NIS2-Anforderungen an Penetrationstests und Schwachstellenanalysen — was Pflicht ist und was risikobasiert

Nicht namentlich. Artikel 21 der Richtlinie (EU) 2022/2555 nennt zehn Mindestmaßnahmen, und keine davon ist der „Penetrationstest“. Der Begriff taucht nur in den Erwägungsgründen auf: in einem Satz über Anbieter verwalteter Sicherheitsdienste, die Penetrationstests anbieten, und als Instrument, das die Aufsichtsbehörden selbst einsetzen können.

Was die Richtlinie sehr wohl verlangt, sind Ergebnisse, die sich ohne Tests kaum belegen lassen:

• Art. 21(2)(e): Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen.
• Art. 21(2)(f): Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit.
• Art. 21(1): Maßnahmen, die dem Risiko angemessen und verhältnismäßig sind, unter Berücksichtigung des Stands der Technik, der Risikoexposition der Einrichtung, ihrer Größe sowie der Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen.
• Art. 21(4): Eine Einrichtung, die feststellt, dass sie die Anforderungen nicht erfüllt, ergreift unverzüglich Korrekturmaßnahmen.

Die ausdrückliche Formulierung folgt eine Ebene tiefer. Die Durchführungsverordnung (EU) 2024/2690 übersetzt diese Punkte in Anforderungen an Tests und Schwachstellenbehandlung für Anbieter digitaler Infrastruktur und von IKT-Diensten, und in Italien schreiben die ACN-Basismaßnahmen „vulnerability assessment e/o penetration test“ in die Anforderungen für wesentliche Einrichtungen. Wer behauptet, NIS2 schreibe jeder Einrichtung einen jährlichen Penetrationstest vor, überdehnt den Text; wer behauptet, Tests seien freiwillig, unterschätzt, was Sie nach den Artikeln 21 und 32 nachweisen müssen.

Die Artikel 32 und 33 geben den zuständigen Behörden die Befugnis, Sie zu testen und die Ergebnisse Ihrer eigenen Tests anzufordern. Für wesentliche Einrichtungen (Art. 32(2)) erfolgt die Aufsicht ex ante: Vor-Ort-Kontrollen und externe Aufsicht einschließlich Stichprobenkontrollen, regelmäßige und gezielte Sicherheitsprüfungen durch eine unabhängige Stelle oder die Behörde, Ad-hoc-Prüfungen, Sicherheitsscans auf Grundlage objektiver Risikobewertungskriterien sowie Anforderungen von Nachweisen für die Umsetzung der Cybersicherheitskonzepte, etwa der Ergebnisse von Sicherheitsprüfungen durch einen qualifizierten Prüfer und der zugrunde liegenden Nachweise.

Für wichtige Einrichtungen (Art. 33) werden dieselben Instrumente, ohne regelmäßige Prüfungen, ex post eingesetzt, wenn der Behörde Nachweise, Hinweise oder Informationen über eine Nichteinhaltung vorliegen.

In Italien wendet die ACN dieselbe Unterscheidung an. Ihre FAQ zur Aufsicht (MVE.3) stellt klar, dass Inspektionen bei wesentlichen Einrichtungen, einschließlich Stichprobenkontrollen, ex ante angeordnet werden können, während wichtige Einrichtungen nur inspiziert werden können, wenn der ACN Nachweise oder Informationen über einen möglichen Verstoß vorliegen (Art. 36, comma 2, D.Lgs. 138/2024). Eine wichtige Einrichtung wird daher am ehesten nach einem Sicherheitsvorfall nach ihren Testunterlagen gefragt — der denkbar schlechteste Zeitpunkt, um festzustellen, dass es sie nicht gibt.

Die Kommission hat die Durchführungsverordnung (EU) 2024/2690 am 17. Oktober 2024 auf Grundlage von Art. 21(5) NIS2 erlassen. Sie gilt unmittelbar und erfasst eine abschließende Liste relevanter Einrichtungen: DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Online-Marktplätze, Online-Suchmaschinen, Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter. Für andere Sektoren ist sie nicht verbindlich, aber sie ist die ausführlichste Auslegung von Art. 21(2), die die EU veröffentlicht hat.

Die für Tests maßgeblichen Punkte des Anhangs:

• 6.5 Sicherheitstests: ein Konzept und Verfahren für Sicherheitstests; Bedarf, Umfang, Häufigkeit und Art der Tests auf Grundlage der Risikobewertung festgelegt; Tests nach einer dokumentierten Methodik, die die als relevant für den sicheren Betrieb ermittelten Komponenten abdeckt; Art, Umfang, Zeitpunkt und Ergebnisse dokumentiert, einschließlich der Bewertung der Kritikalität und der Abhilfemaßnahmen für jeden Befund; Abhilfemaßnahmen für kritische Befunde umgesetzt; das Konzept in geplanten Abständen überprüft.
• 6.10 Behandlung und Offenlegung von Schwachstellen: Informationen über Schwachstellen von CSIRTs, Behörden und Lieferanten verfolgen; gegebenenfalls Schwachstellenscans durchführen und die Ergebnisse in geplanten Abständen nachweisbar aufzeichnen; für den Betrieb kritische Schwachstellen unverzüglich behandeln; die Schwachstellenbehandlung mit Change-, Patch-, Risiko- und Vorfallmanagement abstimmen; ein Offenlegungsverfahren im Einklang mit der nationalen Strategie zur koordinierten Offenlegung von Schwachstellen festlegen. Erfordert eine Schwachstelle keine Behebung, ist dies zu dokumentieren und zu begründen (6.10.3).
• 7 Bewertung der Wirksamkeit: ein Konzept und Verfahren, die festlegen, was gemessen wird, mit welchen Methoden, wann, von wem, und wann und von wem die Ergebnisse ausgewertet werden.
• 2.3 Unabhängige Überprüfung: Der Gesamtansatz für die Sicherheit von Netz- und Informationssystemen wird in geplanten Abständen sowie nach erheblichen Sicherheitsvorfällen oder Änderungen unabhängig überprüft, durch Personen mit Prüfungskompetenz außerhalb der Weisungslinie des überprüften Bereichs.

Erwägungsgrund 15 nennt die Tests, an die gedacht ist: automatisierte oder manuelle Tests, Penetrationstests, Schwachstellenscans, statische und dynamische Anwendungssicherheitstests, Konfigurationstests und Sicherheitsaudits, durchgeführt bei der Einrichtung, nach wesentlichen Upgrades oder Änderungen oder nach Wartungsarbeiten. Das ist eine Liste von Optionen, keine Pflicht. Für den gesamten Anhang gilt eine Regel (Art. 2(2)): Wenn eine Anforderung „gegebenenfalls“ gilt und Sie entscheiden, dass sie für Sie nicht angemessen ist, müssen Sie Ihre Begründung nachvollziehbar dokumentieren.

Artikel 24, comma 2, des D.Lgs. 138/2024 setzt Art. 21(2) nahezu wörtlich um: Buchstabe e) betrifft Management und Offenlegung von Schwachstellen, Buchstabe f) die Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen. Die Details liefert die ACN. Die Determinazione ACN 379907 vom 19. Dezember 2025, die die Determinazione 164179 vom 14. April 2025 ersetzt hat und ab dem 15. Januar 2026 gilt, legt die Basis-Sicherheitsmaßnahmen in zwei Anhängen fest: Allegato 1 für wichtige Einrichtungen, Allegato 2 für wesentliche Einrichtungen. Die Maßnahmen folgen den Codes des italienischen Framework für Cybersecurity und Datenschutz (Ausgabe 2025), und jede Maßnahme hat nummerierte Anforderungen.

Die Anforderungen zu Tests und Schwachstellen, wie sie in den beiden Anhängen stehen:

• ID.RA-01, Punkt 1 (beide): Die nach ID.RA-08 gesammelten Schwachstelleninformationen werden genutzt, um Schwachstellen in Informations- und Netzsystemen zu identifizieren.
• ID.RA-01, Punkt 2 (nur wesentliche): Für mindestens die relevanten Informations- und Netzsysteme werden im Einklang mit dem Plan für das Schwachstellenmanagement und vorbehaltlich begründeter und dokumentierter regulatorischer oder technischer Gründe Tätigkeiten zur Identifizierung von Schwachstellen, die mindestens Schwachstellenanalyse und/oder Penetrationstest umfassen, regelmäßig und in jedem Fall vor der Inbetriebnahme der Systeme durchgeführt.
• ID.RA-01, Punkt 3 (nur wesentliche): Diese Tätigkeiten werden in Berichten dokumentiert, die mindestens eine allgemeine Beschreibung der Tätigkeiten und ihres Ergebnisses sowie eine Beschreibung der gefundenen Schwachstellen mit ihrem Grad der Auswirkung auf die Sicherheit enthalten.
• ID.RA-08 (beide): mindestens die Kanäle von CSIRT Italia sowie etwaiger sektoraler CERTs und ISACs verfolgen; Schwachstellen zeitnah durch Sicherheitsupdates oder Abhilfemaßnahmen beheben oder das Risiko im Risikobehandlungsplan akzeptieren und dokumentieren; einen Plan für das Schwachstellenmanagement führen, von den Leitungsorganen genehmigt, der festlegt, wie Schwachstellen nach ID.RA-01 identifiziert und wie diese Tätigkeiten geplant werden. Wesentliche Einrichtungen verfolgen zusätzlich die Kanäle der Lieferanten kritischer Software.
• ID.IM-01, Punkte 3 und 4 (nur wesentliche): ein Plan zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen, der angibt, welche Maßnahmen wie bewertet werden, mit regelmäßigen Berichten an die Leitungsorgane.
• PR.PS-02, Punkt 4 (nur wesentliche): Updates kritischer Software werden im Einklang mit der Risikobewertung vor dem Produktiveinsatz in einer Testumgebung geprüft.

Zwei Details verändern Ihre Planung. „Für mindestens die relevanten Systeme“ erlaubt es, ID.RA-01 Punkt 2 auf die Systeme zu beschränken, deren Kompromittierung die Dienste, für die Sie in den Anwendungsbereich fallen, erheblich beeinträchtigen würde (ACN-FAQ MSB.7) — die Liste der relevanten Systeme muss also zuerst existieren. Und ID.RA-01 Punkt 2 gehört zu den Anforderungen, die, wenn sie aus dokumentierten regulatorischen oder technischen Gründen nicht umgesetzt werden, durch kompensierende Maßnahmen abgedeckt sein müssen, beschrieben im von den Leitungsorganen genehmigten Risikobehandlungsplan (ID.RA-06, Punkt 2, und Tabelle 2 des Allegato 2).

Die Determinazione 379907/2025 setzt zwei Fristen, beide ab dem Tag, an dem die Einrichtung die Mitteilung über ihre Aufnahme in die Liste der NIS-Einrichtungen erhalten hat (Art. 3):

• Basis-Sicherheitsmaßnahmen (Allegati 1 und 2): 18 Monate. Italienische Presseberichte datieren die ersten Aufnahmemitteilungen der ACN auf den 12. April 2025; für die Kohorte 2025 fällt die Frist daher im Laufe des Oktober 2026 — rechnen Sie 18 Monate ab Ihrer eigenen Mitteilung, die Sie in Ihrer PEC oder Portalbenachrichtigung finden, denn das Datum ist nicht für alle gleich.
• Meldung erheblicher Basis-Sicherheitsvorfälle (Allegati 3 und 4): 9 Monate, was die ACN für 2025 gelistete Einrichtungen im Januar 2026 verortet.

Die Determinazione ACN 127434/2026, gültig ab dem 30. April 2026, legt feste Termine für Einrichtungen fest, die im Laufe des Jahres 2026 erstmals gelistet wurden: Sicherheitsmaßnahmen bis zum 31. Juli 2027, Meldepflichten für Sicherheitsvorfälle ab dem 1. Januar 2027. 2025 gelistete Einrichtungen, die auf der Liste 2026 verbleiben, behalten die ursprünglichen Fristen.

Wesentliche und wichtige Einrichtungen haben dieselbe Frist; unterschiedlich ist der Anhang, den sie umsetzen müssen. Bei einer 2025 gelisteten wesentlichen Einrichtung sollten daher der erste regelmäßige VA/PT-Zyklus für relevante Systeme, die zugehörigen Berichte und der von der Leitung genehmigte Plan für das Schwachstellenmanagement bereits vorliegen, und neue Systeme, die in Betrieb gehen, benötigen ab jetzt ihren Test vor der Inbetriebnahme.

Nach Ablauf der Frist erhalten Sie keine Mitteilung: Die Pflicht gilt einfach, und die Aufsicht folgt der oben beschriebenen Unterscheidung — ex ante für wesentliche Einrichtungen, einschließlich Stichprobenkontrollen, ex post für wichtige. Die Anhänge der 379907/2025 enthalten 87 Anforderungen für wichtige und 116 für wesentliche Einrichtungen; die praktische Frage am 1. November lautet daher nicht, ob jede Anforderung perfekt erfüllt ist, sondern ob Sie für jede Testanforderung das Dokument vorlegen können, das sie belegt: den Plan, die Liste der relevanten Systeme, die Berichte, die Aufzeichnungen zur Behebung. Wird eine Anforderung aus dokumentierten regulatorischen oder technischen Gründen nicht umgesetzt, gehört die kompensierende Maßnahme in den von der Leitung genehmigten Risikobehandlungsplan (ID.RA-06, Punkt 2) — geschrieben vor einer Inspektion, nicht währenddessen.

Bevor Sie ein Testbudget bemessen, lohnt es sich, den Text von der Folklore zu trennen.

In den Vorschriften geregelt:

• Jede NIS2-Einrichtung: Management und Offenlegung von Schwachstellen sowie Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen (Art. 21(2)(e) und (f)).
• Einrichtungen unter der Verordnung 2024/2690: ein Konzept für Sicherheitstests mit Umfang, Häufigkeit und Art nach der Risikobewertung; dokumentierte Ergebnisse mit Kritikalität und Abhilfe je Befund; gegebenenfalls Schwachstellenscans in geplanten Abständen mit aufgezeichneten Nachweisen; unabhängige Überprüfungen.
• Italienische wesentliche Einrichtungen: Schwachstellenanalyse und/oder Penetrationstest mindestens der relevanten Systeme, regelmäßig und vor der Inbetriebnahme, dokumentiert in Berichten; ein Plan zur Bewertung der Wirksamkeit.
• Italienische wichtige und wesentliche Einrichtungen: ein von der Leitung genehmigter Plan für das Schwachstellenmanagement und zeitnahe Behebung oder dokumentierte Risikoakzeptanz.

In keinem dieser Texte geregelt:

• Ein jährlicher Penetrationstest als allgemeine NIS2-Pflicht.
• Eine feste Häufigkeit für Scans oder Tests. „Regelmäßig“ und „in geplanten Abständen“ bedeuten das Intervall, das Sie festlegen und begründen.
• Eine Pflicht, einen externen oder zertifizierten Tester einzusetzen. Die Verordnung 2024/2690 verlangt Prüfungskompetenz und Unabhängigkeit für die unabhängige Überprüfung, nicht für jeden einzelnen Test.
• Bedrohungsorientiertes Red Teaming oder TLPT. Das ist ein DORA-Instrument für benannte Finanzunternehmen; siehe TLPT nach DORA.

Die risikobasierten Teile sind nicht weicher. Wenn eine Vorschrift Ihnen die Häufigkeit überlässt, prüft ein Inspektor, ob die Entscheidung schriftlich festgehalten ist, aus Ihrer Risikobewertung folgt und tatsächlich angewendet wurde.

Eine Schwachstellenanalyse erfasst bekannte Schwächen über viele Systeme hinweg und bewertet sie. Ein Penetrationstest versucht, Schwachstellen auszunutzen, verkettet sie und zeigt, was ein Angreifer tatsächlich erreichen kann. Der ACN-Text akzeptiert beides („und/oder“), die Wahl gehört daher mit Begründung in den Plan für das Schwachstellenmanagement. Eine gut vertretbare Struktur:

1. Beginnen Sie mit der Liste der relevanten Systeme. Ohne sie können Sie den Umfang „mindestens die relevanten Systeme“ nicht nutzen, und Ihre Abdeckung ist nicht messbar.
2. Schwachstellenanalyse aller relevanten Systeme in einem durch Ihre Risikobewertung festgelegten Intervall, zusätzlich nach wesentlichen Änderungen und wenn über die von Ihnen verfolgten Kanäle neue Schwachstellen veröffentlicht werden, die Ihren Stack betreffen.
3. Penetrationstests dort, wo die Ausnutzbarkeit die Frage ist: aus dem Internet erreichbare Dienste, Fernzugriff, Identitätsinfrastruktur und die Systeme, die die Dienste stützen, für die Sie in den Anwendungsbereich fallen. Testen Sie von außen und von innen mit den Rechten eines Standardbenutzers; siehe Black-Box- vs. Gray-Box-Tests.
4. Tests vor der Inbetriebnahme für neue relevante Systeme und größere Releases, wie es ID.RA-01 Punkt 2 für wesentliche Einrichtungen verlangt.
5. Retests nach der Behebung, damit jeder Befund mit einem Nachweis geschlossen wird und nicht mit einem Ticketstatus.

Wenn Sie entscheiden, dass ein System nicht getestet werden kann, etwa eine empfindliche OT-Komponente, halten Sie den regulatorischen oder technischen Grund und die kompensierenden Maßnahmen im Risikobehandlungsplan fest; das ist der Weg, den die ACN-Anhänge vorsehen.

Die ACN-FAQ MSB.11 nennt die Dokumentarten, die die Umsetzung der Maßnahmen belegen: Listen, Inventare, Pläne, Konzepte, Verfahren und Register, aktuell gehalten und in Papierform oder digital verfügbar. Für Tests und Schwachstellenmanagement braucht die Akte in der Regel:

• Den Plan für das Schwachstellenmanagement (ID.RA-08, Punkt 3) mit der Genehmigung der Leitung, aus dem hervorgeht, wie Schwachstellen identifiziert und Tests geplant werden.
• Die Liste der relevanten Systeme und die Begründung dafür.
• VA/PT-Berichte mit mindestens einer Beschreibung der Tätigkeiten, ihres Ergebnisses und jeder Schwachstelle mit ihrer Auswirkung auf die Sicherheit (ID.RA-01, Punkt 3, für wesentliche Einrichtungen).
• Aufzeichnungen über Tests vor der Inbetriebnahme für Systeme, die nach Fristablauf in Betrieb gegangen sind.
• Die Aufzeichnungen zur Verfolgung der Kanäle von CSIRT Italia, sektoralen CERTs und ISACs sowie, bei wesentlichen Einrichtungen, der Lieferanten kritischer Software.
• Aufzeichnungen zur Behebung: Schwachstelle, Entscheidung (beheben, abmildern oder akzeptieren), Verantwortlicher, Termine, Retest-Ergebnis und jede Risikoakzeptanz im von der Leitung genehmigten Risikobehandlungsplan.
• Bei wesentlichen Einrichtungen den Plan zur Bewertung der Wirksamkeit und die regelmäßigen Berichte an die Leitungsorgane (ID.IM-01).
• Bei Einrichtungen unter der Verordnung 2024/2690: das Konzept für Sicherheitstests, die dokumentierte Methodik sowie Kritikalität und Abhilfe je Befund (Punkt 6.5.2).

Die Lücken in einer solchen Akte behandelt das Playbook zu den Sanktionen nach Art. 38; das Dekret insgesamt erklärt D.Lgs. 138/2024 erklärt.

Ein autonomes KI-Red-Team für Netzwerke und Infrastruktur legt nicht Ihre Häufigkeit fest, genehmigt nicht Ihre Pläne und ist nicht die unabhängige Überprüfung, die die Verordnung 2024/2690 beschreibt. Was es verändert, ist die Menge an Testnachweisen, die zwischen einem Bericht und dem nächsten entsteht.

• VA und PT in einer Kampagne. Black-Box-Kampagnen von außen und Gray-Box-Kampagnen mit Standardbenutzerrechten, nach Zeitplan und nach Änderungen ausgeführt, finden Schwachstellen und versuchen sie auszunutzen; jeder Befund gibt daher an, ob er in Ihrer Umgebung nachweislich ausnutzbar war.
• Retest auf Abruf. Jede Behebung lässt sich mit demselben Nachweis prüfen, der die Schwachstelle gefunden hat; damit schließen Sie die Aufzeichnung zur Behebung, die ID.RA-08 verlangt.
• Framework-Mapping. Die Engine ordnet Befunde den NIS2-Kontrollen aus Art. 21(2)(e) und (f) zu, unter den 34 unterstützten Frameworks, und exportiert Compliance-Berichte. Ein Mapping auf ACN-Maßnahmencodes gibt es nicht; die Verknüpfung der Berichte mit ID.RA-01, ID.RA-08 und ID.IM-01 bleibt Teil Ihrer Dokumentation.
• Menschliche Freigabe riskanter Schritte. Fünf Autonomiestufen legen fest, was auf eine Person wartet, von der Freigabe jedes aktiven Scans auf der niedrigsten Stufe bis zum Verzicht auf Freigabeschwellen auf der höchsten, die bewusst gewählt wird. Exploit-Proofs-of-Concept können bis zur Prüfung durch den Operator zurückgehalten werden. Siehe Human-in-the-Loop.
• Belastbare Aufzeichnungen. Jeder Angriffsversuch ist ein Ed25519-signierter Eintrag in einer SHA-256-Hash-Kette pro Kampagne, offline überprüfbar; so lässt sich belegen, dass die der ACN vorgelegten Testaufzeichnungen unverändert sind.
• Keine Kundendaten verlassen die Appliance. Befunde über ausnutzbare Systeme sind genau das, was ein Angreifer sucht. Die Modelle laufen auf der Appliance, ohne externen KI-Dienst; im Air-Gap-Modus werden auch Downloads aus öffentlichen Quellen gestoppt. Siehe On-Premise-KI-Red-Team.

• Richtlinie (EU) 2022/2555 (NIS2), Art. 21, 32 und 33 (EUR-Lex)
• Durchführungsverordnung (EU) 2024/2690 der Kommission, Anhang Punkte 2.3, 6.5, 6.10 und 7 (EUR-Lex)
• D.Lgs. 4 settembre 2024, n. 138, Art. 24 (Normattiva)
• ACN: modalità e specifiche di base, Fristen und Anhänge (acn.gov.it)
• Determinazione ACN 379907/2025, Basisspezifikationen (PDF, acn.gov.it)
• Allegato 1, Basismaßnahmen für wichtige Einrichtungen (PDF, acn.gov.it)
• Allegato 2, Basismaßnahmen für wesentliche Einrichtungen (PDF, acn.gov.it)
• Determinazione ACN 127434/2026, Fristen für 2026 gelistete Einrichtungen (PDF, acn.gov.it)
• ACN-FAQ: Sicherheitsmaßnahmen und Meldung von Sicherheitsvorfällen (acn.gov.it)
• ACN-FAQ: Monitoring, Aufsicht und Durchsetzung (acn.gov.it)
• NIS2, a ottobre scadono le misure di base (Tom's Hardware Italia, Oktober 2026) — nennt den 12. April 2025 als Datum der ersten Aufnahmemitteilungen