Critical Entities‘ Resilience Directive (CER) - Versionsgeschichte

Jhospes am 27. November 2025 um 22:19 Uhr

2025-11-27T22:19:03Z

Jhospes am 20. Oktober 2025 um 21:43 Uhr

2025-10-20T21:43:36Z

← Nächstältere Version		Version vom 20. Oktober 2025, 21:43 Uhr
Zeile 61:		Zeile 61:

	<!--T:5-->		<!--T:5-->
	Durch die CER-RL soll die '''Resilienz''',<ref>Nach Art 2 Z 2 CER-RL bezeichnet „Resilienz“ die Fähigkeit einer kritischen Einrichtung, einen Sicherheitsvorfall zu verhindern, sich davor zu schützen, darauf zu reagieren, einen solchen abzuwehren, die Folgen eines solchen Vorfalls zu begrenzen, einen Sicherheitsvorfall aufzufangen, zu bewältigen und sich von einem solchen Vorfall zu erholen (vgl § 3 Z 2 RKEG~~-Entwurf~~).</ref> das heißt die Widerstandsfähigkeit, kritischer Einrichtungen gegen '''Sicherheitsvorfälle'''<ref>„Sicherheitsvorfall“ bezeichnet nach Art 2 Z 3 CER-RL ein Ereignis, das die Erbringung eines wesentlichen Dienstes erheblich stört oder stören könnte, einschließlich einer Beeinträchtigung der nationalen Systeme zur Wahrung der Rechtsstaatlichkeit.		Durch die CER-RL soll die '''Resilienz''',<ref>Nach Art 2 Z 2 CER-RL bezeichnet „Resilienz“ die Fähigkeit einer kritischen Einrichtung, einen Sicherheitsvorfall zu verhindern, sich davor zu schützen, darauf zu reagieren, einen solchen abzuwehren, die Folgen eines solchen Vorfalls zu begrenzen, einen Sicherheitsvorfall aufzufangen, zu bewältigen und sich von einem solchen Vorfall zu erholen (vgl § 3 Z 2 RKEG).</ref> das heißt die Widerstandsfähigkeit, kritischer Einrichtungen gegen '''Sicherheitsvorfälle'''<ref>„Sicherheitsvorfall“ bezeichnet nach Art 2 Z 3 CER-RL ein Ereignis, das die Erbringung eines wesentlichen Dienstes erheblich stört oder stören könnte, einschließlich einer Beeinträchtigung der nationalen Systeme zur Wahrung der Rechtsstaatlichkeit.

	<!--T:6-->		<!--T:6-->
	Abweichend spricht § 2 Z 3 ~~des Entwurfes für das~~ RKEG von einem "Ereignis, das die Erbringung eines wesentlichen Dienstes erheblich stört oder stören könnte, einschließlich einer Beeinträchtigung der verfassungsrechtlichen Grundprinzipien".</ref> verbessert werden, wobei nicht nur "digitale", sondern auch "analoge" Gefahren erfasst sind.<ref>''Škorjanc'', Der neue acquis communautaire des europäischen IT-Sicherheitsrechts, ecolex 2023, 881.</ref> So spricht ErwGr 3 von einer "dynamische Bedrohungslage" , dh "die sich wandelnde hybride und terroristische Bedrohungen sowie wachsende gegenseitige Abhängigkeiten zwischen Infrastrukturen und Sektoren". Weiters bestünde "ein erhöhtes physisches Risiko im Zusammenhang mit Naturkatastrophen und dem Klimawandel". Neben der Resilienz kritischer Einrichtungen soll ihre Fähigkeit zur Erbringung von Diensten im Binnenmarkt, die für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten unerlässlich sind, verbessert werden (Art 1 Abs 1 lit a, b CER-RL).		Abweichend spricht § 2 Z 3 RKEG von einem "Ereignis, das die Erbringung eines wesentlichen Dienstes erheblich stört oder stören könnte, einschließlich einer Beeinträchtigung der verfassungsrechtlichen Grundprinzipien".</ref> verbessert werden, wobei nicht nur "digitale", sondern auch "analoge" Gefahren erfasst sind.<ref>''Škorjanc'', Der neue acquis communautaire des europäischen IT-Sicherheitsrechts, ecolex 2023, 881.</ref> So spricht ErwGr 3 von einer "dynamische Bedrohungslage" , dh "die sich wandelnde hybride und terroristische Bedrohungen sowie wachsende gegenseitige Abhängigkeiten zwischen Infrastrukturen und Sektoren". Weiters bestünde "ein erhöhtes physisches Risiko im Zusammenhang mit Naturkatastrophen und dem Klimawandel". Neben der Resilienz kritischer Einrichtungen soll ihre Fähigkeit zur Erbringung von Diensten im Binnenmarkt, die für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten unerlässlich sind, verbessert werden (Art 1 Abs 1 lit a, b CER-RL).

	<!--T:7-->		<!--T:7-->
Zeile 166:		Zeile 166:

	<!--T:35-->		<!--T:35-->
	Art 5 CER-RL wird dabei primär durch § 10 RKEG zur "'''Risikoanalyse'''<ref>"'Risikoanalyse' [ist] der gesamte Prozess zur Bestimmung der Art und des Ausmaßes eines Risikos, bei dem potenzielle Bedrohungen, Schwachstellen oder Gefahren für kritische Einrichtungen, die zu einem Sicherheitsvorfall führen können, ermittelt und analysiert und die durch den Sicherheitsvorfall verursachten potenziellen Verluste oder Störungen bei der Erbringung eines wesentlichen Dienstes samt Eintrittswahrscheinlichkeit bewertet werden; im Zuge dieser Risikoanalyse werden sämtliche aus natürlichen Ursachen herrührenden oder vom Menschen verursachten Risiken, die zu einem Sicherheitsvorfall führen können, berücksichtigt" (§ 3 Z 8 RKEG~~-Entwurf~~). </ref> durch dendie Bundesministerin für Inneres umgesetzt.		Art 5 CER-RL wird dabei primär durch § 10 RKEG zur "'''Risikoanalyse'''<ref>"'Risikoanalyse' [ist] der gesamte Prozess zur Bestimmung der Art und des Ausmaßes eines Risikos, bei dem potenzielle Bedrohungen, Schwachstellen oder Gefahren für kritische Einrichtungen, die zu einem Sicherheitsvorfall führen können, ermittelt und analysiert und die durch den Sicherheitsvorfall verursachten potenziellen Verluste oder Störungen bei der Erbringung eines wesentlichen Dienstes samt Eintrittswahrscheinlichkeit bewertet werden; im Zuge dieser Risikoanalyse werden sämtliche aus natürlichen Ursachen herrührenden oder vom Menschen verursachten Risiken, die zu einem Sicherheitsvorfall führen können, berücksichtigt" (§ 3 Z 8 RKEG). </ref> durch dendie Bundesministerin für Inneres umgesetzt.

	==== Ermittlung kritischer Einrichtungen (Art 6 CER-RL) ==== <!--T:36-->		==== Ermittlung kritischer Einrichtungen (Art 6 CER-RL) ==== <!--T:36-->
Zeile 537:		Zeile 537:

	<!--T:144-->		<!--T:144-->
	In Umsetzung dieser Bestimmungen ist der Bundesminister für Inneres ermächtigt, von kritischen Einrichtungen '''Nachweise für die Erfüllung der Anforderungen''' gemäß §§ 14, 15 RKEG sowie die Durchführung von '''Audits'''<ref>Die Audits werden dabei durch '''qualifizierte Stellen''', dh natürliche oder juristische Personen oder eingetragene Personengesellschaften, die aufgrund eines begründeten schriftlichen Antrags bescheidmäßig zur Durchführung von Audits berechtigt sind (§ 21 RKEG~~-Entwurf~~), durchgeführt.</ref> zu verlangen, wobei die erforderlichen Informationen dafür zu übermitteln sind (§ 20 Abs RKEG).		In Umsetzung dieser Bestimmungen ist der Bundesminister für Inneres ermächtigt, von kritischen Einrichtungen '''Nachweise für die Erfüllung der Anforderungen''' gemäß §§ 14, 15 RKEG sowie die Durchführung von '''Audits'''<ref>Die Audits werden dabei durch '''qualifizierte Stellen''', dh natürliche oder juristische Personen oder eingetragene Personengesellschaften, die aufgrund eines begründeten schriftlichen Antrags bescheidmäßig zur Durchführung von Audits berechtigt sind (§ 21 RKEG), durchgeführt.</ref> zu verlangen, wobei die erforderlichen Informationen dafür zu übermitteln sind (§ 20 Abs RKEG).

	<!--T:145-->		<!--T:145-->

Jhospes am 20. Oktober 2025 um 21:42 Uhr

2025-10-20T21:42:31Z

← Nächstältere Version		Version vom 20. Oktober 2025, 21:42 Uhr
Zeile 80:		Zeile 80:

	<!--T:11-->		<!--T:11-->
	~~Der Entwurf für das~~ RKEG verweist bei der Definition des Anwendungsbereiches lapidar auf kritische Einrichtungen nach den im Anhang der CER-RL genannten Sektoren (§ 2 Abs 1 RKEG).		Das RKEG verweist bei der Definition des Anwendungsbereiches lapidar auf kritische Einrichtungen nach den im Anhang der CER-RL genannten Sektoren (§ 2 Abs 1 RKEG).

			In Österreich hat der Gesetzgeber von der Möglichkeit Gebrauch gemacht, Angelegenheiten, die unter die NIS-2-RL fallen, vom Geltungsbereich des RKEG auszuschließen (§ 2 Abs. 2 RKEG). Da die NIS-2-RL das Thema Cybersicherheit umfassend regelt, konzentriert sich das RKEG explizit auf den gefahrenübergreifenden ("All-Hazards") Ansatz der CER-RL, jedoch primär bezogen auf physische und nicht-cyberbezogene Risiken. Maßnahmen zur Sicherheit von Netz- und Informationssystemen, einschließlich des physischen Schutzes von IT-Räumen, fallen demnach ausschließlich unter das NIS-Regelungsregime (NISG 2024).

	=== Zeitlicher Anwendungsbereich === <!--T:12-->		=== Zeitlicher Anwendungsbereich === <!--T:12-->

Jhospes: /* Meldung von Sicherheitsvorfällen (Art 15 CER-RL) */

2025-10-20T19:28:44Z

Meldung von Sicherheitsvorfällen (Art 15 CER-RL)

Änderungen zeigen

Jhospes am 20. Oktober 2025 um 19:25 Uhr

2025-10-20T19:25:02Z

← Nächstältere Version		Version vom 20. Oktober 2025, 19:25 Uhr
Zeile 556:		Zeile 556:
	<!--T:152-->		<!--T:152-->
	Werden Verpflichtungen durch Stellen der '''öffentlichen Verwaltung''' nicht eingehalten, ist die Nichteinhaltung mit Bescheid festzustellen sowie eine angemessene Frist zur Herstellung des rechtmäßigen Zustandes anzuordnen. Wird dieser Zustand nicht fristgerecht hergestellt, ist die Nichteinhaltung der Verpflichtungen in einer allgemeinen Weise zu veröffentlichen (§ 23 RKEG-Entwurf).		Werden Verpflichtungen durch Stellen der '''öffentlichen Verwaltung''' nicht eingehalten, ist die Nichteinhaltung mit Bescheid festzustellen sowie eine angemessene Frist zur Herstellung des rechtmäßigen Zustandes anzuordnen. Wird dieser Zustand nicht fristgerecht hergestellt, ist die Nichteinhaltung der Verpflichtungen in einer allgemeinen Weise zu veröffentlichen (§ 23 RKEG-Entwurf).

			In Österreich sieht das beschlossene '''RKEG''' für bestimmte Verstöße gegen die Pflichten (z. B. fehlende Risikoanalyse, unzureichende Resilienzmaßnahmen, Verletzung der Meldepflichten) '''Verwaltungsstrafen bis zu 500.000 Euro''' vor (vgl. § 22 RKEG).

	== Weiterführende Literatur & Links == <!--T:153-->		== Weiterführende Literatur & Links == <!--T:153-->

Jhospes am 20. Oktober 2025 um 19:18 Uhr

2025-10-20T19:18:14Z

← Nächstältere Version		Version vom 20. Oktober 2025, 19:18 Uhr
Zeile 68:		Zeile 68:
	<!--T:7-->		<!--T:7-->
	ErwGr 20 stellt fest, dass Gefahren für die Sicherheit von Netz- und Informationssystemen unterschiedliche Ursachen haben können, weshalb in der CER-RL ein „gefahrenübergreifender“ Ansatz angewandt wird, der die Resilienz von Netz- und Informationssystemen sowie die physischen Komponenten und das physische Umfeld dieser Systeme umfasst.		ErwGr 20 stellt fest, dass Gefahren für die Sicherheit von Netz- und Informationssystemen unterschiedliche Ursachen haben können, weshalb in der CER-RL ein „gefahrenübergreifender“ Ansatz angewandt wird, der die Resilienz von Netz- und Informationssystemen sowie die physischen Komponenten und das physische Umfeld dieser Systeme umfasst.
	~~{\| class="wikitable"~~
	\|+		Das nationale Umsetzungsgesetz in Österreich, das '''Resilienz kritischer Einrichtungen-Gesetz (RKEG)''', wurde am '''24. September 2025''' vom Nationalrat '''beschlossen'''.
	~~!Hinweis:~~
	\|-
	~~\|Ein erster Entwurf für ein nationales~~ Umsetzungsgesetz ~~der CER-RL wurde~~, ~~deutlich nach Ende der Umsetzungsfrist, unter dem Titel "~~Resilienz kritischer Einrichtungen-Gesetz" (~~im folgenden~~ '''~~RKEG-Entwurf)~~''' ~~im Dezember 2024 im Parlament in Begutachtung gegeben~~.~~<ref>~~''~~Parlament Österreich~~''~~, Resilienz kritischer Einrichtungen-Gesetz – RKEG (1/ME), https://www.parlament.gv.at/gegenstand/XXVIII/ME/1?selectedStage=100 (abgerufen 22. 1~~. ~~2025).</ref>~~
	~~Die Begutachtungsfrist endete mit 14. Jänner 2025.~~
	~~Derzeit ist dieser Gesetzgebungsprozess noch nicht abgeschlossen.~~
	\|}

	== Anwendungsbereich == <!--T:8-->		== Anwendungsbereich == <!--T:8-->

Jhospes: Diese Seite wurde zum Übersetzen freigegeben

2025-06-03T08:27:01Z

Diese Seite wurde zum Übersetzen freigegeben

Änderungen zeigen

Jhospes: Bereitete die Seite zur Übersetzung vor

2025-06-03T08:03:50Z

Bereitete die Seite zur Übersetzung vor

Änderungen zeigen

Elisabeth Mayer: /* Beratungsmissionen (Art 18 CER-RL) */

2025-02-06T16:33:03Z

Beratungsmissionen (Art 18 CER-RL)

← Nächstältere Version		Version vom 6. Februar 2025, 16:33 Uhr
Zeile 275:		Zeile 275:
	Auf '''Antrag eines MS''', der eine kritische Einrichtung als kritische Einrichtung von besonderer Bedeutung für Europa ermittelt hat, organisiert die Kommission eine Beratungsmission. Diese dient zur Bewertung der Maßnahmen, die ergriffen wurden, um den Verpflichtungen gem Art 12-16 CER-RL nachzukommen (Art 18 Abs 1 CER-RL).		Auf '''Antrag eines MS''', der eine kritische Einrichtung als kritische Einrichtung von besonderer Bedeutung für Europa ermittelt hat, organisiert die Kommission eine Beratungsmission. Diese dient zur Bewertung der Maßnahmen, die ergriffen wurden, um den Verpflichtungen gem Art 12-16 CER-RL nachzukommen (Art 18 Abs 1 CER-RL).

	Unter Zustimmung des MS, er eine kritische Einrichtung als kritische Einrichtung von besonderer Bedeutung für Europa ermittelt hat, kann eine solche Beratungsmission auch aus '''eigenem Entschluss''' '''der Kommission''' oder '''Antrag''' '''eines/mehrerer MS''', für den/die der wesentliche Dienst erbracht wird (Art 18 Abs 2 CER-RL).		Unter Zustimmung des MS, der eine kritische Einrichtung als kritische Einrichtung von besonderer Bedeutung für Europa ermittelt hat, kann eine solche Beratungsmission auch aus '''eigenem Entschluss''' '''der Kommission''' oder '''Antrag''' '''eines/mehrerer MS''', für den/die der wesentliche Dienst erbracht wird (Art 18 Abs 2 CER-RL).

	Der MS, der eine kritische Einrichtung von besonderer Bedeutung für Europa als kritische Einrichtung ermittelt hat, stellt der Kommission auf ihren Antrag bzw Antrag eines oder mehrerer MS Folgendes zur Verfügung (Art 18 Abs 3 CER-RL):		Der MS, der eine kritische Einrichtung von besonderer Bedeutung für Europa als kritische Einrichtung ermittelt hat, stellt der Kommission auf ihren Antrag bzw Antrag eines oder mehrerer MS Folgendes zur Verfügung (Art 18 Abs 3 CER-RL):
Zeile 294:		Zeile 294:
	* aus Sachverständigen der MS, in dem sich die kritische Einrichtung von besonderer Bedeutung für Europa befindet		* aus Sachverständigen der MS, in dem sich die kritische Einrichtung von besonderer Bedeutung für Europa befindet
	* aus Sachverständigen der MS, für die/in denen der wesentliche Dienst erbracht wird		* aus Sachverständigen der MS, für die/in denen der wesentliche Dienst erbracht wird
	* ~~Vertretern~~ der Kommission		* Vertreter*innen der Kommission

	'''zusammen'''.		'''zusammen'''.

	Diese MS können ~~Kandidaten~~ '''vorschlagen''', die an einer Beratungsmission teilnehmen sollen. Die Kommission wählt nach Absprache mit dem MS, der eine kritische Einrichtung von besonderer Bedeutung für Europa als kritische Einrichtung ermittelt hat, die Mitglieder jeder Beratungsmission nach Maßgabe ihrer '''fachlichen Eignung''' und, soweit möglich, unter Gewährleistung einer '''geografisch ausgewogenen Vertretung''' aus allen diesen MS aus und ernennt sie (Art 18 Abs 5 CER-RL).		Diese MS können Kandidat*innen '''vorschlagen''', die an einer Beratungsmission teilnehmen sollen. Die Kommission wählt nach Absprache mit dem MS, der eine kritische Einrichtung von besonderer Bedeutung für Europa als kritische Einrichtung ermittelt hat, die Mitglieder jeder Beratungsmission nach Maßgabe ihrer '''fachlichen Eignung''' und, soweit möglich, unter Gewährleistung einer '''geografisch ausgewogenen Vertretung''' aus allen diesen MS aus und ernennt sie (Art 18 Abs 5 CER-RL).

	Die Beratungsmission wird dabei in Zukunft noch durch einen '''Durchführungsrechtsakt''' der Kommission konkretisiert (Art 18 Abs 6 CER-RL).		Die Beratungsmission wird dabei in Zukunft noch durch einen '''Durchführungsrechtsakt''' der Kommission konkretisiert (Art 18 Abs 6 CER-RL).
Zeile 329:		Zeile 329:
	!Hinweis:		!Hinweis:
	\|-		\|-
	\|Zuständige Behörde und zugleich zentrale Anlaufstelle ist nach dem RKEG-Entwurf der Bundesminister für Inneres, wobei die Landespolizeidirektion mit der Durchführung einzelner Aufgaben beauftragt werden kann (§ 4 Abs 1, 3, 4 RKEG-Entwurf).		\|Zuständige Behörde und zugleich zentrale Anlaufstelle ist nach dem RKEG-Entwurf derdie Bundesministerin für Inneres, wobei die Landespolizeidirektion mit der Durchführung einzelner Aufgaben beauftragt werden kann (§ 4 Abs 1, 3, 4 RKEG-Entwurf).

	\|}		\|}
Zeile 336:		Zeile 336:
	Daneben haben MS eine '''zentrale Anlaufstelle''', die als Verbindungsstelle zur Gewährleistung der grenzüberschreitenden Zusammenarbeit fungiert, zu benennen oder einzurichten (Art 9 Abs 2 CER-RL). Diese zentralen Anlaufstellen haben der Kommission und der Gruppe für die Resilienz kritischer Einrichtungen alle zwei Jahre einen '''zusammenfassenden Bericht''' über die eingegangen Meldungen vorzulegen (Art 9 Abs 3 CER-RL).		Daneben haben MS eine '''zentrale Anlaufstelle''', die als Verbindungsstelle zur Gewährleistung der grenzüberschreitenden Zusammenarbeit fungiert, zu benennen oder einzurichten (Art 9 Abs 2 CER-RL). Diese zentralen Anlaufstellen haben der Kommission und der Gruppe für die Resilienz kritischer Einrichtungen alle zwei Jahre einen '''zusammenfassenden Bericht''' über die eingegangen Meldungen vorzulegen (Art 9 Abs 3 CER-RL).

	Nach § 4 Abs 4 RKEG-Entwurf ist der Bundesminister für Inneres die zentrale Anlaufstelle.		Nach § 4 Abs 4 RKEG-Entwurf ist derdie Bundesministerin für Inneres die zentrale Anlaufstelle.

	=== Unterstützung (Art 10 CER-RL) ===		=== Unterstützung (Art 10 CER-RL) ===
Zeile 346:		Zeile 346:
	Zur '''Unterstützung''' der Kommission und zur Erleichterung der '''Zusammenarbeit''' zwischen den MS bzw den '''Informationsaustausch''' wird eine sog Gruppe für die Resilienz kritischer Einrichtungen eingesetzt (Art 19 Abs 1 CER-RL).		Zur '''Unterstützung''' der Kommission und zur Erleichterung der '''Zusammenarbeit''' zwischen den MS bzw den '''Informationsaustausch''' wird eine sog Gruppe für die Resilienz kritischer Einrichtungen eingesetzt (Art 19 Abs 1 CER-RL).

	Die Gruppe setzt sich aus '''~~Vertretern~~''' der MS und der '''Kommission''', ~~der~~ den Vorsitz führt, zusammen. Wenn es für die Erfüllung ihrer Aufgaben relevant ist, kann die Gruppe entsprechende '''Interessenvertreter''' zur Teilnahme einladen. Auf Ersuchen des Europäischen Parlaments können '''Sachverständige des Parlaments''' zur Teilnahme an den Sitzungen eingeladen werden (Art 19 Abs 2 CER-RL).		Die Gruppe setzt sich aus '''Vertreterinnen''' der MS und der '''Kommission''', deren Vertreterin den Vorsitz führt, zusammen. Wenn es für die Erfüllung ihrer Aufgaben relevant ist, kann die Gruppe entsprechende '''Interessenvertreter*innen''' zur Teilnahme einladen. Auf Ersuchen des Europäischen Parlaments können '''Sachverständige des Parlaments''' zur Teilnahme an den Sitzungen eingeladen werden (Art 19 Abs 2 CER-RL).

	Die Gruppe hat dabei eine Reihe von '''Aufgaben''' (Art 19 Abs 3 CER-RL):		Die Gruppe hat dabei eine Reihe von '''Aufgaben''' (Art 19 Abs 3 CER-RL):

Elisabeth Mayer: /* Zentrale Inhalte */

2025-02-06T16:25:53Z

Zentrale Inhalte

← Nächstältere Version		Version vom 27. November 2025, 22:19 Uhr
Zeile 69:		Zeile 69:
	ErwGr 20 stellt fest, dass Gefahren für die Sicherheit von Netz- und Informationssystemen unterschiedliche Ursachen haben können, weshalb in der CER-RL ein „gefahrenübergreifender“ Ansatz angewandt wird, der die Resilienz von Netz- und Informationssystemen sowie die physischen Komponenten und das physische Umfeld dieser Systeme umfasst.		ErwGr 20 stellt fest, dass Gefahren für die Sicherheit von Netz- und Informationssystemen unterschiedliche Ursachen haben können, weshalb in der CER-RL ein „gefahrenübergreifender“ Ansatz angewandt wird, der die Resilienz von Netz- und Informationssystemen sowie die physischen Komponenten und das physische Umfeld dieser Systeme umfasst.

	Das nationale Umsetzungsgesetz in Österreich, das '''Resilienz kritischer Einrichtungen-Gesetz (RKEG)''', wurde am '''24. September 2025''' vom Nationalrat '''beschlossen'''.		<mark>Das nationale Umsetzungsgesetz in Österreich, das '''Resilienz kritischer Einrichtungen-Gesetz (RKEG)''', wurde am '''24. September 2025''' vom Nationalrat '''beschlossen'''.</mark>

	== Anwendungsbereich == <!--T:8-->		== Anwendungsbereich == <!--T:8-->
Zeile 82:		Zeile 82:
	Das RKEG verweist bei der Definition des Anwendungsbereiches lapidar auf kritische Einrichtungen nach den im Anhang der CER-RL genannten Sektoren (§ 2 Abs 1 RKEG).		Das RKEG verweist bei der Definition des Anwendungsbereiches lapidar auf kritische Einrichtungen nach den im Anhang der CER-RL genannten Sektoren (§ 2 Abs 1 RKEG).

	In Österreich hat der Gesetzgeber von der Möglichkeit Gebrauch gemacht, Angelegenheiten, die unter die NIS-2-RL fallen, vom Geltungsbereich des RKEG auszuschließen (§ 2 Abs. 2 RKEG). Da die NIS-2-RL das Thema Cybersicherheit umfassend regelt, konzentriert sich das RKEG explizit auf den gefahrenübergreifenden ("All-Hazards") Ansatz der CER-RL, jedoch primär bezogen auf physische und nicht-cyberbezogene Risiken. Maßnahmen zur Sicherheit von Netz- und Informationssystemen, einschließlich des physischen Schutzes von IT-Räumen, fallen demnach ausschließlich unter das NIS-Regelungsregime (NISG 2024).		<mark>In Österreich hat der Gesetzgeber von der Möglichkeit Gebrauch gemacht, Angelegenheiten, die unter die NIS-2-RL fallen, vom Geltungsbereich des RKEG auszuschließen (§ 2 Abs. 2 RKEG). Da die NIS-2-RL das Thema Cybersicherheit umfassend regelt, konzentriert sich das RKEG explizit auf den gefahrenübergreifenden ("All-Hazards") Ansatz der CER-RL, jedoch primär bezogen auf physische und nicht-cyberbezogene Risiken. Maßnahmen zur Sicherheit von Netz- und Informationssystemen, einschließlich des physischen Schutzes von IT-Räumen, fallen demnach ausschließlich unter das NIS-Regelungsregime (NISG 2024).</mark>

	=== Zeitlicher Anwendungsbereich === <!--T:12-->		=== Zeitlicher Anwendungsbereich === <!--T:12-->
Zeile 306:		Zeile 306:
	Die Meldung muss folgende '''Fristen und Schritte''' einhalten:		Die Meldung muss folgende '''Fristen und Schritte''' einhalten:

	# Erstmeldung (Unverzüglich und spätestens 24 Stunden): Die Einrichtung muss unverzüglich, und in jedem Fall spätestens 24 Stunden nach Kenntnisnahme, eine Erstmeldung abgeben.		# <mark>Erstmeldung (Unverzüglich und spätestens 24 Stunden): Die Einrichtung muss unverzüglich, und in jedem Fall spätestens 24 Stunden nach Kenntnisnahme, eine Erstmeldung abgeben.</mark>
	# Folgemeldung (Spätestens 72 Stunden): Eine Folgemeldung ist spätestens 72 Stunden nach Kenntnisnahme abzugeben und muss die Ergebnisse der bisherigen Analyse sowie die eingeleiteten Abhilfemaßnahmen umfassen.		# <mark>Folgemeldung (Spätestens 72 Stunden): Eine Folgemeldung ist spätestens 72 Stunden nach Kenntnisnahme abzugeben und muss die Ergebnisse der bisherigen Analyse sowie die eingeleiteten Abhilfemaßnahmen umfassen.</mark>
	# Abschlussbericht (Spätestens 1 Monat): Ein Abschlussbericht ist spätestens einen Monat nach der vollständigen Behebung des Vorfalls oder nach dessen Beendigung vorzulegen.		# <mark>Abschlussbericht (Spätestens 1 Monat): Ein Abschlussbericht ist spätestens einen Monat nach der vollständigen Behebung des Vorfalls oder nach dessen Beendigung vorzulegen.</mark>

	<!--T:75-->		<!--T:75-->
Zeile 562:		Zeile 562:
	Werden Verpflichtungen durch Stellen der '''öffentlichen Verwaltung''' nicht eingehalten, ist die Nichteinhaltung mit Bescheid festzustellen sowie eine angemessene Frist zur Herstellung des rechtmäßigen Zustandes anzuordnen. Wird dieser Zustand nicht fristgerecht hergestellt, ist die Nichteinhaltung der Verpflichtungen in einer allgemeinen Weise zu veröffentlichen (§ 23 RKEG).		Werden Verpflichtungen durch Stellen der '''öffentlichen Verwaltung''' nicht eingehalten, ist die Nichteinhaltung mit Bescheid festzustellen sowie eine angemessene Frist zur Herstellung des rechtmäßigen Zustandes anzuordnen. Wird dieser Zustand nicht fristgerecht hergestellt, ist die Nichteinhaltung der Verpflichtungen in einer allgemeinen Weise zu veröffentlichen (§ 23 RKEG).

	In Österreich sieht das beschlossene '''RKEG''' für bestimmte Verstöße gegen die Pflichten (z. B. fehlende Risikoanalyse, unzureichende Resilienzmaßnahmen, Verletzung der Meldepflichten) '''Verwaltungsstrafen bis zu 500.000 Euro''' vor (vgl. § 22 RKEG).		<mark>In Österreich sieht das beschlossene '''RKEG''' für bestimmte Verstöße gegen die Pflichten (z. B. fehlende Risikoanalyse, unzureichende Resilienzmaßnahmen, Verletzung der Meldepflichten) '''Verwaltungsstrafen bis zu 500.000 Euro''' vor (vgl. § 22 RKEG).</mark>

	== Weiterführende Literatur & Links == <!--T:153-->		== Weiterführende Literatur & Links == <!--T:153-->

← Nächstältere Version		Version vom 6. Februar 2025, 16:25 Uhr
Zeile 113:		Zeile 113:
	Die MS haben diese Strategie (nach Konsultation) mindestens alle vier Jahre zu '''aktualisieren'''. Die Strategien und Aktualisierungen sind dabei innerhalb von drei Monaten nach Verabschiedung der Kommission '''mitzuteilen'''.		Die MS haben diese Strategie (nach Konsultation) mindestens alle vier Jahre zu '''aktualisieren'''. Die Strategien und Aktualisierungen sind dabei innerhalb von drei Monaten nach Verabschiedung der Kommission '''mitzuteilen'''.

	Nach § 9 RKEG-Entwurf wird diese Strategie ~~vom~~ Bundesminister für Inneres für die Bundesregierung vorbereitet und ist, wenn sie beschlossen ist, innerhalb von drei Monaten an den Nationalrat zu übermitteln.		Nach § 9 RKEG-Entwurf wird diese Strategie von demder Bundesministerin für Inneres für die Bundesregierung vorbereitet und ist, wenn sie beschlossen ist, innerhalb von drei Monaten an den Nationalrat zu übermitteln.

	==== Risikobewertung durch die MS (Art 5 CER-RL) ====		==== Risikobewertung durch die MS (Art 5 CER-RL) ====
Zeile 135:		Zeile 135:
	Innerhalb von drei Monaten nach Durchführung einer solchen Risikobewertung durch MS hat ein MS der Kommission entsprechende Informationen über die ermittelten Arten von Risiken und die Ergebnisse dieser Risikobewertungen zu '''übermitteln''', aufgeschlüsselt nach den im Anhang genannten Sektoren und Teilsektoren (Art 5 Abs 4 CER-RL).		Innerhalb von drei Monaten nach Durchführung einer solchen Risikobewertung durch MS hat ein MS der Kommission entsprechende Informationen über die ermittelten Arten von Risiken und die Ergebnisse dieser Risikobewertungen zu '''übermitteln''', aufgeschlüsselt nach den im Anhang genannten Sektoren und Teilsektoren (Art 5 Abs 4 CER-RL).

	Art 5 CER-RL wird dabei primär durch § 10 RKEG-Entwurf zur "'''Risikoanalyse'''<ref>"'Risikoanalyse' [ist] der gesamte Prozess zur Bestimmung der Art und des Ausmaßes eines Risikos, bei dem potenzielle Bedrohungen, Schwachstellen oder Gefahren für kritische Einrichtungen, die zu einem Sicherheitsvorfall führen können, ermittelt und analysiert und die durch den Sicherheitsvorfall verursachten potenziellen Verluste oder Störungen bei der Erbringung eines wesentlichen Dienstes samt Eintrittswahrscheinlichkeit bewertet werden; im Zuge dieser Risikoanalyse werden sämtliche aus natürlichen Ursachen herrührenden oder vom Menschen verursachten Risiken, die zu einem Sicherheitsvorfall führen können, berücksichtigt" (§ 3 Z 8 RKEG-Entwurf). </ref> durch den Bundesminister für Inneres" umgesetzt.		Art 5 CER-RL wird dabei primär durch § 10 RKEG-Entwurf zur "'''Risikoanalyse'''<ref>"'Risikoanalyse' [ist] der gesamte Prozess zur Bestimmung der Art und des Ausmaßes eines Risikos, bei dem potenzielle Bedrohungen, Schwachstellen oder Gefahren für kritische Einrichtungen, die zu einem Sicherheitsvorfall führen können, ermittelt und analysiert und die durch den Sicherheitsvorfall verursachten potenziellen Verluste oder Störungen bei der Erbringung eines wesentlichen Dienstes samt Eintrittswahrscheinlichkeit bewertet werden; im Zuge dieser Risikoanalyse werden sämtliche aus natürlichen Ursachen herrührenden oder vom Menschen verursachten Risiken, die zu einem Sicherheitsvorfall führen können, berücksichtigt" (§ 3 Z 8 RKEG-Entwurf). </ref> durch dendie Bundesministerin für Inneres umgesetzt.

	==== Ermittlung kritischer Einrichtungen (Art 6 CER-RL) ====		==== Ermittlung kritischer Einrichtungen (Art 6 CER-RL) ====
Zeile 150:		Zeile 150:
	Die Liste ist dabei mindestens alle vier Jahre zu überprüfen und gegebenenfalls zu aktualisieren (Art 6 Abs 5 CER-RL).		Die Liste ist dabei mindestens alle vier Jahre zu überprüfen und gegebenenfalls zu aktualisieren (Art 6 Abs 5 CER-RL).

	In Umsetzung bestimmt § 11 Abs 1 RKEG-Entwurf, dass der Bundesminister für Inneres in den im Anhang der CER-RL angeführten Kategorien von Einrichtungen der gelisteten Sektoren und Teilsektoren Einrichtungen bescheidmäßig als kritisch einzustufen hat, wenn		In Umsetzung bestimmt § 11 Abs 1 RKEG-Entwurf, dass derdie Bundesministerin für Inneres in den im Anhang der CER-RL angeführten Kategorien von Einrichtungen der gelisteten Sektoren und Teilsektoren Einrichtungen bescheidmäßig als kritisch einzustufen hat, wenn

	* sie im Inland tätig sind		* sie im Inland tätig sind
Zeile 166:		Zeile 166:
	Bei der Bestimmung des '''Ausmaßes einer Störung''' haben die MS die folgenden Kriterien zu berücksichtigen:		Bei der Bestimmung des '''Ausmaßes einer Störung''' haben die MS die folgenden Kriterien zu berücksichtigen:

	* die '''Zahl der Nutzer''', die den von der betreffenden Einrichtung erbrachten wesentlichen Dienst in Anspruch nehmen		* die '''Zahl der Nutzer*innen''', die den von der betreffenden Einrichtung erbrachten wesentlichen Dienst in Anspruch nehmen
	* das '''Ausmaß der Abhängigkeit''' anderer im Anhang festgelegten Sektoren und Teilsektoren von dem betreffenden wesentlichen Dienst		* das '''Ausmaß der Abhängigkeit''' anderer im Anhang festgelegten Sektoren und Teilsektoren von dem betreffenden wesentlichen Dienst
	* die '''möglichen Auswirkungen''' von Sicherheitsvorfällen — hinsichtlich Ausmaß und Dauer — auf wirtschaftliche und gesellschaftliche Tätigkeiten, die Umwelt, die öffentliche Ordnung und Sicherheit oder die Gesundheit der Bevölkerung		* die '''möglichen Auswirkungen''' von Sicherheitsvorfällen — hinsichtlich Ausmaß und Dauer — auf wirtschaftliche und gesellschaftliche Tätigkeiten, die Umwelt, die öffentliche Ordnung und Sicherheit oder die Gesundheit der Bevölkerung
Zeile 181:		Zeile 181:
	Abschließend haben die MS die oben genannten Informationen im '''Bedarfsfall''', mindestens jedoch alle vier Jahre, zu übermitteln.		Abschließend haben die MS die oben genannten Informationen im '''Bedarfsfall''', mindestens jedoch alle vier Jahre, zu übermitteln.

	Im Umsetzungsgesetz wird der Bundesminister für Inneres dazu verpflichtet, durch Verordnung nähere Regelungen zur Beurteilung festlegen, wann ein Sicherheitsvorfall die erhebliche Störung bei der Erbringung der wesentlichen Dienste bewirken würde (§ 11 Abs 2 RKEG-Entwurf).		Im Umsetzungsgesetz wird derdie Bundesministerin für Inneres dazu verpflichtet, durch Verordnung nähere Regelungen zur Beurteilung festlegen, wann ein Sicherheitsvorfall die erhebliche Störung bei der Erbringung der wesentlichen Dienste bewirken würde (§ 11 Abs 2 RKEG-Entwurf).

	=== Resilienz kritischer Einrichtungen ===		=== Resilienz kritischer Einrichtungen ===
Zeile 197:		Zeile 197:
	Sie hat dem Ausmaß der '''Abhängigkeit''' anderer im Anhang festgelegten Sektoren von dem wesentlichen Dienst, der von der kritischen Einrichtung erbracht wird, und dem Ausmaß der Abhängigkeit der kritischen Einrichtung von den wesentlichen Diensten, der von anderen Einrichtungen in anderen Sektoren erbracht wird, Rechnung zu tragen.		Sie hat dem Ausmaß der '''Abhängigkeit''' anderer im Anhang festgelegten Sektoren von dem wesentlichen Dienst, der von der kritischen Einrichtung erbracht wird, und dem Ausmaß der Abhängigkeit der kritischen Einrichtung von den wesentlichen Diensten, der von anderen Einrichtungen in anderen Sektoren erbracht wird, Rechnung zu tragen.

	Dieser Artikel wird durch § 14 RKEG-Entwurf in nationales Recht umgesetzt, wobei die Risikoanalyse an den Bundesminister für Inneres zu übermitteln ist.		Dieser Artikel wird durch § 14 RKEG-Entwurf in nationales Recht umgesetzt, wobei die Risikoanalyse an dendie Bundesministerin für Inneres zu übermitteln ist.

	==== Resilienzmaßnahmen kritischer Einrichtungen (Art 13 CER-RL) ====		==== Resilienzmaßnahmen kritischer Einrichtungen (Art 13 CER-RL) ====
Zeile 214:		Zeile 214:
	Die kritischen Einrichtungen müssen dabei über einen '''Resilienzplan''' oder ein gleichwertiges Dokument, in dem diese Maßnahmen beschrieben werden, verfügen und diesen anwenden (Art 13 Abs 2 CER-RL).		Die kritischen Einrichtungen müssen dabei über einen '''Resilienzplan''' oder ein gleichwertiges Dokument, in dem diese Maßnahmen beschrieben werden, verfügen und diesen anwenden (Art 13 Abs 2 CER-RL).

	Als Ansprechpartner für die Behörden müssen die kritischen Einrichtungen auch ~~einen~~ '''~~Verbindungsbeauftragten~~''' oder eine Person mit vergleichbarer Aufgabenstellung benennen (Art 13 Abs 3 CER-RL).		Als Ansprechpartnerin für die Behörden müssen die kritischen Einrichtungen auch einen '''Verbindungsbeauftragte*n''' oder eine Person mit vergleichbarer Aufgabenstellung benennen (Art 13 Abs 3 CER-RL).

	Auf Ersuchen des MS und mit Zustimmung der kritischen Einrichtung kann die Kommission auch Beratungsmissionen (Art 18 CER-RL) organisieren, um die kritische Einrichtung im Hinblick auf die Erfüllung ihrer Verpflichtungen zu beraten (Art 13 Abs 4 CER-RL).		Auf Ersuchen des MS und mit Zustimmung der kritischen Einrichtung kann die Kommission auch Beratungsmissionen (Art 18 CER-RL) organisieren, um die kritische Einrichtung im Hinblick auf die Erfüllung ihrer Verpflichtungen zu beraten (Art 13 Abs 4 CER-RL).
Zeile 231:		Zeile 231:
	Die Zuverlässigkeitsprüfungen müssen sich dabei mindestens der '''Identität der Person''', die einer Prüfung unterzogen wird, vergewissern und eine '''Strafregisterprüfung''' der Person in Bezug auf Straftaten, die für eine spezifische Position relevant sind, enthalten (Art 14 Abs 3 CER-RL).		Die Zuverlässigkeitsprüfungen müssen sich dabei mindestens der '''Identität der Person''', die einer Prüfung unterzogen wird, vergewissern und eine '''Strafregisterprüfung''' der Person in Bezug auf Straftaten, die für eine spezifische Position relevant sind, enthalten (Art 14 Abs 3 CER-RL).

	Diese Bestimmung wird durch § 16 RKEG-Entwurf umgesetzt, der insbesondere die dafür notwendige Datenverarbeitung ausführlich konkretisiert (§ 16 Abs 2, 3 RKEG-Entwurf). Auch werden weitere Aspekte, die bei der Überprüfung zu berücksichtigen sind konkretisiert, bspw ob eine rechtkräftige Verurteilung für eine mit Vorsatz begangene gerichtliche strafbare Handlung vorliegt, ein Strafverfahren anhängig ist, gegen die Person ein Waffenverbot vorliegt oder ob die Person ein Naheverhältnis zu einer extremistischen oder terroristischen Gruppierung hat (§ 16 Abs 5 RKEG-Entwurf).		Diese Bestimmung wird durch § 16 RKEG-Entwurf umgesetzt, der insbesondere die dafür notwendige Datenverarbeitung ausführlich konkretisiert (§ 16 Abs 2, 3 RKEG-Entwurf). Auch werden weitere Aspekte, die bei der Überprüfung zu berücksichtigen sind konkretisiert, bspw ob eine rechtkräftige Verurteilung für eine mit Vorsatz begangene gerichtliche strafbare Handlung vorliegt, ein Strafverfahren anhängig ist, gegen die Person ein Waffenverbot vorliegt oder ob die Person ein Naheverhältnis zu einer extremistischen oder terroristischen Gruppierung hat (§ 16 Abs 5 RKEG-Entwurf).

	==== Meldung von Sicherheitsvorfällen (Art 15 CER-RL) ====		==== Meldung von Sicherheitsvorfällen (Art 15 CER-RL) ====
Zeile 240:		Zeile 240:
	Die Erheblichkeit einer Störung wird dabei ua anhand der folgenden Parameter bestimmt:		Die Erheblichkeit einer Störung wird dabei ua anhand der folgenden Parameter bestimmt:

	* die Anzahl und der Anteil der von der Störung betroffenen '''Nutzer'''		* die Anzahl und der Anteil der von der Störung betroffenen '''Nutzer*innen'''
	* die '''Dauer''' der Störung		* die '''Dauer''' der Störung
	* das betroffene geographische '''Gebiet'''		* das betroffene geographische '''Gebiet'''