns das nach dem Wochenende an“ kann organisatorisch gemütlich wirken und rechtlich trotzdem zu spät sein.

Konkrete Ansprechpartner und Angaben

Italien verlangt einen Punkt für den Kontakt mit der Behörde, eine Stellvertretung und Angaben zu verantwortlichen Personen. Auch IP-Räume, Domains, Tätigkeiten, Dienste und weitere Organisationsdaten werden über das Portal gepflegt.

ISO 27001 verlangt Rollen und Kommunikation, aber keine italienische Registrierung mit diesen Datensätzen.

Staatliche Aufsicht

Die ACN kann Dokumente und Informationen prüfen, Vor-Ort- und Ferninspektionen durchführen sowie Zugriff auf erforderliche Nachweise verlangen. Wesentliche Einrichtungen werden proaktiv beaufsichtigt. Bei wichtigen Einrichtungen greifen Prüf- und Inspektionsbefugnisse grundsätzlich, wenn Hinweise auf mögliche Verstöße vorliegen.

Für zentrale Verstöße drohen bei wesentlichen Einrichtungen bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes; bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent. Auch zeitweilige Einschränkungen von Leitungsfunktionen und die Aussetzung bestimmter Zertifikate oder Genehmigungen können in Betracht kommen.

Ein Zertifizierungsauditor beurteilt ein ISMS. Die ACN setzt italienisches Recht durch. Das ist nicht dasselbe – selbst wenn beide mit erstaunlicher Ausdauer nach Nachweisen fragen.

Wo geht ISO 27001 weiter als das italienische NIS-Dekret?

Das vollständige Managementsystem

ISO 27001 verlangt Kontextanalyse, interessierte Parteien, ISMS-Scope, Ziele, Ressourcen, Kompetenz, Kommunikation, Dokumentenlenkung, Überwachung, Interne Audits, Managementbewertungen, Korrekturmaßnahmen und fortlaufende Verbesserung.

Die italienischen Basismaßnahmen enthalten viele Governance- und Nachweiselemente. ISO 27001 bietet jedoch den umfassenderen organisatorischen Kreislauf. Damit werden neue ACN-Vorgaben, vertragliche Pflichten und technische Veränderungen nicht jedes Mal als neues Nebenprojekt behandelt, sondern in ein bestehendes System aufgenommen.

Ein gemeinsamer Rahmen für mehr als Italien

Ein Unternehmen kann sein ISMS bewusst über mehrere Gesellschaften, Länder und Dienste spannen. Darin werden die italienischen Pflichten als verbindliche Anforderungen mit Verantwortlichen, Prozessen, Nachweisen und Fristen geführt.

Das ist besonders für internationale Gruppen sinnvoll. Das Konzern-ISMS liefert die gemeinsame Methode. Die italienische Gesellschaft bleibt trotzdem dafür verantwortlich, dass ihr eigener gesetzlicher Bereich, ihre ACN-Daten und ihre Meldewege stimmen. Wie rechtliche Anforderungen systematisch in das ISMS gelangen, erklären wir in ISO 27001: rechtliche und vertragliche Anforderungen.

Reicht ein ISO 27001-Zertifikat für NIS-2 in Italien?

Nein. Es kann einen sehr großen Teil der organisatorischen und technischen Arbeit abdecken, ersetzt aber weder das italienische Dekret noch die ACN-Specifiche di base.

Prüfen Sie mindestens:

1. Ist die richtige italienische juristische Person betroffen und gegebenenfalls im Zertifikats-Scope enthalten?
2. Deckt der ISMS-Scope sämtliche relevanten Tätigkeiten, Dienste, Standorte, Systeme und Abhängigkeiten ab?
3. Sind alle anwendbaren ACN-Basismaßnahmen den vorhandenen ISO-Prozessen und Nachweisen zugeordnet?
4. Sind Registrierung, jährliche Aktualisierungen und 14-Tage-Änderungsmeldungen organisiert?
5. Sind Tätigkeiten und Dienste vollständig beschrieben und kategorisiert?
6. Sind relevante Lieferanten identifiziert und gemeldet?
7. Funktionieren die italienischen 24- und 72-Stunden-Meldewege?
8. Hat die Leitung Maßnahmen genehmigt, ihre Umsetzung überwacht und Schulungen absolviert?

Das Zertifikat darf im Mapping selbstverständlich als starker Nachweis verwendet werden. Es beweist jedoch nicht automatisch, dass die italienische Gesellschaft jede ACN-Vorgabe erfüllt oder ihren Portalterminkalender beherrscht.

So gehen Unternehmen praktisch vor

1. Betroffenheit und Gesellschaftsstruktur prüfen

Ordnen Sie Sektor, Tätigkeit, Größe, öffentliche Funktionen, verbundene Unternehmen und Sondertatbestände ein. Dokumentieren Sie das Ergebnis. Unser Überblick Was ist NIS-2? hilft beim Einstieg.

2. Den italienischen Bereich gegen den ISMS-Scope legen

Welche juristische Person, Tätigkeiten, Dienste und Systeme erfasst das Dekret? Welche davon umfasst das Zertifikat tatsächlich? Eine Konzernurkunde hilft nur dort, wo die italienische Organisation real im Geltungsbereich enthalten ist.

3. Die ACN-Basismaßnahmen einzeln mappen

Erstellen Sie pro Vorgabe eine Zuordnung zu ISO-Anforderung, Prozess, Richtlinie, Verantwortlichem und Umsetzungsnachweis. Halten Sie Lücken samt Maßnahme und Termin fest.

4. Den Portalprozess als eigenen Prozess behandeln

Legen Sie Verantwortliche, Stellvertretungen und einen Jahreskalender fest. Registrierungsfenster, Aktualisierung, Lieferantenangaben, Kategorisierung und Änderungsmeldungen gehören in kontrollierte Aufgaben – nicht in den Kalender einer einzigen Person mit dem Titel ACN irgendwie.

5. Meldeprozess praktisch testen

Klären Sie, wer einen Vorfall als erheblich bewertet, wer die Vorabmeldung verfasst, wer sie freigibt und wer Zugang zum Portal besitzt. Testen Sie einen Vorfall außerhalb der Bürozeit. Nur dann sehen Sie, ob 24 Stunden realistisch sind oder bloß sehr optimistisch in einer Richtlinie stehen.

6. Das Mapping pflegen

ACN-Vorgaben, Tätigkeiten, Lieferanten, Systeme und Risiken ändern sich. Prüfen Sie das Mapping bei relevanten Änderungen und mindestens im Rahmen Ihrer regelmäßigen ISMS-Steuerung. Sonst ist die Tabelle beim nächsten Audit zwar wunderschön formatiert, beschreibt aber ein Unternehmen von vorgestern.

Interesse geweckt?

Sie haben bereits ein ISO 27001-ISMS und möchten wissen, wie weit es die italienischen NIS-2-Pflichten abdeckt? Oder Sie möchten das decreto NIS gleich in ein neues ISMS integrieren, statt nebenbei eine zweite Dokumentationswelt aufzubauen?

Sprechen Sie mit uns. Wir helfen Ihnen, ACN-Anforderungen, ISO-Prozesse und belastbare Nachweise sauber aufeinander abzubilden – ohne dass der jährliche Portalterminkalender zum eigenständigen italienischen Kunstwerk wird.

Kleiner juristischer Beipackzettel: Dieser Artikel ist eine unverbindliche fachliche Einordnung und keine Rechtsberatung. Gesetze, Durchführungsverordnungen und behördliche Praxis können sich ändern – manchmal sogar, ohne uns vorher anzurufen. Prüfen Sie für konkrete Entscheidungen bitte den aktuellen Rechtsstand und holen Sie bei Bedarf Rechtsrat ein.