NIS2: Frist 30. Juni und der tatsächliche Compliance-Status italienischer Unternehmen

Hintergrund

Der Compliance-Prozess zur NIS2-Richtlinie tritt mit der Frist vom 30. Juni in eine kritische Phase ein. Bis zu diesem Datum müssen wesentliche und wichtige Organisationen im Geltungsbereich von NIS2 ihre Aktivitäten und Dienste innerhalb der 10 Makrobereiche, die durch das ACN-Modell (Bestimmung 155238/2026) definiert sind, abbilden und jeder eine Relevanzkategorie (minimal, niedrig, mittel, hoch) zuweisen. Diese Anforderung ist nicht formal, sondern erfordert ein umfassendes Bewusstsein für kritische Aktivitäten, Dienste, die in den NIS2-Geltungsbereich fallen, und die Auswirkungen einer Kompromittierung auf die organisatorische Resilienz, durch eine vereinfachte Business Impact Analyse.

Laut der Analyse von Innovio ist die Lage in italienischen Unternehmen nicht beruhigend, mit einem überwiegend fragmentierten und reaktiven Ansatz zur NIS2-Compliance. Viele Organisationen kontaktieren Berater erst kurz vor den Fristen; einige haben noch keinen CSIRT-Beauftragten benannt (obligatorisch ab 28. Februar 2025) und wenige haben die Incident-Management-Prozesse formalisiert (operativ ab 15. Januar 2026). Das Fehlen einer strukturierten Roadmap führt dazu, dass nach Dringlichkeiten vorgegangen wird, während die NIS2 einen kontinuierlichen Weg mit formalisierten Prozessen, implementierten und überwachten technischen Maßnahmen sowie einer operativen Governance erfordert.

Warum es wichtig ist

Diese Anforderung ist entscheidend, da sie Organisationen zu einer tiefgehenden Bewertung ihrer operativen Resilienz und Cybersicherheit zwingt, die über bloße formale Mitteilungen hinausgeht. Die korrekte Abbildung und Kategorisierung von Aktivitäten ist grundlegend, um Risiken zu identifizieren und angemessene Sicherheitsmaßnahmen zu implementieren, die direkt mit den Zielen der NIS2-Richtlinie zur Stärkung der Sicherheit von Netzwerken und Informationssystemen verbunden sind. Eine fehlerhafte oder fehlende Klassifizierung kann die Fähigkeit der Organisation beeinträchtigen, Vorfälle zu bewältigen und die Kontinuität wesentlicher Dienste zu gewährleisten, wodurch sie Sanktionen und schwerwiegenden operativen Auswirkungen ausgesetzt ist.

Der hervorgehobene reaktive und fragmentierte Ansatz zeigt einen Mangel an Cybersicherheits-Governance, die für die Einhaltung der NIS2 und für ein proaktives Risikomanagement unerlässlich ist. Die fehlende Formalisierung der Incident-Management-Prozesse und die Nichtbenennung des CSIRT-Beauftragten stellen schwerwiegende Mängel dar, die eine effektive Reaktion auf Vorfälle verhindern, was ein zentrales Element der Richtlinie ist. Dieses Szenario beeinträchtigt die Fähigkeit von Unternehmen, die Konformität nachzuweisen und ihre kritischen Assets effektiv zu schützen.

Was zu tun ist

• Alle durch IT-Systeme und Netzwerke unterstützten Aktivitäten identifizieren.
• Diese Aktivitäten innerhalb der 10 Makrobereiche des ACN-Modells abbilden.
• Eine vereinfachte Business Impact Analyse durchführen, um die Auswirkungen einer Kompromittierung zu bewerten.
• Jeder Aktivität eine Relevanzkategorie (minimal, niedrig, mittel, hoch) zuweisen und bei Bedarf vordefinierte Kategorien anpassen.
• Die kategorisierte Liste über den Dienst NIS/Categorizzazione des ACN-Portals hochladen.
• Den CSIRT-Beauftragten benennen und Incident-Management-Prozesse formalisieren.

Was zu vermeiden ist

• Einen fragmentierten und reaktiven Ansatz zur NIS2-Compliance vermeiden und nicht nur auf Dringlichkeiten reagieren.
• Sich darauf beschränken, Stammdaten oder formale Informationen ohne eine echte Prozessanalyse zu übermitteln.
• Die Bedeutung einer strukturierten Roadmap und einer operativen Governance unterschätzen.
• Incident-Management-Prozesse nicht formalisieren oder den CSIRT-Beauftragten nicht benennen.

Praktische Auswirkungen

Organisationen, die die Frist vom 30. Juni nicht proaktiv angehen, riskieren nicht nur die Nichteinhaltung der NIS2-Richtlinie und die damit verbundenen Sanktionen, sondern auch eine erhebliche operative Schwachstelle. Das mangelnde Verständnis und die fehlende Klassifizierung ihrer kritischen Aktivitäten erschweren die Implementierung wirksamer Sicherheitsmaßnahmen und die rechtzeitige Bewältigung von Vorfällen, was die Gesamt-Resilienz beeinträchtigt. Das Fehlen formalisierter Prozesse und wichtiger Schlüsselpersonen wie des CSIRT-Beauftragten setzt sie im Falle eines Cyberangriffs ernsthaften Risiken aus.

Empfohlene Maßnahmen

• Dringend die eigene Vorbereitung auf die Frist vom 30. Juni zur Klassifizierung der NIS2-Aktivitäten bewerten.
• Alle Aktivitäten und Dienste, die in den NIS2-Geltungsbereich fallen und von IT-Systemen und Netzwerken unterstützt werden, identifizieren und abbilden.
• Eine vereinfachte Business Impact Analyse für jede Aktivität und jeden Dienst durchführen und die korrekten Relevanzkategorien zuweisen.
• Überprüfen, ob ein CSIRT-Beauftragter benannt ist und die Incident-Management-Prozesse formalisiert und operativ sind.
• Einen strukturierten und kontinuierlichen Ansatz zur NIS2-Compliance verfolgen und die Logik reaktiver Fristen überwinden.

Zu vermeidende Fehler

• Die Frist vom 30. Juni als bloße bürokratische oder formale Pflicht betrachten.
• Die NIS2-Compliance oberflächlich oder ohne spezialisierte Kompetenzen angehen.
• Die Benennung des CSIRT-Beauftragten oder die Formalisierung der Incident-Management-Prozesse aufschieben.
• Keine klare Roadmap mit Meilensteinen und Verantwortlichkeiten für die NIS2-Compliance entwickeln.

Fragen zur Selbsteinschätzung

• Hat unsere Organisation ein klares Verständnis ihrer kritischen Aktivitäten und Dienste und deren Auswirkungen im Falle einer Kompromittierung?
• Haben wir alle durch IT-Systeme und Netzwerke unterstützten Aktivitäten gemäß dem ACN-Modell identifiziert und abgebildet?
• Haben wir eine vereinfachte Business Impact Analyse durchgeführt, um die korrekten Relevanzkategorien für jede Aktivität zuzuweisen?
• Ist unser CSIRT-Beauftragter benannt und sind die Incident-Management-Prozesse formalisiert und operativ, wie es die NIS2 vorschreibt?
• Verfolgen wir einen proaktiven und strukturierten Ansatz zur NIS2-Compliance oder gehen wir nur bei Notfällen vor?

Verweise

Nationales Recht: Direttiva NIS2 · Determinazione ACN 155238/2026