In den letzten Wochen wurde mir bei drei verschiedenen Treffen dieselbe Frage gestellt: in Bozen, in Meran und in einem Tal oberhalb von Brixen. „Federico, wir haben doch bis zum 31. Oktober Zeit, oder?“ Gefragt haben mich der Inhaber eines familiengeführten Produktionsbetriebs, die Verwaltungsleiterin eines Handelsunternehmens und der Werkleiter eines Lebensmittelbetriebs. Sie fragten gelassen, so wie man nach der Abgabefrist für die Steuererklärung fragt.
Ich antworte allen gleich: nein, nicht unbedingt. Und das ist keine Haarspalterei bei der Formulierung. Wäre es nur das, würde ich keinen Artikel darüber schreiben.
Was der Kalender konkret sagt
Die italienische Agentur für Cybersicherheit (ACN) hat im September 2026 das neue NIS-Vademecum veröffentlicht, einen operativen Kalender der Pflichten für Organisationen, denen die Aufnahme in das Verzeichnis der wesentlichen und wichtigen Einrichtungen mitgeteilt wurde. Daraus ziehe ich drei Punkte, die ich für entscheidend halte.
Erstens. Für 2025 eingetragene Einrichtungen gilt die Pflicht, erhebliche Basis-Vorfälle an das CSIRT Italia zu melden, seit Januar 2026, während die grundlegenden Sicherheitsmaßnahmen „bis Oktober 2026“ abgeschlossen sein müssen. Aber „bis Oktober“ ist nicht gleichbedeutend mit dem 31. Oktober. Die genaue Frist ist an das Datum gebunden, an dem Sie die Mitteilung der ACN über die Aufnahme erhalten haben: 9 Monate für die Meldung von Vorfällen, 18 Monate für die Umsetzung der Sicherheitsmaßnahmen. Wenn die Mitteilung im April 2025 kam, beginnt die Zählung dort und nicht im Kalender.
Zweitens. Für 2026 eingetragene Einrichtungen verschiebt sich alles um ein Jahr: Meldungen ab Januar 2027, Sicherheitsmaßnahmen bis Juli 2027.
Drittens, und das wird am häufigsten vergessen: Es gibt wiederkehrende Pflichten, die nicht vom Jahr der Aufnahme abhängen. Die Registrierung oder ihre Aktualisierung ist jedes Jahr vom 1. Januar bis 28. Februar vorzunehmen. Die Aktualisierung der Angaben vom 15. April bis 31. Mai. Die Kategorisierung von Tätigkeiten und Diensten vom 1. Mai bis 30. Juni. Und jede Änderung bereits übermittelter Daten ist innerhalb von 14 Tagen zu melden. Zu den aktuell zu haltenden Daten gehören die Kontaktperson, der CSIRT-Referent, die Mitglieder der Verwaltungs- und Leitungsorgane und die Liste der relevanten Lieferanten.
Die Basismaßnahmen sind jene, die durch den ACN-Beschluss Nr. 164179 vom 14. April 2025 festgelegt und durch den Beschluss Nr. 379907 vom 19. Dezember 2025 (anwendbar seit dem 15. Januar 2026) aktualisiert wurden, in Umsetzung des Gesetzesvertretenden Dekrets Nr. 138 vom 4. September 2024, mit dem Italien die NIS2-Richtlinie umgesetzt hat: Governance, Bestandsaufnahme der Assets, Lückenanalyse, Vorfallmanagement. Bei erheblichen Vorfällen ist die Vorabmeldung an das CSIRT Italia unverzüglich und spätestens innerhalb von 24 Stunden nach Kenntnis zu senden, die vollständige Meldung innerhalb von 72 Stunden (ACN-FAQ).
Meine Meinung: Das Problem ist nicht das Datum
Ich arbeite lange genug mit Südtiroler Unternehmen, um ein Muster zu erkennen, das sich wiederholt. Wenn wir über Fristen sprechen, sprechen wir fast immer über eine einzige Sorge: „Schaffen wir es rechtzeitig?“ Das ist eine Frage zum Kalender. Aber NIS2 ist vor allem eine Frage der Unternehmensführung.
Die Richtlinie weist die Verantwortung ausdrücklich den Leitungsorganen zu: Sie genehmigen die Maßnahmen und haften dafür. Ein Geschäftsführer kann nicht mehr sagen: „Das ist Sache der IT.“ Dieser Perspektivwechsel zählt mehr als jedes Datum. Solange Cybersicherheit ein technisches Problem war, löste es die Person mit den Passwörtern und dem Server im Keller. Heute gehört die Frage „Was haben wir, wer ist dafür verantwortlich und was passiert, wenn es ausfällt“ der Geschäftsleitung, und die Antworten unterschreibt nicht der Systemadministrator.
Darum halte ich es für falsch, das Gespräch mit dem Datum zu beginnen. Das Datum beantwortet „wann“. Ich schlage vor, mit „wer“ zu beginnen.
Was hier bei uns passiert ist
Wir brauchen keine theoretischen Szenarien: In den letzten beiden Jahren gab es in Südtirol konkrete Beispiele, über die die Presse berichtet hat. Ich nenne sie, weil sie mehr lehren als jede Folie.
Rothoblaas, September 2024. Das Unternehmen aus Kurtatsch, Hersteller von Baumaterialien, wurde von der Ransomware-Gruppe Akira angegriffen. Wie der globale IT-Leiter Stefan Trebo gegenüber der RAI schilderte, kamen die Systeme zum Stillstand und die Produktion stand drei Tage still. Die Angreifer versuchten eine Erpressung, die das Unternehmen „grundsätzlich“ ablehnte. Trebo sagte, das Unternehmen beschäftige 12 Personen in der IT und es sei der erste Angriff gewesen; die Systeme wurden relativ rasch wiederhergestellt, aber ein Stillstand bedeutet unmittelbar Schaden. Quelle: RAI Südtirol, 26. September 2024.
Aus diesem Fall ziehe ich eine unbequeme Lehre. Rothoblaas ist kein kleiner Betrieb: Es hat ein IT-Team von zwölf Personen. Trotzdem kamen drei Tage Produktionsstillstand, denn ein Ransomware-Angriff nutzt eine Schwachstelle aus, nicht die Mitarbeiterzahl. Die Frage für ein KMU mit zwei oder drei Personen im Büro und einem externen Betreuer ist unvermeidlich: Wenn es einem Unternehmen mit zwölf IT-Mitarbeitern passieren kann, was würde dann bei uns geschehen?
Autonome Provinz Bozen, Juni 2025. In der Nacht zwischen dem 23. und 24. Juni 2025 traf ein Cyberangriff mit Lösegeldforderung mehrere Stellen der Landesverwaltung und legte die Telefonsysteme von Zivilschutzzentralen lahm: die Landesverkehrsmeldezentrale, die Notrufzentrale, die Berufsfeuerwehr und den Landesfunkdienst. Landeshauptmann Arno Kompatscher teilte mit, das Lösegeld werde nicht bezahlt und personenbezogene Daten der Bürgerinnen und Bürger seien nach derzeitigem Stand nicht betroffen. Viele Abläufe wurden manuell erledigt, mit zusätzlichem Personal in der Notrufzentrale, und die Notrufe blieben aktiv. Quelle: MB Time, 25. Juni 2025, mit Verweis auf die offiziellen Mitteilungen.
Hier sehe ich ein anderes und auf seine Art lehrreiches Beispiel: einen Notfallplan, der funktioniert hat. Als die Systeme ausfielen, gab es ein Verfahren, um von Hand zu arbeiten und den wesentlichen Dienst aufrechtzuerhalten. Genau das verlangt NIS2 von Organisationen: nicht das unmögliche Versprechen, dass „es nie passieren wird“, sondern die Fähigkeit, weiterzuarbeiten, wenn es passiert.
Ein dritter Fall liegt außerhalb der Region, ist aber für jedes KMU lehrreich: die Region Latium, August 2021. Eine Ransomware blockierte die Impfterminplattform und die Arbeit der Verwaltung. Laut der von Cybersecurity360 veröffentlichten Analyse ging der Angriff vom Rechner eines im Homeoffice arbeitenden Mitarbeiters von LazioCrea aus, die Backups waren nicht isoliert (offline) und die Administratorkonten hatten keine Zwei-Faktor-Authentifizierung. Die Backup-Daten waren am Ende nur gelöscht, nicht verschlüsselt, und konnten mit rund 50 Stunden Arbeit wiederhergestellt werden. Es war ein glückliches Ende, kein geplantes. Ich erwähne den Fall, weil die drei Mängel (nicht isoliertes Backup, fehlender zweiter Faktor, ungeschütztes Homeoffice) dieselben sind, denen ich in vielen Unternehmen jeder Größe begegne.
Drei typische Situationen in unseren Betrieben
Die Südtiroler Wirtschaft besteht überwiegend aus kleinen und mittleren Familienbetrieben, oft mit sehr tiefer Spezialisierung und einer sehr starken Rolle der Einzelperson: Der Inhaber kennt alle beim Namen und trägt die Hälfte der Prozesse im Kopf. Das ist ein großer Wettbewerbsvorteil, hat aber für die Cybersicherheit einen Preis. Ich beschreibe drei wiederkehrende Muster, die in KMU zu beobachten sind; es sind keine Kundenfälle, sondern typische Situationen.
Die Person als Single Point of Failure. Ein Unternehmen, in dem alle Systeme von einem einzigen vertrauten Techniker eingerichtet wurden. Solange er da ist, funktioniert alles. An dem Tag, an dem er in Urlaub geht oder die Stelle wechselt, stellt das Unternehmen fest, dass es allein nichts kann. NIS2 verlangt eine Bestandsaufnahme der Assets und die Zuweisung von Rollen. Das ist keine Bürokratie: Es ist die Übertragung von Wissen aus einem Kopf in ein Dokument.
Das mehrsprachige Umfeld. Im selben Unternehmen arbeiten italienisch-, deutsch- und ladinischsprachige Kolleginnen und Kollegen, und die Lieferanten sitzen auf beiden Seiten des Brenners. E-Mails mit der Aufforderung, „dringend eine Rechnung zu bezahlen“, kommen auf Italienisch und auf Deutsch. Eine Phishing-Schulung in nur einer Sprache schützt nur einen Teil des Teams. Wenn Sie einen Kurs planen, halten Sie ihn in mindestens zwei Sprachen.
Der Lieferant als offene Tür. Viele Südtiroler Unternehmen sind eng mit dem deutschen und österreichischen Markt verbunden, mit Kunden, Lieferanten und Logistik jenseits der Grenze. Laut dem Cyber Security Report 2026 von Schwarz Digits, über den heise online berichtet (Daten zu Deutschland, nicht zu Italien), verzeichnet jedes zweite deutsche Unternehmen Angriffe auf seine Lieferanten, und 75 % überprüfen sie nicht regelmäßig. Ich glaube nicht, dass es bei uns sehr anders ist. Wenn Sie mit einem deutschen Kunden arbeiten, der unter NIS2 fällt, wird er Sie früher oder später fragen, wie Sie Daten schützen. Nicht, um Ihnen zu schaden: Es ist seine eigene Pflicht.
Meine Ratschläge für die kommenden Wochen
Ich würde nicht mit dem Kauf von Software beginnen. In den meisten Fällen braucht es vier einfache Dinge, die sich in wenigen Wochen und ohne große Budgets erledigen lassen.
Finden Sie die Mitteilung der ACN
Suchen Sie das Datum der Mitteilung über die Aufnahme in das Verzeichnis und zählen Sie von dort 18 Monate. Schreiben Sie die tatsächliche Frist dorthin, wo sie auch jemand anderes als Sie sieht. Wenn Sie die Mitteilung nicht finden, melden Sie sich mit den Zugangsdaten des Unternehmens im ACN-Portal an, im Bereich NIS.
Benennen Sie zwei Personen
Die Kontaktperson und den CSIRT-Referenten, jeweils mit Stellvertretung. Das ist keine Formalität: Sie sind es, die in der Nacht handeln, in der etwas kaputtgeht. Benennen Sie nicht jemanden, der ohnehin überlastet ist: Benennen Sie jemanden, der bereit ist, fünf Jahre für diese Rolle einzustehen.
Erstellen Sie ein einseitiges Asset-Verzeichnis
Welche Systeme Sie haben, wo die Daten liegen, wer Zugriff hat, welche Lieferanten sie betreuen. Für einen kleinen Betrieb ist das eine Tabelle auf einem Blatt, kein Jahresprojekt. Beginnen Sie mit drei Spalten: was, wer ist verantwortlich, was passiert, wenn es einen Tag ausfällt.
Machen Sie einmal eine „Notfallübung“
Versammeln Sie die Geschäftsleitung für eine Stunde und besprechen Sie ein Szenario: Heute Nacht wurden alle Dateien verschlüsselt. Wer ruft wen an? Wer entscheidet? Wer meldet an das CSIRT Italia und in welchen Fristen? Sie lernen in dieser Stunde mehr über Ihre Vorbereitung als aus zehn Seiten Richtlinien. Nach dem Fall Latium füge ich einen wesentlichen Punkt hinzu: Prüfen Sie, dass mindestens eine Kopie der Backups außerhalb des Netzwerks liegt und von einem kompromittierten Konto aus nicht erreichbar ist.
Was ich nicht empfehle: Geld für ein „NIS2-Zertifikat“ auszugeben. Ein NIS2-Zertifikat gibt es nicht. Wenn Ihnen jemand eines verkauft, fragen Sie, was genau zertifiziert wird.
Das Thema Förderungen
Ich werde oft gefragt: „Können wir eine Förderung bekommen?“ Förderausschreibungen gibt es, und sie sind nützlich. So hat die Handelskammer Bozen 2026 die Ausschreibung „Digitalisierung 2026“ veröffentlicht: 40 % der förderfähigen Ausgaben, bis höchstens 8.000 Euro. Aber unter den nicht förderfähigen Ausgaben nennt die Ausschreibung Unterstützungs- und Hilfsdienstleistungen für Anpassungen an gesetzliche Vorschriften. Eine NIS2-Beratung fiel also nicht darunter. Mein Rat: Bauen Sie Ihr Budget nicht auf die Annahme, eine Förderung zu „gewinnen“. Bauen Sie es auf den tatsächlichen Bedarf und betrachten Sie eine etwaige Förderung als Bonus.
Was ich abschließend denke
Der Oktober 2026 ist nicht das Ende des Weges: Er ist der Moment, in dem Konformität überprüfbar wird. Wer mit einer Asset-Übersicht und klaren Rollen an dieses Datum kommt, hat den schwierigsten Teil schon geschafft. Wer es nicht getan hat, ist nicht für immer zu spät: Er kann immer noch mit einer Erstbewertung beginnen.
Etwas anderes scheint mir wichtiger. In Südtirol sind wir es gewohnt, Reputation über Jahrzehnte aufzubauen, auf Vertrauen. Cybersicherheit ist dieselbe Vertrauensfrage in digitaler Form. Der Kunde, der Ihnen seine Daten anvertraut, vertraut darauf, dass Sie darauf achten. NIS2 verlangt lediglich, dass Sie das nachweisen können.
Eine Frist gibt Zeit, sich zu organisieren, nicht, die Fragen aufzuschieben, die sich die Geschäftsleitung ohnehin stellen muss.
Drei Fragen an die Geschäftsleitung
Kennen wir das genaue Datum der Mitteilung der ACN und die tatsächliche Frist für unsere Sicherheitsmaßnahmen?
Ohne dieses Datum ist jede Planung nur eine Schätzung.
Wenn morgen die Person geht, die „alles“ über unsere Systeme „weiß“, kann das Unternehmen weiterarbeiten?
Lautet die Antwort nein, ist die erste Maßnahme nicht technisch: Sie ist organisatorisch.
Wer meldet bei uns einen erheblichen Vorfall an das CSIRT Italia, und in welchen Fristen?
Vorabmeldung binnen 24 Stunden, vollständige Meldung binnen 72: Wer sie durchführen muss, braucht ein bekanntes Verfahren.
Quellen
ACN, Vademecum NIS v1.0 (September 2026), NIS-Portal und NIS-FAQ (auf Italienisch); Gesetzesvertretendes Dekret Nr. 138 vom 4. September 2024 (Art. 42: Fristen der Erstanwendung); ACN-Beschluss Nr. 379907 vom 19. Dezember 2025 (Aktualisierung von Nr. 164179 vom 14. April 2025); RAI Südtirol, Azienda altoatesina paralizzata da un attacco hacker (26.09.2024); MB Time, Attacco informatico alla Provincia di Bolzano (25.06.2025); Cybersecurity360, Regione Lazio e ransomware, lieto fine amaro (08.08.2021); heise online, German companies massively ignoring NIS2 obligations (05.03.2026); Handelskammer Bozen, Beiträge Digitalisierung 2026.