NIS2: die Frist
Oktober 2026

Im Oktober 2026 läuft für die meisten italienischen NIS-Einrichtungen die Frist zur Umsetzung der Basis-Sicherheitsmaßnahmen ab. Es ist kein für alle gleiches Kalenderdatum und es betrifft nicht „alle Anforderungen der Richtlinie“: Es ist eine Frist von 18 Monaten ab der Mitteilung über die Aufnahme in die nationale Liste, und sie betrifft einen genau festgelegten Satz von Maßnahmen der ACN (Agenzia per la Cybersicurezza Nazionale, der italienischen Nationalen Agentur für Cybersicherheit). Dieser Artikel ordnet, was die Quelle sagt, was bereitstehen muss, was der Verwaltungsrat unterschrieben haben muss und was jetzt zu prüfen lohnt, mit den Codes der Maßnahmen, um sie im offiziellen Dokument wiederzufinden.

Welche Frist, und für wen

Die Quelle ist Artikel 3 der ACN-Verfügung Nr. 379907/2025, in Kraft seit dem 15. Januar 2026, die die Verfügung 164179 vom April 2025 aktualisiert und ersetzt hat: Die Frist für die Umsetzung der Basis-Sicherheitsmaßnahmen beträgt „achtzehn Monate ab Erhalt der Mitteilung über die Aufnahme in die Liste der NIS-Einrichtungen durch die NIS-Einrichtung“; die Frist für die Meldepflicht bei Vorfällen beträgt neun Monate. Wer in der ersten Welle aufgenommen wurde, hat die Mitteilung im April 2025 erhalten: Für diese liefen die neun Monate im Januar 2026 ab, die achtzehn laufen im Oktober 2026 ab. Das ist die Frist, von der alle sprechen, und das genaue Datum ist das in der auf der ACN-Plattform erhaltenen Mitteilung.

Sie gilt nicht für alle gleich. Am 18. September 2026 hat der Tisch zur Umsetzung der NIS die Aktualisierung der Liste mit über 2.000 verspäteten Registrierungen und rund 2.000 Überprüfungsverfahren angeordnet: Wer jetzt hinzukommt, erhält eine neue Mitteilung und zählt seine Fristen ab dieser. In derselben Sitzung hat die ACN die Konsultation zu den „verstärkten Sicherheitsmaßnahmen“ eröffnet, die die Basismaßnahmen der Erstanwendung ergänzen und ersetzen sollen, und daran erinnert, dass das nächste Registrierungsfenster vom 1. Januar bis zum 28. Februar 2027 läuft. Wer verstehen will, ob und wie er in den Anwendungsbereich fällt, findet in unserer NIS2-Seite und im Artikel zur Kategorisierung von Tätigkeiten und Diensten den Ausgangspunkt.

Was umgesetzt sein muss

Die Maßnahmen stehen in den Anlagen der Verfügung: Anlage 1 für wichtige Einrichtungen mit 37 Maßnahmen und 87 Anforderungen, Anlage 2 für wesentliche Einrichtungen mit 43 Maßnahmen und 116 Anforderungen. Die ACN veröffentlicht sie auch als Tabellenkalkulation, und es lohnt sich, diese zu nutzen: Jede Zeile ist eine Anforderung mit dem Code der Maßnahme, dem Text des Geforderten und dem Richtlinienbereich, zu dem sie gehört. Die Maßnahmen folgen dem Nationalen Rahmenwerk für Cybersicherheit und Datenschutz, Ausgabe 2025, mit derselben Logik wie das NIST CSF 2.0, das wir in unserem Assessment verwenden: sechs Funktionen, von der Governance bis zur Wiederherstellung.

Die 16 Richtlinienbereiche reichen vom Risikomanagement bis zur Reaktion auf Vorfälle, über Zuverlässigkeit des Personals, Audits, Lieferkette, Assets, Schwachstellen, Betriebskontinuität, Identitäten und Zugriffe, physische Sicherheit, Schulung, Daten, Lebenszyklus der Systeme, Netze und Überwachung. Die sechs zusätzlichen Maßnahmen der wesentlichen Einrichtungen betreffen die Darstellung der Netzflüsse, die Schulung spezialisierter Rollen, das Konfigurationsmanagement, die Hardware-Wartung, die Resilienzmechanismen und die Kommunikation des Wiederherstellungsfortschritts. Das Gewicht liegt auf der Funktion Schützen, wo Identitäten, Backups, Logs und Updates stehen: Es ist auch der Teil, in dem die Nachweise durch Technik entstehen, nicht durch Dokumente.

Was der Verwaltungsrat unterschrieben haben muss

Artikel 23 des Gesetzesdekrets 138/2024 stellt die Verwaltungs- und Leitungsorgane in den Mittelpunkt: Sie genehmigen die Umsetzung der Maßnahmen, beaufsichtigen die Pflichten, haften für Verstöße, müssen eine Schulung zur Informationssicherheit absolvieren und über Vorfälle informiert werden. In den Basismaßnahmen bedeutet das neun Gegenstände, die ihre ausdrückliche Genehmigung erfordern:

• Die Organisation der Sicherheitsrollen und -verantwortlichkeiten (GV.RR-02).
• Die Richtlinien zum Cybersecurity-Risikomanagement in den 16 Bereichen (GV.PO-01).
• Die Risikobewertung (ID.RA-05).
• Der Risikobehandlungsplan einschließlich der Akzeptanz von Restrisiken (ID.RA-06).
• Der Plan für Schwachstellen- und Offenlegungsmanagement (ID.RA-08).
• Der Verbesserungsplan nach der Überprüfung, mit regelmäßigen Berichten über die Ergebnisse (ID.IM-01).
• Die Pläne für Vorfallreaktion, Betriebskontinuität und Wiederherstellung (ID.IM-04).
• Der Schulungsplan, der die Organe selbst einschließt (PR.AT-01).
• Der Plan für Vorfallmanagement und Meldung an das CSIRT Italia (RS.MA-01).

Die am 14. Juli 2026 aktualisierten ACN-FAQ ODA.8–12 räumen die häufigsten Zweifel aus: Die Genehmigung ist eine ausschließliche Zuständigkeit des Kollegialorgans oder, wo vorgesehen, des Einzelorgans und ist nicht delegierbar; sie gilt den Dokumenten, die Ausrichtung und strategische Planung festlegen, nicht den Verfahren, Arbeitsanweisungen und Handbüchern, die bei den technischen Strukturen bleiben; zulässig ist ein einziges Dokument oder ein Set abgestimmter Dokumente; die Aktualisierung der referenzierten technischen Dokumente erfordert keine neue Genehmigung. In der Praxis: Ein datierter Beschluss mit den neun Gegenständen und ein Verzeichnis, das sagt, wo jedes Dokument liegt, sind mehr wert als hundert nicht unterschriebene Seiten.

Die Meldepflichten gelten bereits

Die Neunmonatsfrist ist für die erste Welle im Januar 2026 abgelaufen: Seitdem sind die signifikanten Basis-Vorfälle dem CSIRT Italia zu melden. Anlage 3 definiert drei für wichtige Einrichtungen: den Verlust der Vertraulichkeit eigener oder kontrollierter Daten nach außen, auch teilweise (IS-1); den Verlust der Integrität mit Außenwirkung (IS-2); die Verletzung der nach Maßnahme DE.CM-01 definierten erwarteten Servicelevel (IS-3). Anlage 4 ergänzt für wesentliche Einrichtungen den unbefugten Zugriff oder den Zugriff unter Missbrauch gewährter Berechtigungen auf Daten (IS-4). Die Fristen sind die des Artikels 25 des Dekrets: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.

Zwei Details zählen mehr, als es scheint. Erstens: IS-3 setzt voraus, dass die erwarteten Servicelevel definiert und gemessen wurden; ohne Maßnahme DE.CM-01 weiß man nicht einmal, wann eine Störung meldepflichtig wird. Zweitens: Der Plan für Vorfallmanagement und Meldung (RS.MA-01) gehört zu den vom Verwaltungsrat genehmigten Dokumenten und muss sagen, wer entscheidet, wer an das CSIRT schreibt und über welche Kanäle. Das ist der Dienst, den wir als ausgelagerter CSIRT-Referent erbringen, mit der Incident Response dahinter.

Was diese Woche zu prüfen ist

Die richtige Frage lautet nicht „Haben wir die Maßnahme?“, sondern „Haben wir den datierten Nachweis, dass die Maßnahme umgesetzt ist?“. Das ist die Liste, mit der wir beginnen, Maßnahme für Maßnahme, auf der technischen Seite:

• Inventare (ID.AM-01, ID.AM-02, ID.AM-04). Hardware, Software und Dienste, von Lieferanten erbrachte Dienste: drei aktualisierte und datierte Listen, keine Datei von 2024. Ohne Inventar ist keine nachfolgende Maßnahme nachweisbar.
• Identitäten und Zugriffe (PR.AA-01, PR.AA-03, PR.AA-05). Verwaltete Identitäten und Zugangsdaten, authentifizierte Benutzer und Dienste, in einer Richtlinie festgelegte und überprüfte Berechtigungen. Multi-Faktor-Authentifizierung und die regelmäßige Zugriffsüberprüfung sind die am einfachsten zu erbringenden Nachweise.
• Backups (PR.DS-11). Erstellt, geschützt, gepflegt und verifiziert: Die Anforderung verlangt die Verifizierung, also braucht es den letzten Wiederherstellungstest mit Datum und Ergebnis.
• Logs und Überwachung (PR.PS-04, DE.CM-01, DE.CM-09). Erzeugte und für die Überwachung verfügbare Logs, überwachte Netze und Systeme, definierte erwartete Servicelevel: dieselben, die die Meldung IS-3 auslösen.
• Schwachstellen und Updates (ID.RA-01, PR.PS-02). Identifizierte und erfasste Schwachstellen, risikobasiert gepflegte, ersetzte oder entfernte Software. Die PHP2Shell-Woche ist das Beispiel, wie man das nachweist: Inventar, eingespielter Patch, Verifizierung.
• Lieferanten (GV.SC-04, GV.SC-05, GV.SC-07). Bekannte und nach Kritikalität geordnete Lieferanten, in Verträgen festgelegte Sicherheitsanforderungen, erfasste und überwachte Risiken. Hier zählt die Austauschbarkeit, nicht nur das Etikett IKT.
• Schulung (PR.AT-01). Plan genehmigt, durchgeführt und dokumentiert, Verwaltungsorgane eingeschlossen: Artikel 23 verpflichtet sie persönlich.
• Vorfälle und Meldung (RS.MA-01, RS.CO-02). Plan genehmigt, Kanal zum CSIRT Italia getestet, Liste der innerhalb und außerhalb des Unternehmens zu Informierenden.

Bei den technischen Punkten ist es unsere Aufgabe, sie umzusetzen und die Nachweise zu erbringen: Identitäten und Zugriffe mit dem digitalen Identitätsmanagement, Kontinuität und Wiederherstellungstests mit Backup und Disaster Recovery, Lieferanten mit der im Artikel über die relevanten Lieferanten beschriebenen Methode. Die rechtlichen Bewertungen bleiben bei denen, die das beruflich tun.

Was nach Oktober passiert

Das Dekret sieht keinen Schalter vor, der zur Frist umspringt, sondern einen Aufsichtsweg mit abgestuften Instrumenten. Artikel 37 erlaubt der ACN, die Daten anzufordern, die die Umsetzung der Richtlinien belegen, einschließlich Auditergebnissen und zugehörigen Nachweisen; gezielte Audits und Sicherheitsscans anzuordnen, mit der Einschränkung, dass wichtigen Einrichtungen keine regelmäßigen Audits vorgeschrieben werden dürfen; verbindliche Anweisungen zu erteilen und einen Beamten zu benennen, der die Einrichtung unterstützt, auch mit Besuchen vor Ort und aus der Ferne. Vor dem Erlass von Maßnahmen teilt die Behörde die vorläufigen Schlussfolgerungen mit und gewährt mindestens 15 Tage für Stellungnahmen. Artikel 38 ergänzt die Aufforderung zur Anpassung innerhalb einer Frist: Wer fristgerecht nachkommt, sieht das Verfahren enden.

Die praktische Folge ist eine einzige: Zur Frist zählt der dokumentierte Stand, nicht die Perfektion. Ein vom Verwaltungsrat genehmigter Behandlungsplan mit den akzeptierten Restrisiken und den Abschlussterminen (ID.RA-06), die datierten technischen Nachweise und der getestete Meldeplan sind das, was sich zeigen lässt. Inzwischen entwickelt sich der Rahmen weiter: Die seit dem 18. September in Konsultation befindlichen verstärkten Maßnahmen werden die Basismaßnahmen ersetzen, die jährliche Aktualisierung der Informationen bleibt zwischen dem 15. April und dem 31. Mai, und das Registrierungsfenster öffnet am 1. Januar 2027 erneut. Wer nach ISO/IEC 27001 zertifiziert ist, startet mit einem Vorteil, wie wir im Artikel über ISO 27001 und NIS2 erklären, aber die Zertifizierung ist die Karte, nicht die Erfüllung.