Netz- und Informationssystemsicherheitsverordnung – NISV

Beschreibung des Ziels

Monitoring der bescheidmäßig erlassenen Sicherheitsvorkehrungen für BetreiberInnen wesentlicher Dienste durch die Behörde, in der das Büro für strategische Netz- und Informationssystemsicherheit (NIS) eingerichtet ist, damit entsprechend der EU-Richtlinie NIS bei sensiblen Infrastrukturen Österreichs (Wasser und Energieversorgung, Bankwesen, digitale Dienste etc.) eine wirksame Widerstandskraft gegen Cyber-Bedrohungen aufgebaut werden kann. Wirkungsziel 3 des Bundesfinanzgesetz 2019 (BFG), Globalbudget 10.01 Steuerung, Koordination und Services.

Kennzahlen und Meilensteine des Ziels

Meilenstein 1: Betreiber wesentlicher Dienste, deren Sicherheitsvorfälle und Sicherheitsvorkehrungen sind rechtlich näher definiert

Ausgangszustand 2019:

Nähere Regelungen zu jedem in § 2 NISG genannten Sektor, insbesondere Teilsektoren, Bereiche, wesentliche Dienste sowie Arten von Einrichtungen, die als Betreiber wesentlicher Dienste in Frage kommen, sind nicht festgelegt. Konkrete Sicherheitsvorkehrungen im Bereich der Netz- und Informationssysteme, die von Betreibern wesentlicher Dienste nach dem NISG zu treffen sind, sind nicht festgelegt. Kriterien für Parameter zu Sicherheitsvorfällen, die von Betreibern wesentlicher Dienste nach dem NISG zu melden sind, liegen nicht vor. Es sind keine Ausnahmen von Verpflichtungen für Betreiber wesentlicher Dienste festgelegt.

Zielzustand 2022:

Alle aufgrund des § 4 Abs. 2 NISG festzulegenden Kriterien bestehen.

Istzustand 2022:

Die näheren Regelungen zu jedem in § 2 NISG genannten Sektor, konkrete Sicherheitsvorkehrungen im Bereich der Netz- und Informationssysteme, die von Betreibern wesentlicher Dienste nach dem NISG zu treffen sind, Kriterien für Parameter zu Sicherheitsvorfällen, die von Betreibern wesentlicher Dienste nach dem NISG zu melden sind, und Ausnahmen von Verpflichtungen für Betreiber wesentlicher Dienste wurden in der NISV festgelegt.

Datenquelle:
NISV

Zielerreichungsgrad des Meilensteins:

zur Gänze erreicht

Beschreibung der Ziel-Maßnahme

Die NIS-Verordnung definiert die von ihr betroffenen Sektoren, die sich in die Sektoren Energie, Verkehr, Bankwesen, Finanzmarkinfrastruktur, Gesundheitswesen, Trinkwasserversorgung und digitale Infrastruktur gliedern.
Mit der Festlegung von Grenzwerten, bei deren Überschreitung ein Sicherheitsvorfall im Sinne des §3 Z 6 NISG, vorliegt und der meldepflichtig ist, soll eine hohe Netz- und Informationssystemsicherheit gewährleistet werden.
Bei der Festlegung des Grenzwertes wird auf die Zahl der Nutzer, die den jeweiligen Dienst in Anspruch nehmen, die Abhängigkeit anderer Sektoren von diesem Dienst oder Betreiber, dessen Marktanteil, dessen geographische Ausbreitung und die möglichen Auswirkungen von Sicherheitsvorfällen abgestellt.
Die §§ 17 oder 19 NISG sind nicht anwendbar, wenn für die Erbringung eines wesentlichen Dienstes Vorschriften zu Sicherheitsvorkehrungen oder zur Meldepflicht bestehen, die zumindest ein gleichwertiges Sicherheitsniveau gewährleisten. Diese Ausnahmen von Verpflichtungen für Betreiber wesentlicher Dienste gemäß § 20 NISG werden festlegt.

Zielerreichungsgrad der Ziel-Maßnahme:

zur Gänze erreicht

Beschreibung der Ziel-Maßnahme

Nach § 17 Abs. 1 NISG hat ein Betreiber eines wesentlichen Dienstes besondere Sicherheitsvorkehrungen zu treffen. Diese müssen geeignet sein und haben den Stand der Technik zu berücksichtigen. In der Anlage 1 zu dieser Verordnung werden die für die Gewährleistung eines hohen Sicherheitsstandards jedenfalls geeigneten Sicherheitsvorkehrungen angeführt. Diese reichen von Governance- und Risikomanagement, Sicherheitsarchitektur, Systemadministration, Erkennung- und Bewältigung von Vorfällen bis zu einem Krisenmanagement.

Zielerreichungsgrad der Ziel-Maßnahme:

zur Gänze erreicht