CRA für italienische Hersteller: ACN, ACCREDIA, Legge 36/2026

Italienische Hersteller unterliegen denselben Pflichten aus der Legge sulla ciberresilienza wie alle anderen EU-Hersteller. Diese Seite ist ein Länder-Brief für Italien: wie Meldungen zu Schwachstellen und Vorfällen über CSIRT Italia laufen, wie ACN gemäß Legge 36/2026 gleichzeitig als notifizierende Behörde und als Marktüberwachungsbehörde fungiert, welche Rolle ACCREDIA als Akkreditierungsschritt übernimmt, wie OCSI in das europäische EUCC-Schema eingebunden ist, welche Sprachpflichten für den italienischen Markt gelten und welche der Förderlinien Transizione 5.0, PNRR und SECURE für Compliance-Investitionen realistisch sind. Das vollständige Pflichtenset finden Sie im Cluster-Leitfaden für Hersteller.

Für wen dieser Leitfaden gilt

Sie sind der Zielleser, wenn die „Hauptniederlassung in der Union" Ihres Unternehmens in Italien liegt. Das ist der Ort, an dem die Entscheidungen im Zusammenhang mit der Cybersicherheit Ihrer Produkte mit digitalen Elementen überwiegend getroffen werden. Eine in Italien eingetragene Vertriebsgesellschaft mit ausgelagertem Engineering ist keine Hauptniederlassung. Wenn Ihr Engineering-Team, Ihre SDLC-Governance und die Personen, die Sicherheits-Update-Releases genehmigen, in Italien sitzen, richtet sich dieser Leitfaden an Sie.

Wenn Ihre Hauptniederlassung anderswo in der EU liegt und Sie nur nach Italien liefern, laufen Ihre Meldungen gemäß der Legge sulla ciberresilienza über das CSIRT Ihres Hauptniederlassungs-Mitgliedstaats, nicht über CSIRT Italia. Die italienische Sprachpflicht für nutzerseitige Informationen gilt jedoch weiterhin für alle Produkte, die auf dem italienischen Markt bereitgestellt werden.

ACN und CSIRT Italia: der italienische CSIRT-Weg

Meldungen im Rahmen der Legge sulla ciberresilienza laufen über das CSIRT, das als Koordinator des Mitgliedstaats benannt ist, in dem der Hersteller seine Hauptniederlassung in der Union hat. Für einen Hersteller mit Hauptniederlassung in Italien ist dieses CSIRT CSIRT Italia, das nationale CSIRT innerhalb von ACN.

ACN, eingerichtet durch das Decreto-Legge 82/2021 (umgewandelt durch das Gesetz 109/2021), ist Italiens nationale Cybersicherheitsbehörde. Sie berichtet an das Büro des Ministerpräsidenten und fungiert als nationale Anlaufstelle für Cybersicherheitspolitik, Zertifizierung und Regulierung. CSIRT Italia veröffentlicht Schwachstellenhinweise auf Italienisch und betreibt den Vorfallsmeldestrom für Verbraucherprodukte.

Der technische Kanal für die 24h/72h/14-Tage-Meldekadenzen ist die ENISA Single Reporting Platform, die am 11. September 2026 in Betrieb geht. Ein italienischer Hersteller reicht über diese Plattform ein, wobei CSIRT Italia als empfangender Koordinator fungiert. Die CSIRT-Benennung ist das Routing. Die Plattform ist der Transport.

Notifizierte Stellen: ACN notifiziert, ACCREDIA akkreditiert

Wichtige-Klasse-I-Produkte benötigen eine notifizierte Stelle (Modul B+C oder Modul H) nur dann, wenn harmonisierte Normen, gemeinsame Spezifikationen oder ein Zertifizierungsschema sie nicht vollständig abdecken. Wichtige-Klasse-II-Produkte nutzen eine notifizierte Stelle (Modul B+C oder Modul H) oder ein verfügbares und anwendbares Zertifizierungsschema. Kritische Produkte (Anhang IV) folgen Artikel 32(4): dem Zertifizierungsweg nach Artikel 8(1), wo die Kommission ihn ausgelöst hat, andernfalls denselben Wegen nach Artikel 32(3).

Die institutionelle Aufgabenteilung in Italien:

• ACN ist die notifizierende Behörde, die italienische notifizierte Stellen formell bei der Europäischen Kommission benennt, verankert in Legge 36/2026 und operationalisiert durch das durchführende decreto legislativo.
• ACCREDIA (Ente Italiano di Accreditamento) ist die italienische nationale Akkreditierungsstelle und bewertet die technische Kompetenz eines Kandidaten nach ISO/IEC 17065:2012. Die Akkreditierung wird von ACCREDIA selbst als bevorzugtes Instrument zum Nachweis von Kompetenz und Unabhängigkeit beschrieben, ist jedoch keine zwingend vorgeschriebene Voraussetzung für die Notifizierung gemäß der Legge sulla ciberresilienza.

Der Rahmen der Legge sulla ciberresilienza für notifizierte Stellen gilt ab dem 11. Juni 2026, ab dem designierte Stellen CRA-Konformitätsbewertungszertifikate ausstellen können. Zu den italienischen Kandidaten mit einschlägiger Produktzertifizierungskompetenz gehören IMQ, RINA Services, Bureau Veritas Italia und TÜV Italia. Endgültige CRA-Benennungen werden in der NANDO-Datenbank der Europäischen Kommission veröffentlicht. Ein italienischer Hersteller kann jede EU-notifizierte Stelle nutzen, nicht nur die in Italien benannten.

ACN: die CRA-Marktüberwachungsbehörde

Anders als in Spanien (wo das Ministerium die Marktüberwachung übernimmt) und Frankreich (wo die ANFR zuständig ist), bündelt Italien sowohl die Notifizierung als auch die Marktüberwachung innerhalb von ACN. Legge 36/2026 benennt ACN als autorità di vigilanza del mercato gemäß Artikel 52 der Legge sulla ciberresilienza sowie in ihrer Notifizierungsrolle gemäß Artikel 36.

Alle formellen Interaktionen eines italienischen Herstellers mit der Legge sulla ciberresilienza laufen über ACN als einzigen Ansprechpartner: begründete Anfragen nach technischer Dokumentation, Anfragen zur Dokumentensprache, Vor-Ort-Inspektionen und die Betriebseinstellungsmitteilung. Das Codice del Consumo (Decreto Legislativo 206/2005) regelt die allgemeine Verbraucherproduktsicherheit in Italien über das Ministero delle Imprese e del Made in Italy (MIMIT) und AGCM, die formelle CRA-Marktüberwachungsbehörde für Produkte mit digitalen Elementen ist jedoch ACN.

Sanktionen liegen innerhalb der EU-weiten Obergrenzen der Legge sulla ciberresilienza (bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes für die schwerwiegendsten Verstöße). Das italienische Umsetzungsdekret soll die italienische Bußgeldskala innerhalb dieser Obergrenzen festlegen.

OCSI und das europäische EUCC-Schema

Der Organismo di Certificazione della Sicurezza Informatica (OCSI) ist Italiens Common-Criteria-Zertifizierungsstelle, die seit dem 1. Juli 2022 innerhalb von ACN angesiedelt ist (übertragen vom ehemaligen Wirtschaftsministerium). OCSI ist von ACCREDIA nach UNI CEI EN ISO/IEC 17065:2012 akkreditiert, um im Rahmen des EUCC-Schemas zu arbeiten, das gemäß der EU-Verordnung 2019/881 angenommen wurde.

Italiens nationales Legacy-Schema stellte am 26. Februar 2026 seine Tätigkeit ein, und OCSI arbeitet seitdem ausschließlich im Rahmen des EUCC. Nach CRA-Artikel 27 können europäische Cybersicherheitszertifizierungsschemata eine Konformitätsvermutung für abgedeckte Anforderungen stützen, wenn die Kommission das jeweilige Schema per delegiertem Rechtsakt für CRA-Zwecke spezifiziert. Bis dieser EUCC-Weg spezifiziert ist, behandeln Sie ein von OCSI ausgestelltes EUCC-Zertifikat als starken Nachweis für den abgedeckten Geltungsbereich, nicht als eigenständige bereits nutzbare Abkürzung.

Italienische Sprachpflichten in der Praxis

Die Legge sulla ciberresilienza verlangt, dass nutzerseitige Produktinformationen in einer Sprache vorliegen, die Nutzern und der lokalen Marktüberwachungsbehörde leicht verständlich ist. Für Produkte, die auf dem italienischen Markt bereitgestellt werden, ist das Italienisch. Das Codice del Consumo schreibt unabhängig davon Italienisch in Verbraucherproduktinformationen vor, sodass die CRA-Pflicht mit einer langjährigen nationalen Regel übereinstimmt.

Muss auf Italienisch sein:

• Die Benutzeranleitung und Produktinformationen, die dem Produkt beiliegen.
• Die Herstellerkontaktangaben, wo immer sie erscheinen.
• Die Angabe des Unterstützungszeitraums am Verkaufsort.

Kann mehrsprachig sein:

• Das Produktetikett und die CE-Kennzeichnung.
• Verpackungstext.
• Online-Dokumentation, sofern eine italienische Version erreichbar ist.

Englisch wird in der Regel akzeptiert für:

• Interne technische Dokumentation. ACN kann unter begründetem Antrag eine italienische Übersetzung anfordern, also planen Sie für diese Eventualität.

Die EU-Konformitätserklärung kann in jeder Amtssprache der EU erstellt werden, bei einer ACN-Inspektion ist jedoch mit einem Übersetzungsantrag ins Italienische zu rechnen. Deutsch in Südtirol, Französisch im Aostatal und Slowenisch in der Grenzzone Friaul-Julisch Venetien sind nach ihren Regionalstatuten ko-amtlich, aber von der Legge sulla ciberresilienza nicht vorgeschrieben. Regionale Beschaffungsverträge oder Sektorregulierer können eigene Sprachklauseln hinzufügen, unabhängig von der Legge sulla ciberresilienza.

Grenzüberschreitender Verkauf aus Italien

Italienische Hersteller, die nach Deutschland, Frankreich, Spanien oder in andere EU-Mitgliedstaaten liefern, unterliegen derselben einheitlichen Routing-Regel: Ihre Meldungen gehen weiterhin an CSIRT Italia, weil das Routing der Hauptniederlassung folgt, nicht dem einzelnen Lieferziel. Sie melden nicht beim deutschen, französischen oder spanischen CSIRT.

Die Sprachpflicht fächert sich pro Markt auf. Ein Produkt, das in den französischen Markt geliefert wird, benötigt französischsprachige nutzerseitige Inhalte. Ein Produkt, das in den deutschen Markt geliefert wird, benötigt deutschsprachige Inhalte. Das einzelne italienische Sprachpaket deckt diese Märkte nicht ab.

Die Marktüberwachungsbehörde jedes empfangenden Mitgliedstaats kann ebenfalls Ihre technische Dokumentation in einer für diese Behörde leicht verständlichen Sprache anfordern. Wenn Ihre Lieferkette sich auf die gesamte EU erstreckt, rechnen Sie mit Anfragen in mindestens einer weit verbreiteten Arbeitssprache und behandeln Sie die frühzeitige Übersetzung der am häufigsten angeforderten Abschnitte der technischen Dokumentation als praktische Absicherung.

Nationale Förderprogramme

Das Förderbild für italienische Hersteller, die CRA-Investitionen im Jahr 2026 planen, umfasst SECURE, sektorspezifische regionale Linien sowie die auslaufenden Fenster von Transizione 5.0 und PNRR. Stellen Sie genau fest, was noch offen und technisch förderfähig ist, bevor Sie Posten gegen eines dieser Programme verbuchen.

• Piano Transizione 5.0 ist ein von MIMIT verwaltetes Steuergutschriftprogramm mit einem Gesamtrahmen von 6,3 Milliarden Euro, gebunden an förderfähige digitale und energetische Transformation von Produktionsprozessen. Für die Planung 2026 sollten Reststatus und technische Förderfähigkeit geprüft werden; behandeln Sie es nicht als neuen offenen Cybersicherheits- oder Compliance-Fonds. CRA-getriebene SBOM-Werkzeuge, Schwachstellenbehandlungsplattformen und Security-by-Design-Infrastruktur kommen nur dort in Betracht, wo die Cybersicherheitsarbeit Teil einer förderfähigen Transformation des Produktionsprozesses ist.
• SECURE (Strengthening EU SMEs Cyber Resilience) ist ein neues EU-finanziertes Projekt, das ausdrücklich zur Unterstützung der KMU-CRA-Umsetzung aufgebaut wurde. Gesamtbudget rund 22 Millionen Euro, davon 16,5 Millionen Euro als direkte Finanzförderung für KMU. ACN ist der italienische Partner in einem 7-Länder-Konsortium. Der erste Aufruf lief vom 28. Januar bis 29. März 2026 mit maximal 30.000 Euro pro Projekt. Hersteller, Importeure, Distributoren und Softwareentwickler sind alle förderfähig. Verfolgen Sie den ACN-Ankündigungsstrom für den nächsten Aufruf.
• PNRR (Piano Nazionale di Ripresa e Resilienza) befindet sich in seinem abschließenden Fenster. Alle NextGenerationEU-finanzierten Projekte müssen bis zum 31. August 2026 abgewickelt sein, mit Italiens abschließenden Zahlungsanträgen bis zum 30. September 2026. PNRR ist daher kein geeignetes Planungsinstrument für die CRA-Konformitätsfrist am 11. Dezember 2027.
• Regionale Digitalisierungsgutscheine über die Handelskammern sind 2026 weiterhin in Betrieb, typischerweise gedeckelt zwischen 20.000 und 30.000 Euro pro Begünstigtem. Nützlich für eine erste Diagnose, nicht für das vollständige CRA-Programm.

Für Compliance-Investitionen mit Blick auf die Pflichtfrist am 11. Dezember 2027 sind SECURE (und Folge-EU-KMU-Programme), verbleibende oder nachfolgende Transizione-5.0-artige Anreize für technisch förderfähige Produktionstransformation sowie sektorspezifische regionale Linien das realistische öffentliche Förderbild in Italien.

Dieser Artikel dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Für spezifische CRA-Compliance-Beratung wenden Sie sich an qualifizierte Rechtsberater.