ACN-Audits erfolgreich meistern

Die Aufsichtsmaßnahmen und Audits der italienischen Agentur für Cybersicherheit (Agenzia per la Cybersicurezza Nazionale – ACN) dienen dazu, die ordnungsgemäße Umsetzung der Verpflichtungen aus der NIS2-Richtlinie zu überprüfen. 

Ziel ist dabei nicht eine rein technische Kontrolle von Servern oder Firewalls, sondern die Feststellung, ob Cybersicherheit als Governance-Prozess verstanden und in die Unternehmensstrategie integriert wird.

Es handelt sich somit um eine Überprüfung der Security Governance. Das Management muss nachweisen können, dass es die wesentlichen Cyberrisiken kennt, angemessene Maßnahmen zu deren Prävention und Bewältigung ergriffen hat und deren Wirksamkeit kontinuierlich überwacht.

Konkret wird die ACN bewerten, ob Unternehmen in der Lage sind, Cyberrisiken bewusst, dokumentiert und kontinuierlich zu steuern.

Governance nachweisen: Was das Management belegen muss

Während eines Audits muss die Unternehmensleitung in der Lage sein, den gesamten Entscheidungsprozess nachvollziehbar darzustellen. Die Prüfer werden kontrollieren, ob das Unternehmen folgende Aspekte dokumentieren und begründen kann:

• Wie Risiken bewertet wurden: Formelle und aktuelle Risikobewertungen und Risikoregister.
• Wie Entscheidungen getroffen wurden: Protokolle des Verwaltungsrats bzw. Managements, aus denen die Genehmigung von Strategien, die Zuweisung von Ressourcen und die Auswahl der Sicherheitsmaßnahmen hervorgehen.
• Wie Verantwortlichkeiten definiert wurden: Rollen- und Verantwortlichkeitsmatrizen (RACI), formelle Ernennungen sowie Nachweise über durchgeführte Schulungsmaßnahmen.
• Wie Kontrollen durchgeführt werden: Regelmäßige Überprüfungen der Wirksamkeit der umgesetzten Maßnahmen sowie Pläne zur regelmäßigen Überprüfung der Sicherheitsmaßnahmen.

Was wird die ACN überprüfen?

Die Prüfer werden ihre Kontrollen auf zentrale Bereiche der Organisation konzentrieren, darunter:

• Governance und Rollen: Klare Definition der Verantwortlichkeiten und Schulung der Mitarbeitenden – einschließlich des Managements.
• Risikomanagement: Prozesse zur Risikoanalyse und zum Risikomanagement sowie zur Sicherheit der Supply Chain.
• Betrieb und Resilienz: Technische und organisatorische Maßnahmen sowie Pläne für das Incident Management.
• Kontinuierliche Verbesserung: Interne Auditprozesse, Monitoring und regelmäßige Aktualisierung der Systeme.

Sich auf ein Audit vorzubereiten bedeutet, langfristig ein solides und nachvollziehbar dokumentiertes System aufzubauen. Aktuelle Richtlinien, formalisierte Verfahren, Incident-Register und Protokolle interner Überprüfungen sind entscheidende Instrumente, um die objektive Compliance der eigenen Organisation nachweisen zu können.

Die Audits der ACN werden nicht nur die Robustheit der IT-Infrastruktur bewerten, sondern auch den Reifegrad des Unternehmens und dessen kontinuierliche Entwicklung. 

Gut vorbereitet ist daher nicht das Unternehmen, das die meiste Sicherheitssoftware installiert hat, sondern jenes, das Cybersicherheit zu einem wesentlichen Bestandteil seiner täglichen Unternehmensführung gemacht hat.