Wie man nach dem CRA an CSIRT Italia meldet

1. Wer Ihre Meldung erhält: ACN und CSIRT Italia

Die Agenzia per la Cybersicurezza Nazionale (ACN) ist die nationale Behörde, und das CSIRT Italia ist das Team, das in ihr arbeitet. Die ACN hat ihren Sitz in Rom und koordiniert neben dem Betrieb des Reaktionsteams die nationale Cybersicherheitsstrategie.

Die Kette ist genau diese: die Behörde als Institution, CSIRT Italia als operatives Team, das Ihre Meldung liest und zusammen mit der ENISA den in Art. 14 vorgesehenen Empfänger bildet.

Die ACN entstand 2021 als nationale Cybersicherheitsbehörde und bündelt Zuständigkeiten, die zuvor verteilt waren. Das CSIRT Italia ist ihr operatives Team: es nimmt Meldungen entgegen, korreliert sie und gibt Warnungen an die Wirtschaft aus. Für einen Hersteller ist es ein einziger Ansprechpartner — was anderswo auf mehrere Stellen verteilt ist.

2. Der nationale Kanal in der Praxis

Die Sprache der Meldung ist Italienisch. Die ACN veröffentlicht Warnungen und Sicherheitsbulletins auf Italienisch und unterhält einen Meldekanal für Betreiber regulierter Sektoren — dieselbe Verwaltungstür, durch die auch die Benennung des Unternehmenskontakts läuft.

Wer bereits als NIS-Einrichtung meldet, kennt diesen Weg. Der CRA ersetzt ihn nicht und geht nicht in ihm auf: zwei getrennte Pflichten mit unterschiedlichen Voraussetzungen, die aus demselben Ereignis gleichzeitig entstehen und beide zu erfüllen sind.

CSIRT Italia · offizielle Website

3. Das Umfeld, in dem er steht

Italien hat die NIS2-Richtlinie mit dem Gesetzesdekret 138/2024 umgesetzt und die Rolle der zuständigen nationalen Behörde bei der ACN gebündelt. Das Ergebnis ist ein Ökosystem, in dem das CSIRT Italia für die meisten Cyber-Meldepflichten die operative Anlaufstelle ist.

Für den CRA ist das keine automatische Antwort: die Benennung des CSIRT, das Herstellermeldungen entgegennimmt, folgt der nationalen Umsetzung der Verordnung. Prüfen Sie die geltende Benennung vor der Einreichung und leiten Sie sie nicht aus der NIS2 ab.

Ein letzter praktischer Punkt: die ACN verantwortet auch die nationale Cybersicherheitszertifizierung und die Abstimmung mit der ENISA zu europäischen Schemata. Fällt Ihr Produkt in die kritische Klasse und braucht eine Zertifizierung, ist der institutionelle Ansprechpartner derselbe, an den die Meldung geht. Das ist kein kleiner Vorteil: es verringert die Zahl der Türen, an die zu klopfen ist.

4. Wie eingereicht wird, kurz gefasst

Die Einreichung ist keine E-Mail an die Behörde: sie läuft über die zentrale Meldeplattform nach Art. 16, und der Zugang verlangt vorher validierte EU-Login-Zugangsdaten.

Die Fristenkette — 24 Stunden, 72 Stunden, Abschlussbericht — ist unionsweit dieselbe und steht vollständig auf der Seite zu Art. 14. Beim anderen Auslöser des Artikels ändert sich die Schlussfrist: sie steht auf der Seite zum schwerwiegenden Sicherheitsvorfall.

5. Was vor einem Vorfall vorzubereiten ist

Fünf Dinge, in Ruhe geordnet, entscheiden darüber, ob eine Meldung rechtzeitig oder zu spät eingeht. Das erste ist der Kontaktpunkt zu CSIRT Italia, benannt und validiert, mit benannter Vertretung: am Tag des Falls sucht man nicht erst, wer die Zugangsdaten hat.

In Italien lohnt es sich, früh zu klären, ob Ihr Unternehmen bei der ACN bereits für andere Pflichten registriert ist: Kontaktpunkt und Zugangsdaten können sich teilweise decken.

Und ein Hinweis zur Zeit: Italien liegt im Sommer auf CEST, im Winter auf CET, und die vierundzwanzig Stunden des Art. 14 zählen echte Stunden, keine Bürostunden. Fällt die Kenntnisnahme auf den Freitagabend vor einem langen Wochenende, fällt die Frist in das lange Wochenende.

Dieser Leitfaden gibt unsere Lesart des Verordnungstextes und der öffentlichen Verfahren wieder; er ist keine Rechtsberatung, und die operativen Details der Plattform können sich ändern.