Informationssicherheitsverordnung

Seite

2

von

2

Seite

1

von

1

Kurztitel

Informationssicherheitsverordnung

Kundmachungsorgan

BGBl. II Nr. 548/2003 zuletzt geändert durch BGBl. II Nr. 268/2022

Typ

V

§/Artikel/Anlage

§ 0

Inkrafttretensdatum

07.07.2022

Abkürzung

InfoSiV

Index

10/10 Grundrechte, Datenschutz, Auskunftspflicht

Langtitel

Verordnung der Bundesregierung über die Informationssicherheit (Informationssicherheitsverordnung, InfoSiV)

StF: BGBl. II Nr. 548/2003

Änderung

BGBl. II Nr. 67/2012

BGBl. II Nr. 131/2018

BGBl. II Nr. 268/2022

BGBl. II Nr. 169/2025

Präambel/Promulgationsklausel

Auf Grund des § 6 des Informationssicherheitsgesetzes, InfoSiG, BGBl. I Nr. 23/2002, wird verordnet

Inhaltsverzeichnis

§ 1.

Geltungsbereich

§ 2.

Klassifizierte Informationen

§ 3.

Klassifizierungsstufen

§ 4.

Informationssicherheitsbeauftragte

§ 5.

Zugang zu klassifizierten Informationen

§ 6.

Unterweisung

§ 7.

Übermittlung klassifizierter Informationen

§ 8.

Kennzeichnung

§ 9.

Elektronische Verarbeitung und Übermittlung klassifizierter Informationen

§ 10.

Dienstpflichten

§ 11.

Administrative Behandlung

§ 12.

Registrierung von klassifizierten Informationen

§ 13.

Verwahrung von klassifizierten Informationen

§ 14.

Kopien und Übersetzungen

§ 15.

Vernichtung von klassifizierten Informationen

§ 16.

Maßnahmen zum Schutz des Austausches klassifizierter Informationen für Galileo PRS

§ 17.

Kontrolle

§ 18.

Inkrafttreten

Anmerkung

Zu dieser Rechtsvorschrift ist eine englische Übersetzung in der Applikation "Austrian Laws" vorhanden

Information Security Ordinance

Schlagworte

e-rk3

Zuletzt aktualisiert am

08.09.2025

Gesetzesnummer

20003054

Dokumentnummer

NOR40245335

Evidenzliste

Dokumentenname

Geschäftszahl (Fremdzahl)

Ausfertigungsnummer

Datum

Seitenumfang

Klassifizierungsstufe

Urheber

Eingang

……………….. …………………

Datum Unterschrift

Eigene Geschäftszahl

Übermittlung an

……………….. …………………

Datum Unterschrift

oder Beilage der Empfangsbestätigung

Vernichtung

……………….. …………………

Datum Unterschrift

§ 1. Diese Verordnung gilt für die Dienststellen des Bundes mit Ausnahme der in § 1 Abs. 2 InfoSiG genannten Organe und Einrichtungen.

/Dokumente/Bundesnormen/NOR40046625/image001.png

§ 2. (1) Klassifizierte Informationen im Sinne dieser Verordnung sind mit einem Klassifizierungsvermerk versehene Informationen und Materialien sowie Nachrichten, unabhängig von Darstellungsform und Datenträger, die aus den in § 2 Abs. 1 und 2 InfoSiG genannten Gründen eines besonderen Schutzes gegen Kenntnisnahme und Zugriff durch Unbefugte bedürfen.

(2) Klassifizierte Informationen können insbesondere sein

/Dokumente/Bundesnormen/NOR40046626/image001.png

§ 3. (1) Klassifizierte Informationen sind zu qualifizieren als

(2) Die Klassifizierung, Deklassifizierung sowie die Herabstufung einer Information erfolgt durch ihren Urheber. Die Deklassifizierung ist schriftlich festzuhalten. Empfänger einer klassifizierten Information sind von der Deklassifizierung zu informieren.

/Dokumente/Bundesnormen/NOR40046627/image001.png

§ 4. (1) Als Informationssicherheitsbeauftragte und deren Stellvertreter dürfen ausschließlich Personen bestellt werden, die einer für die höchste im Ressortbereich angewendeten Klassifizierungsstufe erforderlichen Überprüfung gemäß § 3 Abs. 1 InfoSiG unterzogen wurden.

(2) Die Informationssicherheitsbeauftragten haben die Aufgabe, dafür Sorge zu tragen, dass in ihrem Wirkungsbereich

/Dokumente/Bundesnormen/NOR40046628/image001.png

§ 5. (1) Der Zugang zu klassifizierten Informationen darf nur unter den Voraussetzungen des § 3 InfoSiG gewährt werden, wobei über die Personen, die tatsächlich Zugang zu Informationen der Klassifizierungsstufen VERTRAULICH, GEHEIM und STRENG GEHEIM erhalten haben, über den Zeitpunkt des Zuganges und über die Bezeichnung der Information entsprechende Aufzeichnungen zu führen sind (Muster: Anlage 1).

(2) Einem Bediensteten des Bundes darf der Zugang nur gewährt werden, wenn

(3) Sonstigen Personen darf der Zugang nur gewährt werden, wenn

(4) In jedem Ressortbereich ist durch geeignete innerorganisatorische Maßnahmen sicherzustellen, dass der Zugang zu klassifizierten Informationen für Bedienstete nur im Rahmen der Erfüllung ihrer dienstlichen Aufgaben, nach nachweislicher Unterweisung und soweit vorgesehen nach Abschluss einer Sicherheitsüberprüfung bzw. Verlässlichkeitsprüfung möglich ist. Dies gilt sinngemäß auch für den Zugang sonstiger Personen.

(5) Ein Bediensteter des Bundes darf den Zugang zu klassifizierten Informationen nur dann suchen, wenn er sich vergewissert hat, dass die Voraussetzungen nach Abs. 2 gegeben sind.

§ 6. (1) Die Unterweisung nach § 5 Abs. 4 hat jedenfalls über das InfoSiG, diese Verordnung, die jeweils gültigen völkerrechtlichen und unionsrechtlichen Verpflichtungen, allfällige schriftlich erlassene Durchführungsregelungen des Ressorts sowie über die Geheimhaltungspflichten und Sanktionen bei Verstößen gegen diese zu erfolgen.

(2) Die Unterweisung dient der Sensibilisierung für Bedrohungen der Sicherheit von klassifizierten Informationen und soll sicherstellen, dass die vorgesehenen Sicherheitsstandards eingehalten und alle Sicherheitsverletzungen, selbst ein Verdacht auf solche, gemeldet werden. Sie hat vor der Eröffnung des Zugangs zu klassifizierten Informationen zu erfolgen und ist regelmäßig zu wiederholen. Der Nachweis der Unterweisung ist schriftlich festzuhalten (Muster: Anlage 2).

§ 7. (1) Vor der Übermittlung von klassifizierten Informationen ist durch Prüfung im Einzelfall oder durch Einhaltung der hiefür vorgesehenen generellen Regelungen sicherzustellen, dass beim Empfänger die Voraussetzungen des InfoSiG und dieser Verordnung gegeben sind.

(2) Im Rahmen der Amtshilfe dürfen klassifizierte Informationen nur übermittelt werden, wenn das ersuchende Organ dies ausdrücklich begehrt und belegt, dass es den erforderlichen Schutzstandard und die vom Gesetz und von der Verordnung verlangten personellen Voraussetzungen zu gewährleisten vermag. Der Informationssicherheitsbeauftragte ist von der beabsichtigten Weitergabe in Kenntnis zu setzen.

(3) Dokumente der Klassifizierungsstufe EINGESCHRÄNKT sind im verschlossenen Kuvert und Dokumente der Klassifizierungsstufe VERTRAULICH oder höher in einem doppelten undurchsichtigen verschlossenen Kuvert zu übermitteln, wobei nur am inneren Kuvert die Klassifizierungsstufe einschließlich der Anschrift des Empfängers anzugeben und eine Empfangsbestätigung beizulegen ist (Muster: Anlage 3). Vermerke am äußeren Kuvert dürfen nicht auf den Inhalt schließen lassen.

(4) Für die Übermittlung von klassifizierten Informationen der Stufe STRENG GEHEIM ist die schriftliche Zustimmung des Urhebers erforderlich.

(5) Die Übermittlung von klassifizierten Informationen an Drittstaaten oder internationale Organisationen sowie an einen in einem Drittstaat niedergelassenen Auftragnehmer ist nur mit vorheriger schriftlicher Zustimmung des Urhebers erlaubt, sofern nicht völkerrechtliche oder unionsrechtliche Verpflichtungen die Weitergabe ohne eine solche Zustimmung vorsehen.

(6) Klassifizierte Informationen sind auf folgende Arten zu übermitteln

§ 8. (1) Klassifizierte Informationen sind eindeutig und gut erkennbar durch die in § 3 oder in völkerrechtlichen oder unionsrechtlichen Regelungen festgelegten Kennzeichnungen kenntlich zu machen.

(2) Bei Informationen in Papierform sind das Datum, die Geschäftszahl, der Urheber und auf jeder Seite die Kennzeichnung oben und unten und eine Seitennummerierung anzubringen. Falls erforderlich können weiters angebracht werden

(3) Bei Informationen in elektronischer Form ist der Dateiname mit der betreffenden Klassifizierungsstufe zu versehen.

(4) Auf der ersten Seite von Dokumenten der Klassifizierungsstufe VERTRAULICH oder höher sind alle Anhänge und Anlagen aufzulisten.

§ 9. (1) Die Verarbeitung von klassifizierten Informationen in Informations- und Kommunikationssystemen bedarf besonderer Sicherungsmaßnahmen, die abhängig sind von

(2) Informationen ab der Klassifizierungsstufe VERTRAULICH dürfen auf allen Informations- und Kommunikationssystemen verarbeitet werden, sofern eine Akkreditierung durch die Informationssicherheitskommission vorliegt. Die spezifischen Voraussetzungen (Anforderungen sowie Maßstab und Grad der Detaillierung) sind dabei in Abstimmung mit der Informationssicherheitskommission festzulegen. Für Informations- und Kommunikationssysteme, die Informationen der Klassifizierungsstufe EINGESCHRÄNKT verarbeiten, sind je nach Art und Umfang des Systems (Risikostufe bzw. Komplexität und Vernetzung) die Vorgaben der Informationssicherheitskommission zu beachten. In jedem Fall sind Maßnahmen zur Identifizierung und Protokollierung von Zugriffen vorzusehen. Bei Informations- und Kommunikationssystemen, die der Erfüllung von Aufgaben des Bundesheeres gemäß Art. 79 Abs. 1 B-VG dienen, nimmt diese Aufgaben die vom Bundesminister für Landesverteidigung und Sport für seinen Wirkungsbereich bestimmte Zertifizierungsstelle wahr.

(3) Informationen ab der Klassifizierungsstufe VERTRAULICH, die auf elektronischen Geräten verarbeitet werden, sind so zu schützen, dass von den Informationen über elektromagnetische Abstrahlung nicht unbefugt Kenntnis erlangt werden kann (TEMPEST-Sicherheitsvorkehrungen).

(4) Bei der Übermittlung von klassifizierten Informationen auf elektronischem Wege sind besondere Schutzvorkehrungen, insbesondere die der jeweiligen Klassifizierungsstufe entsprechende Verschlüsselung, sowie die Vorgaben der Informationssicherheitskommission zu beachten. Ungeachtet dieser Anforderung können in Notsituationen spezielle Verfahren oder spezielle technische Konfigurationen nach Maßgabe der Informationssicherheitskommission angewendet werden. Die Übermittlung von klassifizierten Informationen ab der Klassifizierungsstufe VERTRAULICH ist gemäß den Vorgaben der Informationssicherheitskommission unter Einsatz qualifizierter Signatur bzw. bei automatischer Übermittlung mit technisch gleichwertigen Sicherheitsanforderungen zu protokollieren.

(5) Die Zusammenschaltung eines Informations- und Kommunikationssystems, in dem klassifizierte Informationen verarbeitet werden, mit anderen Systemen bedarf entsprechender Schutzmaßnahmen.

§ 10. (1) Die jeweiligen Dienstvorgesetzten haben die Pflicht, sich Kenntnis darüber zu verschaffen, welche Mitarbeiter Zugang zu klassifizierten Informationen haben. Sie haben weiters dafür Sorge zu tragen, dass dieser Zugang nur unter den Voraussetzungen der bezughabenden Vorschriften erfolgt.

(2) Personen, denen Zugang zu klassifizierten Informationen gewährt wird, sind zur Verschwiegenheit über die ihnen dadurch zur Kenntnis gelangten Informationen und zur Einhaltung der vorgesehenen Schutzstandards verpflichtet. Sie sind insbesondere dazu verpflichtet, jeden Verdacht einer Spionagetätigkeit und ungewöhnliche Umstände im Zusammenhang mit der Sicherheit von Informationen umgehend dem Informationssicherheitsbeauftragten zu melden. Andere gesetzliche Meldepflichten bleiben unberührt.

(3) Der Verlust von klassifizierten Informationen ist unverzüglich dem Dienststellenleiter und dem Informationssicherheitsbeauftragten zu melden. Diese haben alle erforderlichen Maßnahmen zur Auffindung der Informationen, Vermeidung allfälliger weiterer Nachteile und Aufklärung des Vorfalls zu treffen. Diese Maßnahmen sind in geeigneter Weise festzuhalten. Vom Verlust ist auch jene Stelle zu verständigen, von der diese Information stammt.

§ 11. (1) Klassifizierte Geschäftsstücke der Klassifizierungsstufen VERTRAULICH, GEHEIM und STRENG GEHEIM sind in einem hiefür vorgesehenen Register (Muster: Anlage 1) zu verbuchen. Dabei ist jedes Geschäftsstück mit einer eigenen Geschäftszahl zu versehen, der Name des Dokuments, die Ausfertigungsnummer, sein Datum und die jeweilige Klassifizierungsstufe anzugeben.

(2) Die auf klassifizierte Systeme bezogenen Verwaltungssysteme sind in geeigneter Weise gegen unbefugten Zugriff und Verlust zu schützen.

§ 12. (1) Der Eingang und Ausgang jedes als VERTRAULICH oder höher klassifizierten Dokuments ist zu registrieren, wobei im Register neben den Angaben gemäß § 11 Abs. 1 der Urheber, der Zeitpunkt des Einlangens, der Zeitpunkt der Übermittlung und die Verwaltungseinheit festzuhalten sind (Muster: Anlage 1). Jede Phase des Umlaufs der klassifizierten Informationen ist in geeigneter Weise aufzuzeichnen.

(2) Registerbücher für die Klassifizierungsstufen VERTRAULICH und GEHEIM sind zumindest mit der Klassifizierungsstufe EINGESCHRÄNKT, Registerbücher für die Klassifizierungsstufe STRENG GEHEIM mit der Klassifizierungsstufe GEHEIM zu versehen.

(3) Abs. 1 und 2 sind sinngemäß auch bei elektronischer Registrierung zu erfüllen.

§ 13. (1) Informationen sind der jeweiligen Klassifizierungsstufe entsprechend in den Diensträumen gesichert zu verwahren und dürfen nur bei unabdingbaren dienstlichen Notwendigkeiten aus diesen verbracht werden.

(2) Zum physischen Schutz klassifizierter Informationen sind folgende entsprechend abgesicherte Bereiche einzurichten

(3) Die Auswahl geeigneter Maßnahmen zur physischen Absicherung der Räumlichkeiten erfolgt auf der Grundlage einer Einschätzung der Bedrohungslage durch die zuständigen Behörden, wobei Verwaltungsbereiche und besonders geschützte Bereiche zu unterscheiden sind. Derartige Maßnahmen oder eine Kombination von diesen können sein

(4) Informationen gemäß § 2 Abs. 2 Z 1, 2 und 4 aller Klassifizierungsstufen sind in versperrten Behältnissen zu verwahren. Dabei sind für die Klassifizierungsstufe EINGESCHRÄNKT Büromöbel, für VERTRAULICH, GEHEIM bzw. STRENG GEHEIM Wertbehältnisse entsprechend der Zuordnung durch die Informationssicherheitskommission zu verwenden.

(5) Für Verwaltungsbereiche und besonders geschützte Bereiche sind entsprechende Dienstanweisungen festzulegen.

(6) Verfahren über die Verwaltung der Schlüssel und Codes sind vom zuständigen Informationssicherheitsbeauftragten festzulegen. Diese Verfahren müssen Schutz vor unbefugtem Zugang gewähren.

§ 14. (1) Werden Kopien und/oder Übersetzungen von Dokumenten der Klassifizierungsstufe VERTRAULICH, GEHEIM oder STRENG GEHEIM angefertigt, so ist dies in geeigneter Weise festzuhalten. Jede Kopie ist durch einen geeigneten Zusatz, der auf jeder Seite zu vermerken ist, zu individualisieren. Die Anfertigung von Kopien und Übersetzungen von Informationen der Klassifizierungsstufe STRENG GEHEIM durch Empfänger ist nur mit vorheriger schriftlicher Zustimmung des Urhebers erlaubt. Kopien dürfen ausschließlich unter der unmittelbaren Verantwortung des jeweiligen Leiters der Organisationseinheit und unter Kennzeichnung als Kopie angefertigt werden.

(2) Dokumente der Klassifizierungsstufe VERTRAULICH, GEHEIM oder STRENG GEHEIM dürfen nur von solchen Personen kopiert, abgeschrieben, übersetzt, gescannt, archiviert oder verarbeitet werden, die die Voraussetzungen des § 5 Abs. 2 erfüllen.

§ 15. (1) Der Bestand an klassifizierten Informationen ist möglichst gering zu halten. Werden Informationen nicht mehr benötigt, sind sie mittels geeigneter Verfahren unter Beachtung internationaler und nationaler Vorgaben zu vernichten. Registrierungspflichtige Dokumente werden von der zuständigen Registratur auf Anweisung des Leiters der aufbewahrenden Stelle vernichtet und die Registrierungsinformationen entsprechend aktualisiert. Die Vernichtung von Informationen der Klassifizierungsstufen GEHEIM oder höher hat unter Anwesenheit eines Zeugen zu erfolgen, der über eine Sicherheitsüberprüfung oder Verlässlichkeitsprüfung der entsprechenden Klassifizierungsstufe verfügen muss, und ist im Protokoll durch Unterschrift festzuhalten (Muster: Anlage 5). Die Vernichtung von Datenträgern hat nach den von der Informationssicherheitskommission genehmigten Verfahren zu erfolgen.

(2) Der Leiter der aufbewahrenden Stelle einer Information hat festzulegen, wann eine klassifizierte Information zu vernichten ist. Erfolgt keine Festlegung, so ist die Information nach sieben Jahren zu skartieren.

§ 16. (1) In Österreich nimmt die Agenden der Galileo Public Regulated Service Behörde (PRS Behörde) gemäß Beschluss 1104/2011/EU über die Regelung des Zugangs zum öffentlichen regulierten Dienst, der von dem weltweiten Satellitennavigationssystem bereitgestellt wird, das durch das Programm Galileo eingerichtet wurde, ABl. Nr. L 287 vom 04.11.2011 S. 1, das Bundeskanzleramt wahr.

(2) Die gemäß § 8 InfoSiG beim Bundeskanzleramt eingerichtete Informationssicherheitskommission ist über alle Belange, die die Informationssicherheit in diesem Zusammenhang betreffen, regelmäßig zu informieren und zu hören.

§ 17. Das System der Informationssicherheit ist durch den jeweiligen Informationssicherheitsbeauftragten einmal jährlich nachweislich zu überprüfen oder überprüfen zu lassen. Dabei ist insbesondere die Vollständigkeit der Aufzeichnungen, die Sicherheit der Behältnisse, das Schlüsselsystem und die Sicherungsmaßnahmen von Kommunikations- und Informationssystemen einer Überprüfung zu unterziehen. Liegen Informationen der Klassifizierungsstufe GEHEIM oder STRENG GEHEIM vor, so ist eine vollständige Überprüfung der Vorgänge des abgelaufenen Jahres vorzunehmen.

§ 18. (1) § 16 in der Fassung BGBl. II Nr. 268/2022, tritt mit Ablauf des Tages der Kundmachung im Bundesgesetzblatt in Kraft.

(2) § 3 in der Fassung des Bundesgesetzes (Anm.: offensichtlich gemeint: der Verordnung) BGBl. II Nr. 169/2025 tritt mit 1. September 2025 in Kraft.