"Netz- und Informationssystemsicherheitsgesetz (NISG): Gewährleistung eines hohen Sicherheitsniveaus von Netz- und Informationssystemen"

Kennzahlen und Meilensteine des Ziels

Meilenstein 1: Schaffung von Sicherheitsvorkehrungen

Ausgangszustand 2018:

Betreiber wesentlicher Dienste, Anbieter digitaler Dienste sowie Einrichtungen des Bundes und der Länder sind nicht dazu verpflichtet, Sicherheitsvorkehrungen im Bereich der Netz- und Informationssysteme zu treffen oder durch mangelnde Sicherheitsvorkehrungen verursachte Sicherheitsvorfälle zu melden. Dies kann unter Umständen zu Versorgungsengpässen führen und die öffentliche Sicherheit sowie die Funktionsfähigkeit staatlicher Einrichtungen gefährden.

Zielzustand 2022:

Betreiber wesentlicher Dienste, Anbieter digitaler Dienste und Einrichtungen des Bundes und der Länder treffen organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer Netz- und Informationssysteme. Bei Vorliegen eines Sicherheitsvorfalls erstatten die genannten Einrichtungen unverzüglich Meldung an das jeweils zuständige Computer-Notfallteam, welches die Meldungen an die Behörden weiterleitet.

Istzustand 2022:

Betreiber wesentlicher Dienste treffen organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer Netz- und Informationssysteme. Bei Vorliegen eines Sicherheitsvorfalls erstatten die genannten Einrichtungen unverzüglich Meldung an das jeweils zuständige Computer-Notfallteam, welches die Meldungen an die Behörden weiterleitet. Das Aufsichtssystem über die Anbieter digitaler Dienste hat gemäß der RL (EU) 2016/1148 ex-post ausgestaltet zu sein. Infolgedessen ist es nicht möglich zu beurteilen, ob das NISG zu einer Erhöhung der Netz- und Informationssystemsicherheit der Anbieter digitaler Dienste geführt hat. Die Länder haben keine Regelungen auf landesgesetzlicher Ebene getroffen, um die Pflichten zu Sicherheitsvorkehrungen bei wichtigen Diensten und zur Meldung von Sicherheitsvorfällen entsprechend den öffentlichen Einrichtungen des Bundes zu übernehmen. Infolgedessen konnte das NISG keine rechtlichen Wirkungen zur Erhöhung der Netz- und Informationssystemsicherheit auf Landesebene entfalten. Die Netz- und Informationssystemsicherheit der Einrichtungen des Bundes kann nicht zentral beurteilt werden, da eine vergleichbare Überprüfungs- und Nachweispflicht wie bei den Betreibern wesentlicher Dienste nicht vorgesehen ist. Der Mangel an konkreten und vorgegebenen Meldeschwellenwerten macht eine gemeinsame Lageerfassung bei Vorfällen, die mehrere Einrichtungen des Bundes betreffen, herausfordernd.

Datenquelle:
Verpflichtung durch Erlass der rechtlichen Grundlagen geschaffen.

Zielerreichungsgrad des Meilensteins:

überwiegend erreicht

Meilenstein 2: Schaffung neuer Koordinierungsstrukturen

Ausgangszustand 2018:

Um angemessen auf Sicherheitsvorfälle im Bereich der Netz- und Informationssystemsicherheit zu reagieren, bestehen derzeit keine gesetzlich festgelegten Organisations- und Koordinierungsstrukturen.

Zielzustand 2022:

Neue Koordinierungsstrukturen schaffen einen geeigneten Rahmen um angemessen auf Sicherheitsvorfälle zu reagieren. Dabei werden Meldungen über Sicherheitsvorfälle und aktuelle Bedrohungslagen gesamtstaatlich analysiert und regelmäßig Lagebilder erstellt. Ein nationales Computer-Notfallteam unterstützt die Betreiber wesentlicher Dienste sowie die Anbieter digitaler Dienste bei der Prävention, Erkennung, Reaktion und Folgenminderung von Sicherheitsvorfällen im Bereich von Netz- und Informationssystemen. Sektorenspezifische Computer-Notfallteams sind eingerichtet.

Istzustand 2022:

Gesetzlich festgelegte Organisations- und Koordinierungsstrukturen sowie Computer-Notfallteams wurden eingerichtet.

Datenquelle:
Gesetzesgrundlage

Zielerreichungsgrad des Meilensteins:

zur Gänze erreicht

Beschreibung der Ziel-Maßnahme

Die Österreichische Strategie für Cyber Sicherheit (ÖSCS) aus dem Jahr 2013 ist ein umfassendes und proaktives Konzept zum Schutz des Cyber Raums und der Menschen im virtuellen Raum unter Gewährleistung ihrer Menschenrechte. Die Vorgaben aus der NIS-RL und aktuelle Entwicklungen im Bereich Cyber Sicherheit sind nicht berücksichtigt. Auf Basis der ÖSCS wird diese Strategie vor dem Hintergrund der in der NIS-RL genannten Aspekte weiterentwickelt und koordiniert. Die neue Strategie zur Sicherheit für Netz- und Informationssysteme in Österreich soll daher neben den Vorgaben aus der NIS-RL auch aktuelle Entwicklungen und Bedrohungsszenarien berücksichtigt.

Zielerreichungsgrad der Ziel-Maßnahme:

zur Gänze erreicht

Beschreibung der Ziel-Maßnahme

Auf Basis sowie unter Einbindung bestehender operativer Strukturen wird eine neue Struktur zur Koordination auf der operativen Ebene (OpKoord) geschaffen. Diese Koordinierungsstruktur besteht aus einem sogenannten „Inneren Kreis“ und einem „Äußeren Kreis“. Die Arbeiten im Rahmen der OpKoord werden unter Einbindung der Ressorts und operativer Strukturen aus Wirtschaft und Forschung vom Bundesminister für Inneres koordiniert.

In ihrem Rahmen sollen insbesondere ein periodisches und anlassbezogenes Lagebild erstellt, erörtert und aktualisiert sowie über zu treffende Maßnahmen auf der operativen Ebene beraten werden. Darüber hinaus soll durch Sammeln, Bündeln, Auswerten und Weitergeben von relevanten Informationen ein kontinuierlicher Überblick über die aktuelle Situation im Bereich der NIS gewährleistet sein. Dabei ist auch die Wirtschaft in geeigneter Form einzubinden und zu informieren. Der permanent und gemeinsam erarbeitete Status zur Situation im Bereich der NIS soll allen Beteiligten als Grundlage für zu treffende planerische, präventive und reaktive Maßnahmen dienen.

Zur Wahrnehmung strategischer Aufgaben im Zusammenhang mit dem Gesetzesvorhaben richtet der Bundeskanzler Organisationseinheiten ein. Der Bundesminister für Inneres wird die operativen Aufgaben wahrnehmen und richtet dazu ebenfalls Organisationseinheiten ein.

Zielerreichungsgrad der Ziel-Maßnahme:

zur Gänze erreicht

Beschreibung der Ziel-Maßnahme

Zur Unterstützung der Betreiber wesentlicher Dienste, Anbieter digitaler Dienste und Einrichtungen des Bundes und der Länder bei der Bewältigung von Risiken, Vorfällen und Sicherheitsvorfällen im Bereich der Netz- und Informationssystemsicherheit sollen sog. Computer-Notfallteams eingerichtet werden. Die Computer-Notfallteams gelten als erste Anlaufstelle für alle in den Anwendungsbereich des vorliegenden Gesetzentwurfs fallenden Einrichtungen.

Betreiber wesentlicher Dienste können je ein sektorenspezifisches Computer-Notfallteam einrichten, um das für den jeweiligen Sektor erforderliche Fachwissen abzudecken. Wurde noch kein sektorenspezifisches Computer-Notfallteam eingerichtet, fallen die im vorliegenden Gesetzentwurf umschriebenen Aufgaben von Computer-Notfallteams dem nationalen Computer-Notfallteam zu. Das nationale Computer-Notfallteam soll – in Ermangelung eines sektorenspezifischen Computer- Notfallteams – für alle Betreiber wesentlicher Dienste und Anbieter digitaler Dienste zuständig sein und jene Aufgaben sektorenübergreifend erfüllen, die einem Computer-Notfallteam nach dem vorliegenden Gesetzentwurf zukommen.

Für die Einrichtungen des Bundes und der Länder erfüllt das GovCERT die Aufgaben eines Computer- Notfallteams. Das beim Bundeskanzler eingerichtete GovCERT ist daher das sektorenspezifische Computer-Notfallteam für den öffentlichen Bereich.

Zu den Hauptaufgaben der Computer-Notfallteams zählen die Entgegennahme von Meldungen über Sicherheitsvorfälle oder Störungen und deren Weiterleitung an den Bundesminister für Inneres.

Zielerreichungsgrad der Ziel-Maßnahme:

zur Gänze erreicht

Beschreibung der Ziel-Maßnahme

Der Bundeskanzler ermittelt im Einvernehmen mit dem Bundesminister für Inneres jene Einrichtungen, die einen wesentlichen Dienst im Sinne von § 14 Abs. 2 des vorliegenden Gesetzentwurfs erbringen.

Mit Verordnung werden die Faktoren, die zur Ermittlung der Betreiber wesentlicher Dienste herangezogen werden sollen, näher konkretisiert. In dieser Verordnung werden insbesondere die Schwellenwerte bestimmt, die für die Beurteilung der Wesentlichkeit eines betriebenen Dienstes heranzuziehen sind.

Zielerreichungsgrad der Ziel-Maßnahme:

zur Gänze erreicht

Beschreibung der Ziel-Maßnahme

Betreiber wesentlicher Dienste, Anbieter digitaler Dienste sowie Einrichtungen des Bundes und der Länder haben geeignete und dem Stand der Technik entsprechende Sicherheitsvorkehrungen zu treffen. Diese können sowohl technischer als auch organisatorischer Art sein und sollen Störfälle im Bereich der Netz- und Informationssysteme vermeiden, die unter Umständen einen Sicherheitsvorfall herbeiführen können.

Die Einhaltung der Sicherheitsvorkehrungen wird periodisch überprüft, indem die Betreiber wesentlicher Dienste den Bundesminister für Inneres die Erfüllung der Anforderungen in geeigneter Weise informieren. Anbieter digitaler Dienste haben einen solchen Nachweis nur im Anlassfall zu erbringen.

Darüber hinaus haben Betreiber wesentlicher Dienste, Anbieter digitaler Dienste sowie die Einrichtungen des Bundes und der Länder Sicherheitsvorfälle unverzüglich an das für sie jeweils zuständige Computer- Notfallteam zu melden.

Zielerreichungsgrad der Ziel-Maßnahme:

überwiegend erreicht

Beschreibung der Ziel-Maßnahme

Die Meldestruktur von Sicherheitsvorfällen und Störungen nach dem NIS-Gesetz sieht vor, dass die Meldungen, die an das zuständige Computer-Notfallteam gegangen sind, an die beim Bundesminister für Inneres eingerichtete Organisationseinheit weitergeleitet werden sollen. Um die Meldungen zentralisiert zu erfassen und entsprechend zu verarbeiten, bedarf es einer Meldesammelstelle.

Zudem hat jeder Mitgliedstaat gemäß Art. 8 Abs. 3 NIS-RL eine für die Sicherheit von Netz- und Informationssystemen zuständige nationale zentrale Anlaufstelle zu benennen. Diese zentrale Anlaufstelle (Single Point Of Contact, SPOC) dient insbesondere als Verbindungsstelle zur Gewährleistung der grenzüberschreitenden Zusammenarbeit der Behörden der Mitgliedstaaten und der Zusammenarbeit mit den entsprechenden Behörden in anderen Mitgliedstaaten.

Sowohl die Meldesammelstelle, als auch die zentrale Anlaufstelle werden beim Bundesamt für Verfassungsschutz und Terrorismusbekämpfung eingerichtet und deren Betrieb in weiterer Folge durch Dienstplan und Rufbereitschaften rund um die Uhr sichergestellt.

Zielerreichungsgrad der Ziel-Maßnahme:

zur Gänze erreicht

Beschreibung der Ziel-Maßnahme

Der Betrieb und Nutzung von IKT-Lösungen betrifft einerseits die jeweilige Einrichtung eines IOCbasierten Frühwarnsystems durch den Bundesminister für Inneres, andererseits die Verwendung von Honeypots, Honeypot-ähnlichen-Ansätzen sowie Sinkholes durch den Bundesminister für Inneres und das GovCERT. Die IKT-Lösungen dienen einerseits dazu, Cyberangriffe zu vermeiden bzw. deren Auswirkungen so gering wie möglich zu halten, und andererseits Muster und Vorgehensweisen bei
Cyberangriffen zu analysieren.

Zielerreichungsgrad der Ziel-Maßnahme:

teilweise erreicht