NIS2 · Südtirol
NIS2 in Südtirol: Wer betroffen ist, was zu tun ist und bis wann
Leitfaden für Südtiroler KMU: Kriterien, Registrierung im ACN-Portal, Fristen und Pflichten. Stand: 26. Oktober 2026, auf Grundlage des NIS-Vademecums der ACN (September 2026).
Die NIS2-Richtlinie wurde in Italien mit dem Gesetzesdekret 138/2024 umgesetzt, in Kraft seit dem 16. Oktober 2024. Die Regeln sind national und gelten auch in Südtirol. Anders ist der Kontext: zweisprachige Unternehmen, Lieferketten, die die Grenze zu Österreich und Deutschland überschreiten, und viele KMU ohne eigene IT-Abteilung.
Wer unter NIS2 fällt
NIS2 betrifft öffentliche und private Einrichtungen in 18 Sektoren (11 mit hoher Kritikalität und 7 „sonstige kritische Sektoren“), die in der Regel mindestens eine dieser Schwellen erreichen:
- mindestens 50 Mitarbeitende
- mehr als 10 Millionen Euro Jahresumsatz oder Bilanzsumme
Zu den Sektoren gehören Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IKT-Dienste, Herstellung (Maschinen, Medizinprodukte, Elektronik, Lebensmittel), Abfallwirtschaft, Postdienste und Forschung. In Südtirol sind unter anderem Energie- und Wasserversorger, Fertigungs- und Lebensmittelbetriebe, Gesundheitseinrichtungen und Anbieter digitaler Dienste betroffen. Einige Einrichtungen fallen unabhängig von ihrer Größe in den Anwendungsbereich.
Auch wer nicht direkt verpflichtet ist, kann es faktisch sein: Großkunden in Italien, Österreich und Deutschland verlangen von Lieferanten zunehmend Sicherheitsanforderungen im Einklang mit NIS2.
Registrierung im ACN-Portal
Die Registrierung erfolgt online im Serviceportal der Nationalen Behörde für Cybersicherheit (ACN), über die vom Unternehmen benannte Kontaktperson. Die erste Registrierung fand vom 1. Dezember 2024 bis 28. Februar 2025 statt. Seitdem muss die Registrierung bzw. Aktualisierung jedes Jahr vom 1. Januar bis 28. Februar erfolgen. Bis zum 14. April eines jeden Jahres teilt die ACN per zertifizierter E-Mail (PEC) die Aufnahme, den Verbleib oder die Streichung aus dem Verzeichnis der NIS-Einrichtungen mit.
Wenn Ihr Unternehmen die Kriterien erfüllt, sich aber nicht registriert hat, sollten Sie die Situation jetzt prüfen, vor dem nächsten Registrierungsfenster.
Die wichtigsten Fristen
16. Oktober 2024
Inkrafttreten des Gesetzesdekrets 138/2024.
1. Dez 2024 – 28. Feb 2025
Erste Registrierung im ACN-Portal.
Frühjahr 2025
Die ACN teilt die Aufnahme in das Verzeichnis der NIS-Einrichtungen per PEC mit: ab diesem Datum laufen die Fristen der Erstanwendung (Art. 42 des Gesetzesdekrets 138/2024).
Januar 2026 (9 Monate ab der Mitteilung)
Im Jahr 2025 aufgenommene Einrichtungen: Pflicht zur Meldung erheblicher Basis-Sicherheitsvorfälle an das CSIRT Italia, mit Vorabmeldung innerhalb von 24 Stunden und Meldung innerhalb von 72 Stunden.
Bis Oktober 2026 (18 Monate ab der Mitteilung)
Im Jahr 2025 aufgenommene Einrichtungen: Umsetzung der grundlegenden Sicherheitsmaßnahmen. Der genaue Tag hängt vom Datum Ihrer PEC ab.
Januar 2027 und Juli 2027
Im Jahr 2026 aufgenommene Einrichtungen: Meldung von Vorfällen ab Januar 2027, grundlegende Sicherheitsmaßnahmen bis Juli 2027.
Jedes Jahr
1. Jan – 28. Feb: Registrierung. 15. Apr – 31. Mai: Aktualisierung der Angaben (jede Änderung ist innerhalb von 14 Tagen mitzuteilen). 1. Mai – 30. Jun: Kategorisierung von Tätigkeiten und Diensten.
Die ACN kann die Termine aktualisieren: prüfen Sie stets die offizielle Quelle unter acn.gov.it/portale/nis. Verwendete Quellen: NIS-Vademecum der ACN v1.0 (September 2026); ACN, „Modalità e specifiche di base“; ACN-Beschluss Nr. 379907 vom 19. Dezember 2025, der Nr. 164179 vom 14. April 2025 aktualisiert (Anhang 1 für wichtige, Anhang 2 für wesentliche Einrichtungen).
Was NIS2 verlangt
- Governance und Verantwortung der Geschäftsleitung, die geschult sein muss
- Analyse und Management von Cyberrisiken
- Management und Meldung von Sicherheitsvorfällen
- Betriebskontinuität, Backup und Disaster Recovery
- Sicherheit der Lieferkette und der Lieferanten
- Zugriffskontrolle und Multi-Faktor-Authentifizierung
- Schulung und Sensibilisierung der Mitarbeitenden
Die Sanktionen reichen für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes; für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 %. Zur Verantwortung des Unternehmens kommt die der Leitungsorgane hinzu.
Was sich in Südtirol ändert
- Dokumentation, Richtlinien und Schulungen müssen oft auf Italienisch und Deutsch erstellt werden
- viele Unternehmen arbeiten in grenzüberschreitenden Lieferketten mit Österreich und Deutschland, wo Kunden bereits NIS2-konforme Anforderungen stellen
- viele KMU haben keine eigene IT-Abteilung: ein Virtual CISO kann diese Rolle übernehmen
Häufige Fragen
Gilt NIS2 auch für kleine Südtiroler Unternehmen?
In der Regel betrifft sie mittlere und große Unternehmen in den betroffenen Sektoren. Kleinere Betriebe können aber einbezogen sein, wenn sie kritische Dienste betreiben oder in der Lieferkette verpflichteter Einrichtungen arbeiten, die die Anforderungen an ihre Lieferanten weitergeben.
Woher weiß ich, ob mein Unternehmen verpflichtet ist?
Das hängt von Sektor und Größe ab. Mit dem kostenlosen Online-NIS2-Assessment (45 Fragen, etwa 10 Minuten) erhalten Sie einen ersten Wert; die genaue Anwendbarkeit wird im Einzelfall im Erstgespräch geprüft.
Muss ich mich im ACN-Portal registrieren, und wann?
Wenn das Unternehmen unter NIS2 fällt, ja. Die Registrierung bzw. Aktualisierung erfolgt jedes Jahr vom 1. Januar bis 28. Februar.
Bedeutet „bis Oktober 2026“ bis zum 31. Oktober?
Nicht unbedingt. Für im Jahr 2025 aufgenommene Einrichtungen beträgt die genaue Frist 18 Monate ab Erhalt der Aufnahmemitteilung (9 Monate für Meldungen): Das Datum hängt von Ihrer PEC-Nachricht der ACN ab.
Was muss ich bis Oktober 2026 tun?
Die grundlegenden Sicherheitsmaßnahmen gemäß ACN-Beschluss Nr. 379907/2025 umsetzen (Anhang 1 für wichtige, Anhang 2 für wesentliche Einrichtungen). In der Praxis: eine erste Gap-Analyse, eine Roadmap mit Prioritäten und Verantwortlichkeiten, dokumentierte Richtlinien und Verfahren, Schulung von Geschäftsleitung und Personal sowie ein Plan für das Vorfallmanagement.
Was kostet die NIS2-Umsetzung?
Das hängt von Größe und Reifegrad des Unternehmens ab. Der Preis wird nach dem Erst-Audit individuell festgelegt, mit schriftlichem Angebot und ohne versteckte Kosten.
Arbeiten Sie auf Italienisch und Deutsch?
Ja. Beratung, Dokumentation und Schulung können auf Italienisch und Deutsch erfolgen.
Betreuen Sie nur Unternehmen in Südtirol?
Unser Sitz ist in Bozen, mit einem weiteren Standort in Mailand. Wir betreuen KMU in Südtirol, im Trentino und in Norditalien sowie Unternehmen in Österreich und der Schweiz.
Stand: 26. Oktober 2026. Diese Seite dient der Information und stellt keine Rechtsberatung dar.