Cyber Security & NIS2
Anpassung an die NIS2-Richtlinie und das italienische Gesetzesdekret 138/2024 für wesentliche und wichtige Einrichtungen und ihre Lieferanten: Wir klären die Anwendbarkeit, messen den Abstand zu den Maßnahmen der italienischen Cybersicherheitsagentur ACN und begleiten Leitung und IT vom Anpassungsplan bis zum Vorfallmanagement.
Was wir tun
Wir analysieren Branche, Größe und erbrachte Dienste, um festzustellen, ob das Unternehmen zu den wesentlichen oder wichtigen Einrichtungen zählt, welche Systeme und Standorte einbezogen sind und welche Pflichten sich aus der Rolle als Lieferant von NIS2-Einrichtungen ergeben.
Wir unterstützen die Registrierung auf der Plattform der ACN im jährlichen Zeitfenster, die Benennung von Ansprechpartner, Stellvertreter und CSIRT-Kontakt, die jährliche Datenaktualisierung, die Kategorisierung von Tätigkeiten und Diensten sowie die Meldung der relevanten Lieferanten.
Wir vergleichen die Organisation mit den Risikomanagementmaßnahmen nach Art. 24 und mit den von der ACN festgelegten Basismaßnahmen: Richtlinien, Vorfallmanagement, Kontinuität, Lieferkette, Zugriffskontrolle, Kryptografie, Multi-Faktor-Authentifizierung.
Wir legen Rollen, Befugnisübertragungen und Informationsflüsse zur Unternehmensspitze fest, bereiten die Beschlüsse zur Genehmigung der Maßnahmen vor und führen die verpflichtende Schulung für Verwaltungs- und Leitungsorgane durch.
Wir erstellen das Verfahren, um erhebliche Vorfälle zu erkennen, einzustufen und dem CSIRT Italia (der nationalen Meldestelle) fristgerecht zu melden – 24 Stunden, 72 Stunden, ein Monat – mit Rollen, Kommunikationsvorlagen und praktischen Übungen.
Wir bewerten die kritischen Lieferanten, ermitteln die der ACN zu meldenden relevanten Lieferanten, verankern Sicherheitsanforderungen in den Verträgen und legen risikoangemessene Kontrollen fest: Fragebögen, Dokumentennachweise, regelmäßige Prüfungen und Umgang mit Abweichungen.
Die Richtlinie (EU) 2022/2555, bekannt als NIS2, hat den Kreis der Unternehmen mit Pflichten zur Cybersicherheit deutlich erweitert. In Italien wurde sie mit dem Gesetzesdekret 138/2024 umgesetzt, in Kraft seit dem 16. Oktober 2024; es bestimmt die Agenzia per la Cybersicurezza Nazionale (ACN, die italienische Cybersicherheitsagentur) als zuständige nationale Behörde und zentrale Anlaufstelle sowie das CSIRT Italia als Adressat der Vorfallmeldungen.
Die Vorschrift unterscheidet nach Branche und Größe zwischen wesentlichen und wichtigen Einrichtungen: in der Regel mittlere und große Unternehmen der Branchen aus den Anhängen I und II, mit einigen schwellenunabhängigen Ausnahmen. Erfasst sind unter anderem Energie, Verkehr, Bankwesen und Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser und Abwasser, digitale Infrastrukturen (einschließlich elektronischer Kommunikationsnetze und -dienste, also der Telekommunikationsanbieter), Verwaltung von IKT-Diensten im Business-to-Business-Bereich, Weltraum, Postdienste, Abfall, Chemie, Lebensmittel, Teile des verarbeitenden Gewerbes (Medizinprodukte, Elektronik, Maschinen, Kraftfahrzeuge), Anbieter digitaler Dienste und Forschung. Für Finanzunternehmen gilt vorrangig die Verordnung (EU) 2022/2554, bekannt als DORA.
Die Hauptpflichten sind fünf: die Registrierung auf der Plattform der ACN im jährlichen Zeitfenster und die anschließende Datenaktualisierung (Art. 7); die Kategorisierung der Tätigkeiten und Dienste nach dem Modell der ACN (Art. 30); die Einführung der Risikomanagementmaßnahmen nach Art. 24; die Meldung erheblicher Vorfälle (Art. 25); die unmittelbare Einbeziehung der Verwaltungsorgane (Art. 23), die die Maßnahmen genehmigen, deren Umsetzung überwachen und eine eigene Schulung absolvieren.
Die ACN hat die Basisvorgaben für Sicherheitsmaßnahmen und Vorfallmeldung mit Verfügungen aus dem Jahr 2025 festgelegt, zum Jahresende aktualisiert und 2026 ergänzt. Für die 2025 in die Liste aufgenommenen Einrichtungen gilt die Meldepflicht ab Anfang 2026, und die Basismaßnahmen sind bis Oktober 2026 umzusetzen; für Einrichtungen, die in den Folgejahren aufgenommen werden, setzt die ACN die Fristen ab der Mitteilung über die Aufnahme. Auf die Basisvorgaben folgen jene für die langfristigen Pflichten.
Die Geldbußen reichen für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, falls dieser Betrag höher ist, und für wichtige Einrichtungen bis zu 7 Millionen oder 1,4 %. Bei Nichtbefolgung förmlicher Aufforderungen der ACN ist zudem ein vorübergehendes Verbot vorgesehen, Leitungsfunktionen auszuüben (Art. 38). Das greifbarste Risiko bleibt jedoch ein Vorfall, der ohne Verfahren gehandhabt wird: Betriebsstillstände, verspätete Meldungen, Kunden und Behörden, die ohne belastbare Daten zu informieren sind.
Wir beginnen mit der entscheidenden Frage: Gilt die Vorschrift, und wofür? Wir prüfen Branche, Schwellen, Dienste und Konzernbeziehungen und ziehen die Grenze zwischen dem, was zum Anwendungsbereich gehört, und dem, was außerhalb bleibt. Das vermeidet zwei entgegengesetzte Fehler: alles ohne Notwendigkeit anzupassen oder Pflichten zu übersehen, die Sanktionen nach sich ziehen.
Es folgt eine Gap-Analyse zu den Maßnahmen nach Art. 24 und zu den ACN-Basismaßnahmen, durchgeführt mit Interviews, Dokumentenanalyse und, wo nötig, gezielten technischen Prüfungen wie Schwachstellenanalysen und Penetrationstests. Das Ergebnis ist ein nach Prioritäten geordneter Anpassungsplan mit Verantwortlichen und Fristen, den das Verwaltungsorgan sachkundig genehmigt.
In der Umsetzung arbeiten wir Seite an Seite mit IT, Fachabteilungen, Einkauf und Geschäftsführung: Wir schreiben kurze Richtlinien und Verfahren, erledigen die Pflichten gegenüber der ACN, strukturieren das Vorfallmanagement, bringen Sicherheitsanforderungen in die Lieferantenverträge und schulen jene, die entscheiden, und jene, die operativ handeln. Wo bereits ein System nach ISO/IEC 27001 oder ein strukturiertes DSGVO-Managementsystem besteht, fügen wir NIS2 in die vorhandenen Kontrollen ein, statt ein Parallelsystem aufzubauen: dieselbe Risikoanalyse, dasselbe Vorfallverfahren mit den unterschiedlichen Meldewegen, dasselbe Lieferantenverzeichnis.
Zum Abschluss stehen Übungen zum Vorfallverfahren und regelmäßige Wirksamkeitsprüfungen, denn NIS2-Konformität ist eine dauerhafte Pflicht und kein Projekt, das mit einer Übergabe endet.
Unsere Methode
Wir prüfen Branche, Größenschwellen, erbrachte Dienste und Beziehungen zu NIS2-Einrichtungen, halten das Ergebnis in einer begründeten Stellungnahme fest und bestimmen die Systeme, Prozesse und Standorte im Anwendungsbereich.
Interviews, Dokumentenanalyse und gezielte technische Prüfungen, um den Abstand zu den Maßnahmen nach Art. 24 und zu den ACN-Basismaßnahmen zu bewerten, mit einer Risikoeinstufung für jede Abweichung.
Ein mit dem Management abgestimmtes Dokument: organisatorische und technische Maßnahmen, Verantwortliche, Budgetrahmen und Fristen entsprechend den Terminen des Dekrets und der Verfügungen der ACN, genehmigt vom Verwaltungsorgan.
Wir erstellen Richtlinien und Verfahren, unterstützen IT und Lieferanten bei der Umsetzung der Maßnahmen, bereiten Registrierung und Meldewege zur ACN vor und schulen Unternehmensspitze und Belegschaft.
Wir testen das Vorfallverfahren in Simulationen, prüfen die Wirksamkeit der Maßnahmen durch Audits und technische Tests und aktualisieren das System bei geänderten Vorschriften, Organisationsstrukturen und Technologien.
Nutzen
Arbeitsergebnisse
Häufige Fragen
Entscheidend sind drei Faktoren: die Branche (Anhänge I und II des italienischen Gesetzesdekrets 138/2024), die Größe (in der Regel mittlere und große Unternehmen, mit einigen schwellenunabhängigen Ausnahmen) und die tatsächlich erbrachten Dienste. Manche Fälle sind offensichtlich, andere erfordern eine genaue Analyse, zumal die Einordnung auch von verbundenen und Partnerunternehmen abhängen kann, nach den Kriterien der Empfehlung 2003/361/EG. Eine frühzeitige Klärung lohnt sich: Wer erfasst ist, muss sich im jährlichen Zeitfenster auf der Plattform der ACN registrieren, und die weiteren Pflichten laufen ab der Mitteilung über die Aufnahme in die Liste.
Ja, indirekt, aber ganz konkret. NIS2-Einrichtungen müssen die Sicherheit ihrer Lieferkette steuern und tun dies über vertragliche Anforderungen, Fragebögen und Audits; ab 2026 melden sie der ACN zudem jährlich ihre relevanten Lieferanten, also nicht ersetzbare IKT-Dienste und Lieferungen. Wer ein angemessenes Sicherheitsniveau nachweist, festigt die Geschäftsbeziehung; wer das nicht tut, riskiert den Ausschluss aus den Lieferantenverzeichnissen. Wir begleiten das Unternehmen dabei, eine glaubwürdige und größenangemessene Antwort aufzubauen.
Die Vorschrift überträgt den Verwaltungs- und Leitungsorganen die Genehmigung der Risikomanagementmaßnahmen, die Aufsicht über deren Umsetzung und die Pflicht, eine spezifische Schulung zu absolvieren; bei Verstößen können sie zur Verantwortung gezogen werden, und wenn die Einrichtung förmlichen Aufforderungen der ACN nicht Folge leistet, droht ein vorübergehendes Verbot, Leitungsfunktionen auszuüben. Wir bereiten Beschlüsse, Informationsflüsse und ein Schulungsprogramm vor, das auf Personen ohne technische Vorkenntnisse zugeschnitten ist.
Dem CSIRT Italia zu melden sind erhebliche Vorfälle, also solche, die schwerwiegende Betriebsstörungen, finanzielle Verluste oder erhebliche Schäden für Dritte verursachen oder verursachen können, nach den von der ACN in den Basisvorgaben festgelegten Kriterien oder, für die in der Durchführungsverordnung (EU) 2024/2690 genannten Anbieter digitaler Dienste, unmittelbar nach jener Verordnung. Die Fristen sind knapp: Frühwarnung innerhalb von 24 Stunden ab Kenntnis des Vorfalls, Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats nach der Meldung. Um sie einzuhalten, müssen Verfahren, Rollen und Vorlagen bereitstehen, bevor der Vorfall eintritt.
Das Unternehmen hat einen Vorsprung, ist aber nicht befreit. Die Zertifizierung deckt einen großen Teil der Maßnahmen nach Art. 24 ab, doch NIS2 fügt eigene Pflichten hinzu: ACN-Registrierung, fristgerechte Vorfallmeldung, Verantwortung und Schulung der Leitungsorgane sowie von der ACN festgelegte spezifische Maßnahmen. Wir bilden die Entsprechungen ab und ergänzen das Fehlende im bestehenden Managementsystem, ohne Doppelungen.
Verwandte Leistungen
Technische Sicherheitsprüfungen von Netzwerken, Anwendungen und Infrastrukturen: Wir finden die Schwachstellen, bevor ein Angreifer es tut.
Mehr erfahrenFachliche Begleitung für Telefonie- und Telekommunikationsanbieter: AGCOM-Pflichten, Aktivierungs- und Migrationsprozesse, Abrechnung, Beschwerdemanagement.
Mehr erfahrenKonzeption, Einführung und Pflege zertifizierbarer Managementsysteme: ISO 9001, 14001, 45001, 27001, 37001, 50001 sowie die wichtigsten Branchen- und Lieferkettenstandards.
Mehr erfahrenSprechen wir darüber
Erzählen Sie uns von den Prioritäten Ihres Unternehmens: In einem ersten, unverbindlichen Gespräch analysieren wir die Ausgangslage und schlagen Ihnen einen konkreten Weg mit Zeitplan und messbaren Ergebnissen vor.