Die Agenzia per la Cybersicurezza Nazionale (ACN) hat am 13. April 2026 eine Durchführungsbestimmung nach Art. 30 Abs. 2 des italienischen NIS2-Gesetzes (Gesetzesdekret Nr. 138/2024) erlassen: Alle wesentlichen und wichtigen Einrichtungen müssen bis zum 30. Juni 2026 ihre Aktivitäten und Dienstleistungen über das ACN-Digitalportal kategorisieren.
Was bedeutet die Kategorisierungspflicht?
Die ACN hat zehn Makrobereiche definiert, in die alle netzwerk- und informationssystemgestützten Tätigkeiten einer NIS-Einrichtung einzusortieren sind. Den Aktivitäten werden vier Relevanzkategorien zugewiesen: hohe, mittlere, geringe und minimale Auswirkung. Das Ergebnis der Kategorisierung bestimmt direkt, welche Sicherheitsmaßnahmen bis Oktober 2026 umgesetzt werden müssen.
Wer ist betroffen?
Alle Einrichtungen, die seit Januar 2026 im ACN-Portal als wesentlich (essential) oder wichtig (important) registriert sind, müssen die Kategorisierungsübung bis 30. Juni 2026 abschließen. Die ACN erwartet rund 17.000 betroffene Einrichtungen in 18 Sektoren. Für Einrichtungen, die erst 2026 in die NIS-Liste aufgenommen wurden, können abweichende Fristen gelten.
Ablauf der Kategorisierung
Vom 1. Mai bis 30. Juni 2026 müssen Einrichtungen über die ACN-Digitalplattform die vollständige Liste ihrer Aktivitäten und der eingesetzten Netz- und Informationssysteme einreichen. Einrichtungen können von der ACN-Vorklassifizierung abweichen, müssen dies jedoch schriftlich dokumentieren und begründen. Die ACN prüft die Angaben auf Stichprobenbasis; bei Nachforderungen haben Einrichtungen 30 Tage zur Reaktion.
Warum ist die Kategorisierung entscheidend?
Die Kategorisierung ist die Grundlage für alles Weitere: Aus dem Ergebnis leitet sich ab, welche der 18 in Art. 24 des Gesetzesdekrets definierten Sicherheitsmaßnahmen wie und in welcher Tiefe umgesetzt werden müssen. Einrichtungen mit hoher Relevanzkategorie unterliegen strengeren Anforderungen und werden bei Prüfungen bevorzugt in den Fokus genommen.
Empfohlene Schritte vor dem 30. Juni
- ACN-Portal-Zugangsdaten und zuständige Ansprechpartner prüfen.
- Alle NIS2-relevanten Aktivitäten und genutzten Informationssysteme intern inventarisieren.
- Kategorisierung gemäß den ACN-Makrobereichen durchführen und abweichende Einschätzungen dokumentieren.
- Interne Freigabe durch die Geschäftsleitung einholen – Governance-Anforderung nach Art. 20 NIS2.
- Kategorisierungsergebnisse für die spätere Auditierung archivieren.
Sanktionen bei Versäumnis
Verstöße gegen die Kategorisierungspflicht können als Nichteinhaltung der Compliance-Verpflichtungen geahndet werden. Die Bußgeldrahmen des italienischen NIS2-Gesetzes betragen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen sowie bis zu 7 Millionen Euro oder 1,4 % des Umsatzes für wichtige Einrichtungen.