NIS2-Beratung und Umsetzung für Unternehmen

Das italienische Dekret (Artikel 3) gilt für öffentliche und private Einrichtungen der in seinen Anhängen genannten Sektoren, die die Schwellenwerte für Kleinunternehmen überschreiten, also für mittlere und große Unternehmen aus Energie, Verkehr, Gesundheit, digitaler Infrastruktur, verarbeitendem Gewerbe, Lebensmitteln, Chemie, Abfallwirtschaft, Postdiensten, Forschung und weiteren Bereichen. Einige Kategorien fallen unabhängig von der Größe darunter: öffentliche Verwaltungen, Anbieter von Kommunikationsnetzen und -diensten, Vertrauensdienste, DNS und Domainregistrierung. Die ACN kann auch mit einer NIS-Einrichtung verbundene Unternehmen und Lieferanten einbeziehen, die ein systemisches Element ihrer Lieferkette sind. Bei Zweifeln am Anwendungsbereich beginnen wir genau dort.

Die Fristen laufen ab der Mitteilung über die Aufnahme in die Liste der NIS-Einrichtungen, die auf der ACN-Plattform zugeht: neun Monate für die Meldepflicht bei Vorfällen und achtzehn Monate für die Basis-Sicherheitsmaßnahmen (ACN-Verfügung 379907/2025, Artikel 3). Für die erste Welle, aufgenommen im April 2025, bedeutet das Meldepflichten ab Januar 2026 und Maßnahmen bis Oktober 2026; wer mit späteren Aktualisierungen der Liste hinzukommt, zählt seine Fristen ab der neuen Mitteilung. Das genaue Datum steht in der erhaltenen Mitteilung. Zum Leitfaden zur Frist Oktober 2026.

Es sind die von der ACN mit der Verfügung 379907/2025 festgelegten Maßnahmen: Anlage 1 für wichtige Einrichtungen enthält 37 Maßnahmen und 87 Anforderungen, Anlage 2 für wesentliche Einrichtungen 43 Maßnahmen und 116 Anforderungen. Sie folgen den sechs Funktionen des Nationalen Rahmenwerks für Cybersicherheit und Datenschutz (steuern, identifizieren, schützen, erkennen, reagieren, wiederherstellen) und decken 16 Richtlinienbereiche ab, vom Risikomanagement bis zur Reaktion auf Vorfälle. Die ACN veröffentlicht sie auch als Tabellenkalkulation: Jede Zeile ist eine Anforderung, die mit datierten Nachweisen zu belegen ist.

Die signifikanten Basis-Vorfälle sind in den Anlagen 3 und 4 der ACN-Verfügung definiert: Verlust der Vertraulichkeit eigener oder kontrollierter Daten nach außen, Verlust der Integrität mit Außenwirkung, Verletzung der erwarteten Servicelevel und, für wesentliche Einrichtungen, unbefugter Zugriff auf Daten. Die Fristen sind die des Artikels 25 des Dekrets: Frühwarnung an das CSIRT Italia innerhalb von 24 Stunden ab Kenntnis des Vorfalls, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. Das CSIRT antwortet auf die Frühwarnung, wo möglich, innerhalb von 24 Stunden. NIS2-Referent: gemanagte Nachweise und CSIRT-Referent.

Artikel 23 des Dekrets überträgt den Verwaltungs- und Leitungsorganen die Genehmigung der Umsetzung der Maßnahmen, die Aufsicht über ihre Anwendung und die Verantwortung für Verstöße sowie die Pflicht, an Schulungen zur Cybersicherheit teilzunehmen. In den Basismaßnahmen erfordern neun Dokumente ihre ausdrückliche Genehmigung: Organisation der Rollen, Sicherheitsrichtlinien, Risikobewertung, Behandlungsplan mit akzeptierten Restrisiken, Schwachstellenplan, Verbesserungsplan, Reaktions- und Kontinuitätspläne, Schulungsplan sowie Plan für Vorfallmanagement und Meldung. Die ACN-FAQ vom Juli 2026 stellen klar, dass die Genehmigung nicht delegierbar ist und strategische Dokumente betrifft, nicht technische Verfahren.

Artikel 38 des Dekrets sieht Verwaltungsstrafen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und bis zu 7 Millionen oder 1,4 % für wichtige Einrichtungen vor, mit eigenen Beträgen für öffentliche Verwaltungen. Davor ist der Weg abgestuft: Die ACN kann Nachweise anfordern, Audits anordnen und verbindliche Anweisungen erteilen (Artikel 37) und schickt nach Feststellung eines Verstoßes in der Regel eine Aufforderung zur Anpassung innerhalb einer Frist, die bei Einhaltung das Verfahren beendet. Wer Aufforderungen nicht nachkommt, riskiert auch Nebensanktionen gegen die Geschäftsleitung.

Die ISO/IEC-27001-Zertifizierung deckt einen großen Teil der NIS2-Anforderungen zu Risikomanagement, Governance und technischen Maßnahmen ab, sodass die ACN mit UNI die Referenzpraxis UNI/PdR 174:2025 eigens für zertifizierte NIS-Einrichtungen veröffentlicht hat. Allein reicht sie nicht: Die Basismaßnahmen verlangen spezifische Nachweise wie die Genehmigungen der Verwaltungsorgane, den Meldeplan an das CSIRT Italia und die erwarteten Servicelevel. Sie ist die solideste Ausgangskarte, nicht die Erfüllung. AtWorkStudio ist nach ISO/IEC 27001, 27017, 27018 und ISO 9001 zertifiziert. So begleiten wir Sie zur ISO-27001-Zertifizierung.

Der erste Schritt ist ein Assessment anhand eines anerkannten Rahmenwerks. Unser kostenloses Online-Assessment auf assessment.atworkstudio.it folgt dem NIST CSF 2.0, das dieselben sechs Funktionen hat wie die ACN-Basismaßnahmen: 106 Fragen, sofortiger Bericht und Abweichungsanalyse. Darauf bauen wir den Umsetzungsplan mit Prioritäten und Terminen auf.

Es ist die Pflicht aus Artikel 30 des Dekrets: Die Einrichtung übermittelt auf der ACN-Plattform die Liste der erbrachten NIS-Tätigkeiten und -Dienste und deren Kategorisierung, ordnet sie den von der ACN vorgesehenen Makrobereichen zu und weist eine Relevanzkategorie zu. Das ist nicht nur das Ausfüllen eines Portals: Es ist die Grundlage, auf der die ACN die Pflichten verhältnismäßig kalibriert, und sie ist mit Inventar, Risikoanalyse, Betriebskontinuität und Lieferantenmanagement zu verzahnen. Die ACN-Klarstellungen der Clusit-Veranstaltung vom 29. April 2026.

Ja, wenn es sich um einen nicht austauschbaren Lieferanten handelt, dessen Ausfall die Kontinuität der NIS-Tätigkeit oder des NIS-Dienstes gefährdet. Die ACN-Vorlage unterscheidet drei Kategorien: ICT-Lieferung, nicht austauschbare Lieferung und nicht austauschbare ICT-Lieferung. Ein Rohstofflieferant, eine spezifische Industriekomponente oder ein schwer ersetzbarer Logistikdienst kann relevant sein, auch wenn er keine Technologie liefert. Entscheidend ist die Austauschbarkeit, nicht der ICT-Charakter. Der Leitfaden zu relevanten Lieferanten auf der ACN-Plattform.

Nein. In Italien gibt es keine privaten Stellen, die als NIS2-Compliance-Auditoren mit ACN-Mandat zertifiziert sind. Das Dekret (Artikel 37) sieht vor, dass die ACN selbst Nachweise anfordert, Audits und Scans anordnet und Anweisungen erteilt. Organisationen können sich von qualifizierten Beratern oder Auditoren bei der Überprüfung ihres Umsetzungsstands unterstützen lassen, aber keine dritte Partei kann die NIS2-Compliance im Namen der Behörde „zertifizieren“. Seien Sie skeptisch gegenüber schnellen, beruhigenden Etiketten: Unabhängige Überprüfung ist nützlich, „Wunderzertifizierung“ ist etwas anderes.

Unser Sitz ist in Piacenza, und wir sind in ganz Italien tätig. Wir begleiten Unternehmen aus Industrie, Logistik und Dienstleistung auf dem Weg zur NIS2-Umsetzung, von der Gap-Analyse bis zu überprüfbaren Nachweisen. Als Clusit-Mitglied, mit drei ACN-qualifizierten Diensten und Zertifizierungen nach ISO/IEC 27001, 27017, 27018 und ISO 9001 arbeiten wir mit einem strukturierten und überprüfbaren Ansatz. Was die ACN-Qualifizierung bedeutet.