ACN legt Registrierungszeitraum für NIS2 2027 und Fristen für Pflichten fest

Hintergrund

Am 18. September 2026 veröffentlichte die Nationale Agentur für Cybersicherheit (ACN) die Neuerungen für NIS-Einrichtungen, eine Woche nach dem NIS-Vademecum. Aus der Plenarsitzung des Umsetzungsausschusses ergaben sich die Aktualisierung der Liste der NIS-Einrichtungen, die Einleitung der Konsultation zu den verstärkten Sicherheitsmaßnahmen und der neue Registrierungszeitraum. Dieser Zeitraum beginnt am 1. Januar 2027 und endet am 28. Februar. Die erste von ACN angegebene Frist ist im Oktober für die Umsetzung der grundlegenden Sicherheitsmaßnahmen durch die im Jahr 2025 gelisteten Einrichtungen.
Die Registrierungspflicht ergibt sich aus Artikel 7 Absatz 1 des Gesetzesdekrets vom 4. September 2024, Nr. 138. Vom 1. Januar bis zum 28. Februar jedes Jahres müssen sich die unter den Anwendungsbereich fallenden Einrichtungen auf der digitalen Plattform der ACN registrieren oder ihre Registrierung aktualisieren. Die jährliche Aktualisierung ist auch für bereits gelistete Einrichtungen erforderlich. Die mindestens erforderlichen Informationen sind Firmenname, aktualisierte Adresse und Kontaktdaten, die Benennung einer Kontaktstelle mit Rolle und Kontaktdaten sowie die relevanten Sektoren, Untersektoren und Einrichtungstypen der Anhänge I, II, III und IV, sofern zutreffend. Die Modalitäten, Fristen und Verfahren werden durch die ACN-Bestimmung 127437/2026 festgelegt, die ab dem 15. April 2026 anwendbar ist und die frühere Bestimmung 379887/2025 aktualisiert. Kapitel V über die Auflistung und Kategorisierung gilt ab dem 1. Mai 2026. Die ACN kann weitere kritische Einrichtungen identifizieren, die eine direkte Mitteilung zur Registrierung erhalten.
Die Registrierung ist in drei Phasen unterteilt: Erfassung der Kontaktstelle, Zuordnung zur Einrichtung und Ausfüllung der NIS-Erklärung. Die Kontaktstelle muss vor Beginn des Verfahrens gemäß Artikel 7 Absatz 1 Buchstabe c) des Dekrets benannt werden. Artikel 4 Absatz 2 der Bestimmung 127437/2026 nennt drei Möglichkeiten: den gesetzlichen Vertreter, einen der im Handelsregister eingetragenen Generalbevollmächtigten oder einen vom gesetzlichen Vertreter delegierten Mitarbeiter. Für Unternehmensgruppen und öffentliche Verwaltungen lassen die Absätze 3 und 4 einen Mitarbeiter eines anderen Unternehmens der Gruppe oder einer anderen Verwaltung zu, ebenfalls auf Delegation und unter spezifischen Bedingungen. Nur für den delegierten Mitarbeiter ist es erforderlich, den rechtlichen Titel, der zur Vertretung der Einrichtung berechtigt, auf dem Portal hochzuladen. Die Kontaktstelle authentifiziert sich mit SPID oder CIE und gibt den IPA-Code (für PA) oder den Steuercode (für andere Fälle) an. Der Prozess endet mit dem Versand eines Validierungslinks an den digitalen Wohnsitz der Einrichtung.
Die Erklärung besteht aus vier Abschnitten: Kontext, Charakterisierung, Einrichtungstypen und Selbstbewertung. Sie erfordert unter anderem die ATECO-Codes, die anwendbaren europäischen Branchenvorschriften, Umsatz-, Bilanz- und Mitarbeiterwerte sowie die etwaige Zugehörigkeit zu einer Unternehmensgruppe. Eine Kopie wird an den digitalen Wohnsitz gesendet. Artikel 11 Absatz 9 der Bestimmung legt fest, dass die Erklärung nach zehn Kalendertagen ab Einreichung als erfasst und nicht mehr änderbar gilt. Absatz 8 betrachtet jedoch jede nach dem 28. Februar eingereichte oder geänderte Erklärung als verspätet. Das bedeutet, dass jemand, der am 27. Februar übermittelt, nur einen Tag zur Korrektur hat. Die Schutzklausel des Artikel 3 Absatz 12 des Dekrets, die es ermöglicht, eine unverhältnismäßige Größenberechnung anzufechten, kann während der Registrierung ausgeübt werden. Die Vorbereitung des rechtlichen Titels (Delegation) für die Kontaktstelle, wenn nötig, ist ein zeitaufwändiger Schritt und kann nicht kurz vor der Frist am 28. Februar improvisiert werden. Es gibt vier formale Akte mit unterschiedlichen Fristen, keiner davon hängt von der ACN ab, darunter die Delegation an die Kontaktstelle, die vor Januar zu erstellen ist, und die Vertretung der Kontaktstelle, die in Artikel 7 Absatz 4 Buchstabe d) des Dekrets und Artikel 5 Absatz 3 der Bestimmung vorgesehen ist.

Warum es wichtig ist

Die jährliche NIS2-Registrierung ist obligatorisch und hat eine strenge Frist zwischen dem 1. Januar und dem 28. Februar 2027 für alle unter den Anwendungsbereich fallenden Einrichtungen, auch für bereits registrierte. Die rechtzeitige Erstellung oder Aktualisierung des rechtlichen Titels für die Kontaktstelle kann die Fertigstellung des Verfahrens verhindern. Es ist wichtig, die Delegation der Kontaktstelle vor Beginn des Registrierungszeitraums vorzubereiten, da dies ein zeitaufwändiger Prozess mit formalen Schritten ist. Hat Ihre Organisation die Kontaktstelle bereits identifiziert und mit dem erforderlichen formalen Akt gemäß den neuen ACN-Bestimmungen delegiert?

Was zu tun ist

• Die Kontaktstelle formal benennen, mit den entsprechenden Kontaktdaten, bevor der Registrierungszeitraum 2027 beginnt.
• Den rechtlichen Titel (Delegation) für die Kontaktstelle einholen und hochladen, falls es sich nicht um den gesetzlichen Vertreter oder einen Generalbevollmächtigten handelt, unter Berücksichtigung der notwendigen Zeit für dieses Verfahren.
• Alle erforderlichen Unternehmensinformationen für die NIS-Erklärung im Voraus sammeln, wie ATECO-Codes, Umsatz, Bilanz, Mitarbeiter und anwendbare Branchenvorschriften.
• Nach Einreichung der Erklärung den Inhalt innerhalb der vorgesehenen zehn Kalendertage sorgfältig prüfen, dabei größte Aufmerksamkeit auf die Endfrist am 28. Februar für eventuelle Änderungen legen.
• Die Möglichkeit prüfen, die Schutzklausel (Artikel 3 Absatz 12 des Dekrets) während der Registrierungsphase auszuüben, falls die Größenberechnung unverhältnismäßig erscheint.

Was zu vermeiden ist

• Den Registrierungszeitraum mit einer Pflicht verwechseln, die nur auf neue NIS-Einrichtungen beschränkt ist, und die jährliche Aktualisierung vernachlässigen, die auch für bereits gelistete Einrichtungen erforderlich ist.
• Die Zeit für die Erstellung der Delegation der Kontaktstelle unterschätzen und bis kurz vor der Frist am 28. Februar warten, da dies kein improvisierbarer Akt ist.
• Die Frist vom 28. Februar für Änderungen an der Erklärung ignorieren, auch wenn die zehn Tage seit der Einreichung noch nicht verstrichen sind, da eine Korrektur nach diesem Datum als verspätet gilt.

Praktische Auswirkungen

NIS2-pflichtige Organisationen müssen einen proaktiven Ansatz zur Compliance verfolgen und die Vorbereitung aller Pflichten frühzeitig planen, um Sanktionen zu vermeiden. Dies bedeutet, die korrekte Benennung und Formalisierung der Kontaktstelle, die präzise Erfassung der erforderlichen Daten und die strikte Einhaltung der von ACN festgelegten Fristen zu gewährleisten. Die Verwaltung des Registrierungsprozesses erfordert eine effektive interne Koordination zwischen verschiedenen Unternehmensfunktionen wie der Rechtsabteilung, der Geschäftsleitung und den IT-Verantwortlichen, um sicherzustellen, dass alle formalen Akte vor Beginn des Zeitraums bereit und gültig sind.

Empfohlene Maßnahmen

• Klar identifizieren, wer innerhalb oder außerhalb der Organisation die Rolle der Kontaktstelle mit ACN übernehmen soll.
• Die erforderliche Delegation für die Kontaktstelle vorbereiten und formalisieren, falls es sich nicht um den gesetzlichen Vertreter oder einen Generalbevollmächtigten handelt, unter Einbeziehung der zuständigen Abteilungen.
• Alle erforderlichen Unternehmensdaten und normativen Referenzen (z.B. ATECO-Codes, Wirtschaftsdaten, Branchenvorschriften) für die Ausfüllung der NIS-Erklärung überprüfen und sammeln.
• Ein internes Verfahren für die Erstellung, Überprüfung und Einreichung der NIS-Erklärung festlegen, mit internen Fristen, die jenen der ACN vorausgehen.

Zu vermeidende Fehler

• Die Benennung der Kontaktstelle und die Vorbereitung der Delegation verzögern, wodurch das Risiko besteht, den formalen Akt nicht rechtzeitig für die Registrierung bereitzuhaben.
• Die NIS2-Registrierung nicht als jährliche Aktualisierungspflicht betrachten, indem man glaubt, dass eine einmalige Erstregistrierung ausreicht.
• Die NIS-Erklärung ohne gründliche Überprüfung einreichen, da die Korrekturmöglichkeiten durch die doppelten Fristen von zehn Tagen und dem 28. Februar begrenzt sind.

Fragen zur Selbsteinschätzung

• Ist unsere ACN-Kontaktstelle bereits formal benannt, und haben wir den gültigen rechtlichen Titel bereit zum Hochladen auf die Plattform?
• Haben wir bereits alle erforderlichen Unternehmensinformationen (ATECO-Codes, Umsatz, Bilanz, Mitarbeiter, Branchenvorschriften) für die NIS-Erklärung gesammelt und überprüft?
• Umfasst unser Compliance-Plan die jährliche Aktualisierung der NIS2-Registrierung mit der Frist zwischen dem 1. Januar und dem 28. Februar, und haben wir einen Zeitpuffer für eventuelle Korrekturen eingeplant?

Verweise

Nationales Recht: Decreto legislativo 4 settembre 2024, n. 138 art. 7, comma 1 · Decreto legislativo 4 settembre 2024, n. 138 art. 3, comma 12 · Decreto legislativo 4 settembre 2024, n. 138 art. 7, comma 4, lettera d) · Decreto legislativo 165/2001 art. 53 · Determinazione ACN 127437/2026 · Determinazione ACN 127437/2026 art. 4, comma 2 · Determinazione ACN 127437/2026 art. 5, comma 3 · Determinazione ACN 127437/2026 art. 11, comma 8 · Determinazione ACN 127437/2026 art. 11, comma 9