NIS2-Referent: gemanagte Nachweise und ausgelagerter CSIRT-Referent

Der CSIRT-Referent ist die natürliche Person, die im Namen der NIS-Einrichtung mit dem CSIRT Italia kommuniziert und die Pflichtmeldungen signifikanter Vorfälle (Artikel 25 des Gesetzesdekrets 138/2024) sowie die freiwilligen Meldungen (Artikel 26) einreicht. Benannt wird er vom Point of Contact der Einrichtung über die Funktion zur Datenaktualisierung im ACN-Serviceportal, mit Steuernummer und E-Mail-Adresse, zusammen mit etwaigen Stellvertretern. Die Rolle ist in der ACN-Verfügung 379887/2025, Artikel 7, definiert und wird auch von den Basismaßnahmen aufgegriffen: Maßnahme GV.RR-02 verlangt, dass die vom Verwaltungsrat genehmigte Sicherheitsorganisation den CSIRT-Referenten und seine Stellvertreter umfasst.

Ja. Die ACN-FAQ stellen klar, dass die Verfügung „die Auslagerung dieser Figur nicht verbietet“, sofern die benannte Person mindestens Grundkompetenzen in Informationssicherheit und Vorfallmanagement sowie eine vertiefte Kenntnis der Informations- und Netzsysteme der Einrichtung besitzt. Der Point of Contact hingegen muss intern bleiben, und wenn eine einzige Person beide Rollen abdeckt, muss sie intern sein. In unserem Dienst sind die beiden Rollen immer getrennt: Der Point of Contact ist Ihrer, Referent und Stellvertreter sind wir, und die Kenntnis Ihrer Systeme entsteht aus der monatlichen Arbeit an den Nachweisen.

Die signifikanten Basis-Vorfälle sind in den Anlagen 3 und 4 der ACN-Verfügung 379907/2025 definiert: Verlust der Vertraulichkeit eigener oder kontrollierter Daten nach außen (IS-1), Verlust der Integrität mit Außenwirkung (IS-2), Verletzung der erwarteten Servicelevel (IS-3) und, für wesentliche Einrichtungen, unbefugter Zugriff auf Daten (IS-4). Die Fristen sind die des Artikels 25: Frühwarnung an das CSIRT Italia innerhalb von 24 Stunden ab Kenntnis des Vorfalls, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats, Zwischenberichte auf Anfrage des CSIRT. Das CSIRT antwortet auf die Frühwarnung, wo möglich, innerhalb von 24 Stunden.

Der benannte Referent, also wir, mit persönlichen Zugangsdaten auf der Plattform. Laut ACN-FAQ dürfen auch der Point of Contact und sein Stellvertreter melden; in unserem Modell bleiben sie die Rückfallebene, falls wir nicht erreichbar sind. Den Abschlussbericht genehmigen Sie vor dem Versand, weil er Auswirkungen und Maßnahmen im Namen des Unternehmens beschreibt. Wer in welchem Szenario was tut, steht im vom Verwaltungsrat genehmigten Plan für das Vorfallmanagement (RS.MA-01).

Die ACN-Basis-Sicherheitsmaßnahmen umfassen 37 Maßnahmen und 87 Anforderungen für wichtige Einrichtungen, 43 und 116 für wesentliche. Sie verlangen keine Erklärungen, sondern Belege: ein datiertes Inventar, einen Bericht zur Zugriffsüberprüfung, ein Protokoll des Wiederherstellungstests, ein Schwachstellenregister mit Behebungsdaten. Artikel 37 des Dekrets erlaubt der ACN, jederzeit die Daten anzufordern, die die Umsetzung der Richtlinien belegen, und Audits anzuordnen. Der Dienst erzeugt diese Belege monatlich, gleicht sie vierteljährlich ab und liefert sie in einem Format, das Sie weiterverwenden können. Die Basismaßnahmen und was jetzt zu prüfen ist.

Nein, er arbeitet an ihrer Seite. Rechtsberater und Datenschutzbeauftragter schreiben die Richtlinien und die Risikobewertung und übernehmen die rechtlichen Bewertungen, vom Anwendungsbereich bis zum Umgang mit der Behörde im Sanktionsverfahren. Wir schreiben das Verzeichnis der neun zu genehmigenden Dokumente, die technischen Teile, den Quartalsbericht und den Vorfallplan und erbringen die Nachweise. Der Beschluss des Verwaltungsrats ist ein einziger, vom Rechtsberater auf Basis unseres Verzeichnisses vorbereitet.

Die automatische Erkennung ist immer aktiv. Die durchgehende menschliche Übernahme, Tag und Nacht, ist nur durch den MDR-Dienst gewährleistet, der für wesentliche Einrichtungen Voraussetzung des Dienstes und für wichtige eine Empfehlung ist. Ohne MDR ist die Erreichbarkeit von Referent und Stellvertreter im Vertrag festgelegt, mit Zeiten, Kanal und Reaktionszeiten. Wir ziehen eine präzise Zusage einem allgemeinen Versprechen vor. Gemanagte EDR, XDR und MDR.

Wesentliche und wichtige Einrichtungen in der NIS-Liste der ACN: mittlere und große Unternehmen der in den Anhängen des Dekrets genannten Sektoren, öffentliche Verwaltungen und die weiteren unabhängig von der Größe erfassten Kategorien sowie die von der ACN entlang der Lieferketten benannten Einrichtungen. Für wer mit der Aktualisierung der Liste im September 2026 hinzugekommen ist, haben die Fristen von neun und achtzehn Monaten gerade begonnen: der richtige Moment, Nachweise und Plan sauber aufzusetzen. Die NIS2-Seite mit Fristen und Pflichten.

Unser Managementsystem ist nach ISO/IEC 27001, 27017, 27018 und ISO 9001 zertifiziert. Wir sind Mitglied von Clusit (Italienischer Verband für Informationssicherheit) und Confindustria Piacenza, und drei unserer Dienste sind für die öffentliche Verwaltung ACN-qualifiziert. Wir sind keine Zertifizierungsstelle und stellen keine NIS2-Konformitätsbescheinigungen aus: Keine dritte Partei kann das im Namen der Behörde tun. Was die ACN-Qualifizierung bedeutet.