Für die meisten Einrichtungen, die 2025 in die italienische NIS-Liste aufgenommen wurden, ist am 31. Oktober 2026 die Frist für die Basis-Sicherheitsmaßnahmen der Agenzia per la Cybersicurezza Nazionale (ACN) abgelaufen. Die Frist beträgt 18 Monate ab der Mitteilung über die Aufnahme in die Liste; wer diese früher erhalten hat, war entsprechend früher dran. Der 31. Oktober ist die äußerste Grenze für die erste Kohorte.
Was hätte stehen müssen
Maßgeblich ist die ACN-Bestimmung 379907/2025: 37 Maßnahmen mit 87 Anforderungen für wichtige Einrichtungen (Anlage 1), 43 Maßnahmen mit 116 Anforderungen für wesentliche Einrichtungen (Anlage 2). Gefordert ist, dass die Maßnahmen umgesetzt sind und funktionieren, nicht nur, dass Richtlinien verabschiedet wurden. Eine Verlängerung hat die ACN nicht angekündigt.
Von der Begleitung zur Aufsicht
Bis Oktober hat die ACN die Einrichtungen vor allem begleitet; mit Ablauf der Frist kann sie den Umsetzungsstand prüfen. Mitte Oktober hat sie selbst gezeigt, dass das Verfahren auch in Brüssel beobachtet wird: Am 14. und 15. Oktober war eine Delegation der EU-Kommission zwei Tage bei der ACN, als Aufsichtsbehörde und als CSIRT, und hat mit einzelnen NIS-Einrichtungen gesprochen. Nach Angaben der ACN hat die Kommission die italienische Umsetzung gewürdigt. Vorgestellt wurden auch erste Ergebnisse der Arbeitsgruppen zu den verstärkten Sicherheitsmaßnahmen, die die Basismaßnahmen künftig ergänzen und ersetzen sollen.
Was das für Unternehmen bedeutet
- Italienische Gesellschaften deutscher Gruppen sind dort eigenständig in der NIS-Liste geführt. Die Frist richtet sich nach der eigenen Aufnahmemitteilung, nicht nach dem deutschen BSIG.
- Für 2026 neu aufgenommene Einrichtungen läuft die Frist für die Basismaßnahmen nach Branchenberichten bis 31. Juli 2027; maßgeblich ist auch hier die Mitteilung der ACN.
- Nachweise statt Papier: Wer geprüft wird, muss belegen können, dass eine Maßnahme läuft: mit Datum, Verantwortlichem und Ergebnis.