Der 28. Februar 2025 stellte für zahlreiche italienische Organisationen eine entscheidende Frist dar. Bis zu diesem Datum mussten Unternehmen, die der NIS2 unterliegen, die Registrierung auf der Plattform der ACN (Agenzia per la Cybersicurezza Nazionale) abschließen und ihre NIS2-Kontaktstelle benennen – eine Schlüsselfunktion für das Management der Cybersicherheit.
Die NIS2-Richtlinie (EU) 2022/2555 zielt darauf ab, die Cybersicherheit in der Europäischen Union zu stärken und kritische Sektoren wie Energie, Transport, Finanzwesen und Telekommunikation einzubeziehen. Die Kontaktstelle ist ein zentrales Element zur Sicherstellung der Konformität, da sie die Kommunikation mit der ACN steuert und die cyberelevanten Aspekte der Organisation überwacht.
Wer ist die NIS2-Kontaktstelle?
Definition und Anforderungen der NIS2-Kontaktstelle
Gemäß der NIS2-Regelung ist die Kontaktstelle eine vom NIS-Subjekt benannte Person mit der Aufgabe, die Umsetzung der im Gesetzesdekret D.Lgs. 138/2024 vorgesehenen Bestimmungen zu betreuen.
Wie in Artikel 4 der Determinazione ACN 38565/2024 angegeben, handelt es sich bei der Kontaktstelle um eine natürliche Person, die als offizieller Ansprechpartner gegenüber der ACN fungiert, den Zugang zur digitalen Plattform verwaltet und die Kommunikation mit der Behörde führt.
Diese Person muss direkt an die Unternehmensspitze und die Verwaltungsorgane berichten, den Informationsfluss erleichtern und die Cybersecurity-Aktivitäten koordinieren.
Wer kann als Kontaktstelle benannt werden?
Die Regelung erlaubt, die Rolle unterschiedlichen Personen innerhalb der Organisation zuzuweisen:
- Der gesetzliche Vertreter des Unternehmens
- Ein Generalbevollmächtigter mit geeigneten Befugnissen
- Ein vom gesetzlichen Vertreter delegierter Mitarbeiter
- Ein Mitarbeiter eines anderen Unternehmens der Gruppe (bei Unternehmensgruppen)
Auch wenn die Regelung nicht ausdrücklich verlangt, dass die Kontaktstelle ein Cybersecurity-Experte ist, kann der Chief Information Security Officer (CISO) oder eine andere für die Informationssicherheit verantwortliche Person in Unternehmen mit integriertem Sicherheitsmodell ein idealer Kandidat sein.
Zudem kann die Benennung der Kontaktstelle mit der Ernennung des Referenten für Cybersicherheit gemäß Artikel 8 Absatz 2 des Gesetzes 90/2024 zusammenfallen, wodurch Doppelungen in den Verantwortungsrollen vermieden werden.
Operative Verantwortlichkeiten und Pflichten
Die Kontaktstelle ist nicht persönlich für die Erfüllung der NIS2-Pflichten verantwortlich, hat jedoch die Aufgabe, deren Umsetzung zu betreuen und einen kontinuierlichen Informationsaustausch zwischen der Organisation und der ACN sicherzustellen.
Zu den wichtigsten Verantwortlichkeiten zählen:
- Verwaltung der Registrierung und Datenaktualisierung auf der ACN-Plattform
- Monitoring der von der Organisation eingeführten Cybersicherheitsmaßnahmen
- Koordination der Incident-Meldungen und der Kommunikation mit der Behörde
Insbesondere sieht die Regelung präzise Fristen für die Meldung von Sicherheitsvorfällen vor:
- Innerhalb von 24 Stunden: Vorabmeldung an die ACN mit ersten Informationen
- Innerhalb von 72 Stunden: detaillierte Meldung mit Bewertung der Auswirkungen
- Innerhalb eines Monats: Abschlussbericht mit Vertiefung der ergriffenen Maßnahmen
Neben diesen Pflichten muss die Kontaktstelle periodisch an die Unternehmensspitze über die Einhaltung der NIS2-Anforderungen berichten und so die Aufsicht durch die Verwaltungsorgane erleichtern. Die endgültige Verantwortung für die Konformität verbleibt bei den Verwaltungsorganen, wie in Artikel 23 des D.Lgs. 138/2024 festgelegt, der sie verpflichtet,:
- Strategien zur Steuerung von Cyberrisiken zu genehmigen
- die Umsetzung der Sicherheitsmaßnahmen zu überwachen
- eine spezifische Schulung im Bereich Cybersicherheit zu absolvieren
- die Schulung der Mitarbeitenden zur Informationssicherheit zu fördern
Prozess der Benennung und Registrierung
Die Benennung der NIS2-Kontaktstelle war ein verpflichtender Schritt für die Registrierung auf der digitalen Plattform der ACN, die zwischen dem 1. Dezember 2024 und dem 28. Februar 2025 abzuschließen war. Das Registrierungsverfahren umfasste drei Hauptphasen, die in den folgenden Abschnitten dargestellt werden.
- Erfassung der Kontaktstelle: Die benannte Person griff über SPID oder persönliche CIE auf das ACN-Portal (https://portale.acn.gov.it/login) zu und vervollständigte ihre Stammdaten.
- Zuordnung zur Organisation: Die Kontaktstelle verknüpfte ihren Zugang mit dem Unternehmen, indem sie den codice fiscale (bei privaten Rechtsträgern) oder den IPA-Code (für öffentliche Verwaltungen) eingab. Wenn es sich um einen Mitarbeitenden handelte, musste eine formale Delegation des gesetzlichen Vertreters hochgeladen werden.
- Ausfüllen der Erklärung: Die Erklärung, gegliedert in vier Abschnitte, verlangte detaillierte Angaben zu:
- Unternehmensstruktur und ATECO-Codes
- Anwendbarkeit europäischer Regelungen
- Größe und Einstufung des Subjekts (wesentlich oder wichtig)
- ACN-Prüfungen und Mitteilungen
Nach der Registrierung lieferte das System eine vorläufige Einschätzung zur Notwendigkeit, sich an die NIS2 anzupassen. Die ACN und die zuständigen Sektorbehörden begannen den Prüfprozess bis März 2025, mit formeller Benachrichtigung der Unternehmen, die bis April 2025 erwartet wurde.
Sanktionen bei fehlender Registrierung
Die nicht fristgerechte Durchführung der Registrierung bis zum 28. Februar 2025 stellt einen sanktionsbewehrten Verstoß dar, mit einer Geldbuße von bis zu 0,1% des weltweiten Jahresumsatzes des säumigen Unternehmens.
Zur Unterstützung der Organisationen stellte die ACN Informationsmaterial bereit, darunter:
- Video-Tutorials zum Registrierungsprozess
- technische Dokumentation zu Konformitätsverfahren
- aktualisierte FAQ, verfügbar auf dem offiziellen Portal
Die Bedeutung der NIS2-Kontaktstelle
Die NIS2-Kontaktstelle ist eine wesentliche Funktion für die NIS2-Konformität, da sie die Verbindung zwischen den der Richtlinie unterliegenden Unternehmen und der Agenzia per la Cybersicurezza Nazionale sicherstellt.
Ihre Benennung stellte einen grundlegenden Schritt zur Erfüllung der Sicherheitsanforderungen dar und gewährleistet eine effektive Kommunikation, die Überwachung der Schutzmaßnahmen sowie das Management von Sicherheitsvorfällen.
Angesichts der laufenden Prüfphase durch die ACN müssen Unternehmen die Einhaltung der regulatorischen Pflichten sicherstellen, um Sanktionen und operative Risiken aus mangelnder Konformität zu vermeiden.
