Leitfäden · Stand Juli 2026
Fristen, die Dokumente verlangen – keine Absichtserklärungen.
Elf Termine von Juni 2026 bis Dezember 2027, dazu die beiden Termine der KI-Verordnung, die auf denselben Unterlagen aufsetzen. Zu jedem: die Rechtsgrundlage, das Dokument, das bei einer Prüfung vorliegen muss, der Beitrag, der ihn ausführt, und die Lösung, die ihn abdeckt.
Bei einer Prüfung zählt nicht, was ein Unternehmen getan hat, sondern was es belegen kann. Die Termine auf dieser Seite gehören alle zur zweiten Art: Sie verlangen ein datiertes Dokument, keine Absichtserklärung. Sechs von ihnen gelten unionsweit, fünf sind italienische Fristen und betreffen Sie nur mit Niederlassung, Tochtergesellschaft oder öffentlichem Auftrag in Italien – bei jedem Eintrag steht, welcher Fall vorliegt.
Viele Termine verlangen dasselbe Material von verschiedenen Adressaten. Die Cyberresilienz-Verordnung – Verordnung (EU) 2024/2847, im Sprachgebrauch Cyber Resilience Act oder CRA – schreibt für Produkte, die zugleich anderen Unionsrechtsakten unterliegen, eine einzige technische Dokumentation vor (Art. 31 Abs. 3). Wer die Betriebsanleitung für den 14. Januar 2027 neu schreibt, arbeitet damit bereits an dem Nachweisordner, den der Dezember verlangt.
Die verlinkten Betriebsnotizen sind auf Englisch.
-
ACN-Cloudregeln: die Übergangsfrist ist abgelaufen
- Rechtsgrundlage
- Italien: Verordnung der Agentur für Cybersicherheit (ACN) über digitale Infrastrukturen und Cloud-Dienste für die öffentliche Verwaltung, Art. 11 Abs. 10
- Wen es betrifft
- Italienische Behörden und öffentliche Einrichtungen, die kritische oder strategische Daten verarbeiten – und mittelbar deren Anbieter: Ohne die verlangte Qualifizierungsstufe im ACN-Katalog kommt ein Angebot nicht in Betracht.
Was vorliegen muss
- Die Einstufung von Daten und digitalen Diensten als gewöhnlich, kritisch oder strategisch, mit der schriftlichen Begründung daneben (Art. 3). Fallen die Daten unter den nationalen Cybersicherheitsperimeter oder unter die NIS-Pflichten, ist die Stufe gesetzlich vorgegeben.
- Die Prüfung der Qualifizierungsstufe des Anbieters im Katalog der ACN, nicht im Prospekt: mindestens QC2 für kritische, QC3 oder QC4 für strategische Daten (Art. 17).
- Einen Plan für alles, was am falschen Ort liegt: was verlagert wird, wohin, bis wann, wer unterschreibt.
Für strategische Daten fügt Anlage 2 eine Zuständigkeitsschranke hinzu: Jedes Zugriffsersuchen einer Stelle außerhalb der EU ist der ACN zu melden und darf erst nach ausdrücklicher Genehmigung durch die Verwaltung erfüllt werden. Für Anbieter aus Deutschland, Österreich oder der Schweiz ist das der Punkt, an dem konzernweite Regeln zum Fernzugriff mit dem Vertrag kollidieren können.
-
Cyberresilienz-Verordnung: die Meldepflichten beginnen
- Rechtsgrundlage
- Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung), Art. 14 – Meldepflichten der Hersteller
- Wen es betrifft
- Hersteller von Produkten mit digitalen Elementen – vernetzte oder vernetzbare Hardware und Software –, einschließlich der bereits in Verkehr gebrachten Produkte. Wer aus der Schweiz in die EU liefert, ist als Hersteller genauso betroffen wie ein Unternehmen mit Sitz in der Union.
Was vorliegen muss
- Eine Kontaktadresse für die Meldung von Schwachstellen und eine Strategie für die koordinierte Offenlegung von Schwachstellen (Anhang I Teil II Nrn. 5 und 6), mit einer benannten verantwortlichen Person und einer Ersteinschätzung, die tatsächlich läuft.
- Die Software-Stückliste der eigenen Produkte in einem gängigen maschinenlesbaren Format (Anhang I Teil II Nr. 1). Wer nicht weiß, was im Produkt steckt, kann keine Meldung innerhalb der Frist abgeben.
- Den Meldeweg mindestens einmal geprobt: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht spätestens 14 Tage nach Verfügbarkeit der Korrektur- oder Risikominderungsmaßnahme bei Schwachstellen und innerhalb eines Monats nach der 72-Stunden-Meldung bei schwerwiegenden Sicherheitsvorfällen (Art. 14 Abs. 2 und 4).
Die Uhr läuft ab dem Zeitpunkt, zu dem der Hersteller von der aktiv ausgenutzten Schwachstelle Kenntnis erlangt (Art. 14 Abs. 2). Die eigentliche Anforderung ist deshalb, es überhaupt zu bemerken, nicht die Meldung selbst. Am 27. Juli 2026 hat die Kommission ihre Leitlinien zur Anwendung der Verordnung veröffentlicht (Mitteilung C(2026) 5252 mit Anhang): Sie klären den Anwendungsbereich – Datenfernverarbeitung sowie freie und quelloffene Software eingeschlossen –, was als wesentliche Änderung gilt, wie der Unterstützungszeitraum bestimmt wird und wie die Melde- und Risikobewertungspflichten erfüllt werden. Verbindlich sind sie nicht, und den 11. September verschieben sie nicht; sie liefern die Begründung, mit der sich bereits getroffene Entscheidungen schriftlich stützen lassen. Zwei Klarstellungen des Anhangs ändern den Arbeitsumfang. Erstens: Die Meldepflicht erfasst auch Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Art. 69 Abs. 3), und bleibt nach dem Ende des Unterstützungszeitraums bestehen, während die Pflichten zur Behandlung von Schwachstellen nach Anhang I Teil II in diesen Fällen nicht gelten. Zweitens: Es gibt keine rückwirkende Meldung – eine Schwachstelle, deren aktive Ausnutzung vor dem 11. September 2026 bereits bekannt war, ist nicht zu melden; tritt die Ausnutzung danach ein oder wird sie danach bekannt, greift die Pflicht.
-
IT-Bestandserhebung: Italiens Verwaltung erklärt, was im Serverraum steht
- Rechtsgrundlage
- Italien: Art. 33-septies Abs. 1-ter des Gesetzesdekrets (decreto-legge) Nr. 179/2012; Erhebung der AgID, eröffnet am 22. Juli 2026
- Wen es betrifft
- Italienische Behörden, die den Fragebogen zum IT-Bestand beantworten müssen. Für Anbieter kein eigener Termin, wohl aber der Grund, warum italienische Auftraggeber im Herbst 2026 Bestandslisten anfordern.
Was vorliegen muss
- Das tatsächliche Verzeichnis der Systeme, Anwendungen und Dienste im Betrieb, mit Angabe, wo sie laufen und wer sie verwaltet. Darauf beruht jede Antwort, und fast niemand hat es fertig in der Schublade.
- Die Einstufung von Daten und Diensten nach der Cloudverordnung der ACN, die denselben Aufbau und dieselben Kategorien verwendet.
- Die abschließende Erklärung über Vollständigkeit und Richtigkeit, unterschrieben vom gesetzlichen Vertreter oder vom Beauftragten für die digitale Transformation: Unterschrieben wird auf Zahlen, die überprüfbar sein müssen.
Wer nie eine Bestandsaufnahme gemacht hat, unterschreibt auf Zahlen, die er nicht kennt. Und diese Bestandsaufnahme ist dieselbe Karte, die die Sicherheit braucht: Die Angriffsfläche, die sich schützen lässt, ist die, die sich aufzählen lässt.
-
NIS2 in Italien: die Basismaßnahmen, nachgewiesen
- Rechtsgrundlage
- Italien: Legislativdekret (decreto legislativo) Nr. 138 vom 4. September 2024 zur Umsetzung der NIS-2-Richtlinie, Art. 23, 24 und 29; Frist aus Art. 42 Abs. 1 Buchst. c und aus der ACN-Verfügung Nr. 379907/2025
- Wen es betrifft
- Wesentliche und wichtige Einrichtungen der ersten Welle in Italien: zwischen Dezember 2024 und Februar 2025 registriert, die Mitteilung über die Aufnahme in das Verzeichnis haben sie ab dem 12. April 2025 erhalten. Für deutsche und österreichische Gruppen heißt das: Die Frist trifft die italienische Gesellschaft, nicht den Konzern.
Was vorliegen muss
- Beschlüsse der Leitungsorgane: Billigung der Risikomanagementmaßnahmen im Bereich der Cybersicherheit, Überwachung ihrer Umsetzung, Nachweis der Schulungen, an denen die Leitungsebene teilgenommen hat (Art. 23).
- Eine Risikoanalyse auf dem Stand der tatsächlich betriebenen Systeme, dazu Verzeichnisse von Systemen, Konfigurationen, bekannten Schwachstellen und Personen mit Zugang.
- Ein Verzeichnis der kritischen Lieferanten und Verträge mit Sicherheitsklauseln. Laufende Verträge müssen nicht sofort geändert werden, neue Verträge, Verlängerungen und Erweiterungen nehmen die Klauseln auf. Die am 24. Juli 2026 aktualisierten FAQ der ACN (MSB.13 bis MSB.19) stellen klar, dass Anforderungen nur für Lieferungen mit möglicher Sicherheitsrelevanz festzulegen sind und dass nicht jede Basismaßnahme an den Lieferanten durchgereicht werden muss. Die Abstufung ist jedoch schriftlich zu begründen, und diese Begründung ist selbst ein Dokument, das vorliegen muss.
- Pläne zur Aufrechterhaltung des Betriebs und zur Wiederherstellung nach einem Notfall, getestet und nicht nur geschrieben, dazu ein Verzeichnis der Personalschulungen.
- Meldeverfahren, die tatsächlich geübt wurden: Frühwarnung an das CSIRT Italia innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats. Für die erste Welle gilt die Meldepflicht nach Art. 25 bereits seit Januar 2026; im Oktober kommen die Maßnahmen hinzu, nicht die Meldung.
- Den Nachweis, dass Zugriffskontrolle, Verschlüsselung und Netzsegmentierung in Betrieb sind – nicht die Richtlinie, die sie vorschreibt.
Die Frist ist nicht für alle dieselbe: Sie beträgt achtzehn Monate ab dem Zugang der jeweiligen Mitteilung über die Aufnahme in das Verzeichnis (ACN-Verfügung Nr. 379907/2025, Art. 3), und die Mitteilungen sind ab dem 12. April 2025 verschickt worden. Sie ist also je Einrichtung zu berechnen, innerhalb des von der ACN genannten Oktobers 2026. Wer 2026 erstmals in das Verzeichnis aufgenommen wurde, hat bis zum 31. Juli 2027 Zeit, mit einer Meldepflicht ab dem 1. Januar 2027 (ACN-Verfügung Nr. 127434/2026, Art. 1).
-
Tracking-Pixel in E-Mails: Einwilligung und Information, schriftlich
- Rechtsgrundlage
- Italien: Garante für den Schutz personenbezogener Daten, Maßnahme Nr. 284 vom 17. April 2026 – Leitlinien zur Verwendung von Tracking-Pixeln in der E-Mail-Kommunikation, veröffentlicht im Amtsblatt Nr. 98 vom 29. April 2026
- Wen es betrifft
- Wer Tracking-Pixel in E-Mails einsetzt: Verantwortliche, die Werbung und Newsletter versenden, Anbieter von E-Mail-Diensten, Betreiber von Plattformen für den Massenversand. Verbindlich für Verantwortliche, die der italienischen Aufsicht unterliegen; für alle anderen ein brauchbarer Prüfmaßstab, weil die herangezogenen Vorschriften der DSGVO überall dieselben sind.
Was vorliegen muss
- Eine Information, die sagt, dass die Nachricht ein Pixel enthält, was es erfasst und wozu: Die allgemeine Datenschutzerklärung der Website deckt die Messung im E-Mail-Verkehr nicht ab.
- Die vor dem Versand eingeholte Einwilligung nach Art. 122 des italienischen Datenschutzkodex – der Umsetzung von Art. 5 Abs. 3 der Richtlinie 2002/58/EG – sowie nach Art. 4 Nr. 11 und Art. 7 DSGVO. Sie kann in der Einwilligung zum Empfang von Werbung enthalten sein, aber nur, wenn die Anfrage neutral und ohne Drucksituation formuliert ist und die Information das Pixel benennt.
- Den Widerruf, auch in abgestufter Form (Art. 7 Abs. 3 DSGVO): Wer den Newsletter will, muss die Messung ablehnen können, ohne auf den Newsletter zu verzichten.
- Die Maßnahmen des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen nach Art. 25 DSGVO, nicht fortlaufende Kennungen und getrennte Datenebenen eingeschlossen.
- Die Übersicht, wer diese Daten in Ihrem Auftrag verarbeitet: Das Pixel gehört der Versandplattform, die Rollen sind aber im Einzelfall nach der Rechenschaftspflicht zu bestimmen (Art. 5 Abs. 2 DSGVO), einschließlich der Prüfung von Art. 26 zur gemeinsamen Verantwortlichkeit. Der Vertrag ist vor dem Termin zu lesen, nicht danach.
Die Frist läuft nicht ab dem Datum der Maßnahme. Die Leitlinien setzen sechs Monate ab ihrer Veröffentlichung im italienischen Amtsblatt; veröffentlicht wurden sie am 29. April 2026, der Termin ist damit der 29. Oktober 2026. Die eigentliche Arbeit ist nicht technisch, sondern eine Entscheidung: festlegen, welche Kennzahlen wirklich gebraucht werden, und die übrigen abschalten. Jede ohne Einwilligung erfasste Öffnung ist eine Verarbeitung ohne Rechtsgrundlage.
-
Produkthaftung: die Dokumentation als Verteidigung
- Rechtsgrundlage
- Richtlinie (EU) 2024/2853 über die Haftung für fehlerhafte Produkte, Art. 9, 10 und 22
- Wen es betrifft
- Hersteller im Sinne der Richtlinie: wer ein Produkt entwickelt, herstellen lässt oder durch Anbringen seines Namens oder seiner Marke als Hersteller auftritt (Art. 4 Nr. 10). Software und KI-Systeme sind ausdrücklich Produkte (Art. 4 Nr. 1); wer eine fehlerhafte Komponente liefert, haftet daneben (Art. 8 Abs. 1 Buchst. b).
Was vorliegen muss
- Die technische Dokumentation des Produkts, auf gerichtliche Anordnung vorlegbar. Wer relevante Beweismittel nicht offenlegt, gegen den wird die Fehlerhaftigkeit vermutet (Art. 9 Abs. 1 in Verbindung mit Art. 10 Abs. 2 Buchst. a).
- Protokolle der Entscheidungen und die Spur der menschlichen Kontrolle bei kritischen Vorgängen: Damit lässt sich zeigen, was das System entschieden hat und warum.
- Verträge mit den Anbietern von Modellen und Plattformen, die festlegen, wer im Streitfall welche Beweismittel liefert und in welcher Frist.
Der 9. Dezember 2026 ist die Frist zur Umsetzung in nationales Recht (Art. 22 Abs. 1). Die Richtlinie gilt für Produkte, die nach diesem Datum in Verkehr gebracht oder in Betrieb genommen werden (Art. 2 Abs. 1); für ältere Produkte bleibt es bei der Richtlinie 85/374/EWG. Wie weit die Umsetzung im einzelnen Mitgliedstaat gediehen ist, ändert an der Vorbereitung wenig: Art. 3 lässt den Mitgliedstaaten keinen Spielraum, weder nach oben noch nach unten, sodass Offenlegung und Beweisvermutung überall gleich ausfallen. Vorzubereiten ist deshalb kein nationaler Text, sondern die Fähigkeit, die Unterlagen zu einem Produkt aus dem Jahr 2027 auch 2037 noch vorzulegen: Die Ausschlussfrist beträgt zehn Jahre ab Inverkehrbringen, bei Körperverletzungen mit Latenzzeit 25 Jahre (Art. 17).
-
Maschinenverordnung: die Betriebsanleitung entscheidet über die CE-Kennzeichnung
- Rechtsgrundlage
- Die Maschinenverordnung – Verordnung (EU) 2023/1230 –, die zum selben Datum die Maschinenrichtlinie 2006/42/EG aufhebt; Betriebsanleitung nach Art. 10 Abs. 7 und Anhang III Nr. 1.7.4
- Wen es betrifft
- Hersteller von Maschinen, dazugehörigen Produkten und unvollständigen Maschinen sowie Einführer und Händler, die auf dem Unionsmarkt in Verkehr bringen oder bereitstellen. Für Hersteller mit Sitz in der Schweiz gilt dasselbe, sobald das Produkt in der EU in Verkehr gebracht wird.
Was vorliegen muss
- Eine Betriebsanleitung nach Anhang III Nr. 1.7.4: Angaben zum Hersteller, Beschreibung, bestimmungsgemäße Verwendung und vernünftigerweise vorhersehbare Fehlanwendung, Montage, Inbetriebnahme, Verwendung, Wartung, Restrisiken.
- Die vom Mitgliedstaat der Verwendung festgelegte Sprache, für die Nutzer leicht verständlich; auf Verlangen zum Zeitpunkt des Kaufs eine kostenlose Papierfassung innerhalb eines Monats; für nichtprofessionelle Nutzer die wesentlichen Sicherheitsinformationen stets auf Papier (Art. 10 Abs. 7).
- Wenn die Betriebsanleitung nur digital vorliegt: online zugänglich während der voraussichtlichen Lebensdauer der Maschine und in jedem Fall mindestens zehn Jahre nach dem Inverkehrbringen, in einem Format, das der Nutzer ausdrucken, herunterladen und auf einem Gerät speichern kann – erreichbar auch dann, wenn die Maschine ausgefallen ist.
- Die Anforderungen an den Schutz gegen Korrumpierung und an Sicherheit und Zuverlässigkeit von Steuerungen (Anhang III Nrn. 1.1.9 und 1.2.1). Sicherheitsbauteile und eingebettete Systeme mit vollständig oder teilweise selbstentwickelndem Verhalten auf Grundlage maschinellen Lernens stehen in Anhang I Teil A: Ihre Konformitätsbewertung führt eine notifizierte Stelle durch, nicht der Hersteller allein.
Ohne konforme Betriebsanleitung gibt es keine gültige EU-Konformitätserklärung, ohne Erklärung keine CE-Kennzeichnung. Das ist keine Sanktion nach einer Kontrolle, sondern eine Sperre am Tag des Inverkehrbringens. Die Verordnung gilt unmittelbar; die nationale Durchführung regelt in Deutschland das Gesetz zur Durchführung der Verordnung (EU) 2023/1230 (MaschinenDG).
-
Rechenzentren: die jährliche Nachhaltigkeitsmeldung
- Rechtsgrundlage
- Richtlinie (EU) 2023/1791 über die Energieeffizienz, Art. 12, und Delegierte Verordnung (EU) 2024/1364, Art. 3 Abs. 1
- Wen es betrifft
- Eigentümer und Betreiber von Rechenzentren in der Union mit einem Leistungsbedarf für die installierte Informationstechnologie von mindestens 500 kW: Unternehmens-, Co-Location- und Co-Hosting-Rechenzentren. Meldende Stelle ist nach der delegierten Verordnung der Betreiber.
Was vorliegen muss
- Die Werte des Kalenderjahres 2026, gemessen und nicht geschätzt: Gesamtenergieverbrauch und Energieverbrauch allein der IT-Geräte, Wasser- und Trinkwassereinsatz, wiederverwendete Abwärme und deren Temperatur, erneuerbare Energie getrennt nach Herkunftsnachweisen, Strombezugsverträgen und Erzeugung vor Ort (Anhang II Nr. 1).
- Die Aufzeichnungen über die verwendeten Messpunkte und Messgeräte, die Anhang II mindestens zehn Jahre lang aufzubewahren verlangt: Sie belegen, woher die gemeldeten Zahlen stammen.
- Die IKT-Kapazität von Servern und Datenspeicherprodukten zum 31. Dezember des Berichtsjahres (Anhang II Nr. 2). Für Co-Location-Rechenzentren galt die Erleichterung des Art. 3 Abs. 3 nur für die ersten beiden Berichtszeiträume – hier greift sie nicht mehr.
- Den öffentlichen Teil: Art. 12 Abs. 1 der Richtlinie verlangt, die Angaben nach Anhang VII zu veröffentlichen, ausgenommen das, was dem Schutz von Betriebs- und Geschäftsgeheimnissen unterliegt. Was darunter fällt, ist vorher zu entscheiden und schriftlich festzuhalten, nicht erst vor einer Kontrolle.
Die Pflicht ist jährlich. Die Übermittlung läuft über das nationale Berichterstattungssystem, wenn der Mitgliedstaat, in dem das Rechenzentrum steht, eines eingerichtet hat, sonst unmittelbar an die Europäische Datenbank. Die Schwelle bemisst sich an der installierten IT-Leistung, nicht an der Fläche: Ein einzelner Technikraum kann sie überschreiten. Wer seine Systeme bei einem Anbieter betreibt, ist nicht der Verpflichtete – dieselben Zahlen sollte er sich aber vertraglich zusichern lassen.
-
Entgelttransparenz: der erste Bericht über das Entgeltgefälle
- Rechtsgrundlage
- Richtlinie (EU) 2023/970 über Entgelttransparenz, Art. 9 und 10; in Italien umgesetzt durch das Legislativdekret Nr. 96 vom 7. Mai 2026, Art. 9, 10 und 11
- Wen es betrifft
- Arbeitgeber mit 250 oder mehr Arbeitnehmern, jährlich, und Arbeitgeber mit 150 bis 249 Arbeitnehmern, mit demselben ersten Termin und danach alle drei Jahre. Für 100 bis 149 beginnt es am 7. Juni 2031 (Art. 9 Abs. 2 bis 4 der Richtlinie). Die Termine sind in allen Mitgliedstaaten dieselben; abweichen können nur die nationalen Ausführungsregeln.
Was vorliegen muss
- Die Gruppen von Arbeitnehmern, die gleiche oder gleichwertige Arbeit verrichten, vom Arbeitgeber nach schriftlich festgelegten Kriterien gebildet.
- Das geschlechtsspezifische Entgeltgefälle und das mittlere Entgeltgefälle nach der Median-Entgelthöhe, die Verteilung über die Entgeltquartile und die ergänzenden oder variablen Bestandteile, je Gruppe (Art. 9 Abs. 1).
- Objektive und geschlechtsneutrale Kriterien für Eingruppierung und Fortkommen, festgelegt bevor ein Unterschied gerechtfertigt werden muss: Liegt der Unterschied in einer Gruppe bei mindestens 5 Prozent, ist er nicht auf solche Kriterien gestützt und nicht innerhalb von sechs Monaten nach der Berichterstattung korrigiert, folgt die gemeinsame Entgeltbewertung mit den Arbeitnehmervertretern (Art. 10 Abs. 1).
- Das Verzeichnis der Auswertungen und ein Zugang, der auf die Zwecke der Entgeltgleichheit beschränkt bleibt (Art. 11 des italienischen Dekrets). Die Richtigkeit der Angaben bestätigt die Leitungsebene nach Anhörung der Arbeitnehmervertreter (Art. 9 Abs. 6 der Richtlinie).
Eine Pflicht gilt bereits seit dem Ablauf der Umsetzungsfrist am 7. Juni 2026, ohne Größenschwelle: Art. 7 der Richtlinie gibt jedem Arbeitnehmer das Recht, die durchschnittlichen Entgelthöhen nach Geschlecht für die eigene und für gleichwertige Tätigkeiten schriftlich zu verlangen, mit Antwort innerhalb von zwei Monaten. Klauseln, die es Arbeitnehmern verwehren, das eigene Entgelt offenzulegen, sind unzulässig. Der heikle Teil ist die Auswertung selbst: Wer sie rechnet, sieht die Entgeltdaten der gesamten Belegschaft.
-
NIS in Italien: das kategorisierte Verzeichnis der Tätigkeiten und Dienste
- Rechtsgrundlage
- Italien: Legislativdekret Nr. 138 vom 4. September 2024, Art. 30 Abs. 1, mit Art. 42 Abs. 2 und der ACN-Verfügung Nr. 155238/2026
- Wen es betrifft
- Wesentliche und wichtige Einrichtungen im italienischen NIS-Verzeichnis, öffentliche wie private.
Was vorliegen muss
- Das Verzeichnis aller ausgeübten Tätigkeiten und aller erbrachten Dienste, intern wie extern, geordnet nach den zehn Bereichen des ACN-Modells, jeweils mit Bezeichnung, Beschreibung und Relevanzkategorie: hohe, mittlere, geringe oder minimale Auswirkung.
- Die schriftliche Bewertung hinter jeder Abweichung. Die dem Bereich vorab zugeordnete Relevanzkategorie lässt sich ändern, aber nur auf Grundlage einer eigenen Bewertung der Folgen einer Kompromittierung, und diese Bewertung ist aufzubewahren: Sie ist das Dokument, nach dem gefragt wird, nicht die Kategorie.
- Die Abstimmung mit bereits vorgenommenen Einstufungen: Wer Daten und Dienste nach Art. 3 der Cloudverordnung der ACN eingestuft hat, verwendet jenes Modell statt dieses, und beide Einstufungen müssen über die Zeit zusammenpassen. Tätigkeiten und Dienste im nationalen Cybersicherheitsperimeter erhalten von Amts wegen die Kategorie „hohe Auswirkung“ und werden hier nicht aufgeführt.
- Die Übermittlung über die digitale Plattform der Agentur innerhalb des Fensters: Es öffnet am 1. Mai und schließt am 30. Juni, und es wird nicht wieder geöffnet.
Die Pflicht ist jährlich – vom 1. Mai bis zum 30. Juni – und gilt ab dem Kalenderjahr 2026: Das erste Fenster schloss am 30. Juni 2026, dies ist das zweite. Es ist keine Formsache. Die Relevanzkategorie misst, welche Folgen die Kompromittierung einer Tätigkeit oder eines Dienstes für die Fähigkeit der Einrichtung hätte, gerade die Leistungen zu erbringen, wegen derer sie unter NIS fällt; sie ist erklärtermaßen die Grundlage für die Sicherheitsmaßnahmen nach Art. 24 Abs. 1. Dort entscheidet sich, wie tief jeder einzelne Teil geschützt werden muss. Wer im Mai ohne aktuelles Verzeichnis anfängt, füllt aus dem Gedächtnis ein Dokument aus, das anschließend die eigenen Maßnahmen bindet.
-
Cyberresilienz-Verordnung: technische Dokumentation und Software-Stückliste
- Rechtsgrundlage
- Verordnung (EU) 2024/2847, Art. 13, 28, 30, 31 und 32, Anhänge I und VII
- Wen es betrifft
- Hersteller von Produkten mit digitalen Elementen, die auf dem Unionsmarkt in Verkehr gebracht werden.
Was vorliegen muss
- Die technische Dokumentation nach Art. 31 mit dem Mindestinhalt des Anhangs VII, je Produktfamilie und Version für Version fortgeschrieben: allgemeine Beschreibung, Architektur, Behandlung von Schwachstellen, Risikobewertung, angewandte Normen, Prüfberichte.
- Die Software-Stückliste in einem gängigen, maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten hervorgehen (Anhang I Teil II Nr. 1).
- Den festgelegten und begründeten Unterstützungszeitraum: mindestens fünf Jahre, sofern das Produkt nicht voraussichtlich kürzer im Betrieb ist (Art. 13 Abs. 8). Die Informationen, die zu dieser Festlegung geführt haben, gehören in die Dokumentation nach Anhang VII.
- Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung, in dieser Reihenfolge (Art. 32, 28 und 30). Dokumentation und Erklärung bleiben nach dem Inverkehrbringen mindestens zehn Jahre lang für die Marktüberwachungsbehörden verfügbar, oder für die Dauer des Unterstützungszeitraums, wenn dieser länger ist (Art. 13 Abs. 13).
- Die Software-Stückliste als vertrauliches Dokument eingestuft, bevor das erste begründete Verlangen kommt: wer sie sehen darf, über welchen Weg sie übermittelt wird, wo sie abgelegt ist. Das ist zugleich die den Umständen nach angemessene Geheimhaltungsmaßnahme, ohne die eine Information kein Geschäftsgeheimnis ist (§ 2 Nr. 1 Buchst. b GeschGehG).
Bei den „wichtigen“ Produkten des Anhangs III und den „kritischen“ des Anhangs IV verlässt die Dokumentation das Haus und landet auf dem Tisch einer notifizierten Stelle.
Zwei Termine, die keine neuen Dokumente verlangen, sie aber voraussetzen.
Am 2. Dezember 2027 gelten die Pflichten für Hochrisiko-KI-Systeme nach Anhang III der KI-Verordnung – Verordnung (EU) 2024/1689 –; am 2. August 2028 die Pflichten für KI-Systeme, die in bereits regulierte Produkte eingebaut sind, die Maschinenverordnung eingeschlossen. Der vollständige Kalender, mit den italienischen Terminen daneben, steht im anderen Leitfaden.
KI-Verordnung: alle Fristen der Reihe nach
Der erste Schritt
Ab der ersten Woche im Betrieb.
Ein realer Anwendungsfall, auf Ihren Daten, im Produktivbetrieb. Danach wächst der Umfang, Woche für Woche.
Das Buchungsformular ist auf Englisch. Auf Deutsch genügt eine E-Mail an engagement@csidia.com.
Am Anfang steht ein Gespräch mit einem Ansprechpartner von CSIDIA. Die Daten bleiben bei Ihnen, immer.