Netz- und Informationssystemsicherheitsverordnung

Netz- und Informationssystemsicherheitsverordnung

Sicherheitsmaßnahmen

1.

Governance und Risikomanagement

1.1

Risikoanalyse

Eine Risikoanalyse der Netz- und Informationssysteme ist durchzuführen. Dabei sind spezifische Risiken auf Grundlage einer Analyse der betrieblichen Auswirkungen von Sicherheitsvorfällen zu ermitteln und hinsichtlich der hohen Bedeutung des Betreibers wesentlicher Dienste für das Funktionieren des Gemeinwesens zu bewerten.

1.2

Sicherheitsrichtlinie

Eine Sicherheitsrichtlinie ist zu erstellen und periodisch zu aktualisieren.

1.3

Überprüfungsplan der Netz- und Informationssysteme

Die Durchführung der periodischen Überprüfung der Netz- und Informationssystemsicherheit ist zu planen und festzulegen.

1.4

Ressourcenmanagement

Alle Ressourcen, die erforderlich sind, um die Funktionsfähigkeit der Netz- und Informationssysteme zu gewährleisten, sind im Hinblick auf kurz-, mittel- und langfristige Kapazitätsanforderungen einzuplanen und sicherzustellen.

1.5

Informationssicherheitsmanagementsystemprüfung

Die periodische Überprüfung des Informationssicherheitsmanagementsystems ist festzulegen und durchzuführen.

1.6

Personalwesen

Sicherheitsrelevante Aspekte sind in den Prozessen des Personalwesens zu berücksichtigen und umzusetzen.

2.

Umgang mit Dienstleistern, Lieferanten und Dritten

2.1

Beziehungen mit Dienstleistern, Lieferanten und Dritten

Anforderungen an Dienstleistern, Lieferanten und Dritte für den Betrieb von, einen sicheren Zugang zu und Zugriff auf Netz- und Informationssysteme sind festzulegen und periodisch zu überprüfen.

2.2

Leistungsvereinbarungen mit Dienstleistern und Lieferanten

Die Leistungsvereinbarungen mit Dienstleistern und Lieferanten sind periodisch zu überprüfen und zu überwachen.

3.

Sicherheitsarchitektur

3.1

Systemkonfiguration

Netz- und Informationssysteme sind sicher zu konfigurieren. Diese Konfiguratoin ist strukturiert zu dokumentieren. Die Dokumentation ist aktuell zu halten.

3.2

Vermögenswerte

Vermögenswerte, die im Zusammenhang mit Netz- und Informationssystemen stehen, sind strukturiert zu analysieren und zu dokumentieren.

3.3

Netzwerksegmentierung

Eine Segmentierung der Netzwerke ist innerhalb der Netz- und Informationssysteme abhängig vom Schutzbedarf vorzunehmen.

3.4

Netzwerksicherheit

Die Sicherheit innerhalb der Netzwerksegmente und der Schnittstellen zwischen den Netzwerksegmenten ist zu gewährleisten.

3.5

Kryptographie

Vertraulichkeit, Authentizität und Integrität von Informationen sind durch den angemessenen und wirksamen Einsatz kryptographischer Verfahren und Technologien sicherzustellen.

4.

Systemadministration

4.1

Administrative Zugangsrechte

Administrative Zugangsrechte sind eingeschränkt nach dem Minimalrechtsprinzip zuzuweisen. Diese Zuweisungen sind periodisch zu überprüfen und gegebenenfalls anzupassen.

4.2

Systeme und Anwendungen zur Systemadministration

Systeme und Anwendungen zur Systemadministration sind ausschließlich für Tätigkeiten zum Zweck der Systemadministration zu verwenden. Die Sicherheit dieser Systeme und Anwendungen ist zu gewährleisten.

5.

Identitäts- und Zugriffsmanagement

5.1

Identifikation und Authentifikation

Es sind Verfahren umzusetzen und Technologien einzusetzen, die die Identifikation und Authentifikation von Benutzern und Diensten gewährleisten.

5.2

Autorisierung

Es sind Verfahren umzusetzen und Technologien einzusetzen, die unautorisierte Zugriffe auf Netz- und Informationssysteme unterbinden.

6.

Systemwartung und Betrieb

6.1

Systemwartung und Betrieb

Abläufe und Vorgänge zur Gewährleistung eines sicheren Systembetriebs von Netz- und Informationssystemen sind einzuführen und periodisch zu überprüfen.

6.2

Fernzugriff

Fernzugriff ist eingeschränkt nach dem Minimalrechtsprinzip und zeitlich beschränkt zu vergeben. Die Fernzugriffsrechte sind periodisch zu überprüfen und gegebenenfalls anzupassen. Die Sicherheit des Fernzugriffs ist zu gewährleisten.

7.

Physische Sicherheit

7.1

Physische Sicherheit

Der physische Schutz der Netz- und Informationssysteme, insbesondere der physische Schutz vor unbefugtem Zutritt und Zugang, ist zu gewährleisten.

8.

Erkennung von Vorfällen

8.1

Erkennung

Mechanismen zur Erkennung und Bewertung von Vorfällen sind umzusetzen.

8.2

Protokollierung und Monitoring

Mechanismen zu Protokollierung und Monitoring, insbesondere von für die Erbringung des wesentlichen Dienstes essentiellen Tätigkeiten und Vorgängen, sind umzusetzen.

8.3

Korrelation und Analyse

Mechanismen zur Erkennung und adäquaten Bewertung von Vorfällen durch die Korrelation und Analyse der ermittelten Protokolldaten sind umzusetzen.

9.

Bewältigung von Vorfällen

9.1

Vorfallsreaktion

Prozesse zur Reaktion auf Vorfälle sind zu erstellen, aufrechtzuerhalten und zu erproben.

9.2

Vorfallsmeldung

Prozesse zur internen und externen Meldung von Vorfällen sind zu erstellen, aufrechtzuerhalten und zu erproben.

9.3

Vorfallsanalyse

Prozesse zur Analyse und Bewertung von Vorfällen und zur Sammlung relevanter Informationen sind zu erstellen, aufrechtzuerhalten und zu erproben, um den kontinuierlichen Verbesserungsprozess zu fördern.

10.

Betriebskontinuität

10.1

Betriebskontinuitätsmanagement

Die Wiederherstellung der Erbringung des wesentlichen Dienstes auf einem zuvor festgelegten Qualitätsniveau nach einem Sicherheitsvorfall ist zu gewährleisten.

10.2

Notfallmanagement

Notfallpläne sind zu erstellen, anzuwenden, regelmäßig zu bewerten und zu erproben.

11.

Krisenmanagement

11.1

Krisenmanagement

Rahmenbedingungen und Prozessabläufe des Krisenmanagements sind für die Aufrechterhaltung des wesentlichen Dienstes vor und während eines Sicherheitsvorfalls zu definieren, umzusetzen und zu erproben.

§ 1. Gegenstand dieser Verordnung ist die Festlegung

§ 2. Im Sinne dieser Verordnung bedeutet

§ 3. Im Sinne dieser Verordnung bedeutet

§ 4. (1) Wegen ihrer Bedeutung für die Aufrechterhaltung der öffentlichen Versorgung mit Energie im Sinne des § 16 Abs. 2 NISG sind im Sektor Energie wesentliche Dienste

(2)Im Sektor Energie liegt ein Sicherheitsvorfall im Sinne des § 3 Z 6 NISG vor, wenn

(3)Unbeschadet der Begriffsbestimmungen in § 2 gelten

§ 5. (1) Wegen ihrer Bedeutung für die Aufrechterhaltung des öffentlichen Verkehrs im Sinne des § 16 Abs. 2 NISG sind im Sektor Verkehr wesentliche Dienste

(2)Im Sektor Verkehr liegt ein Sicherheitsvorfall im Sinne des § 3 Z 6 NISG vor, wenn

(3)Unbeschadet der Begriffsbestimmungen in § 2 gelten

§ 6. (1) Wegen ihrer Bedeutung für die Aufrechterhaltung des Zahlungsverkehrs im Sinne des § 16 Abs. 2 NISG sind im Sektor Bankwesen wesentliche Dienste

(2)Im Sektor Bankwesen liegt ein Sicherheitsvorfall im Sinne des § 3 Z 6 NISG vor, wenn

(3)Im Sektor Bankwesen bestehen für Betreiber eines wesentlichen Dienstes im Sinne des Abs. 1 Z 1 bis 4 zu Sicherheitsvorkehrungen in § 85 des Zahlungsdienstegesetzes 2018 (ZaDiG 2018), BGBl. I Nr. 17/2018, und zur Meldepflicht in § 86 ZaDiG 2018 Vorschriften, die zumindest ein gleichwertiges Sicherheitsniveau für Netz- und Informationssysteme gemäß § 20 NISG gewährleisten.

(4) Als Betreiber wesentlicher Dienste im Sinne des Abs. 1 können nur CRR-Kreditinstitute, übergeordnete Kreditinstitute oder Zentralorganisationen von Kreditinstitute-Verbünden im Sinne des Bankwesengesetzes (BWG), BGBl. Nr. 532/1993, ermittelt werden, deren Gesamtwert der Aktiva 30 Milliarden Euro übersteigt. Bei übergeordneten Kreditinstituten ist der Gesamtwert der Aktiva der Kreditinstitutsgruppe gemäß § 30 BWG, bei Zentralorganisationen der Gesamtwert der Aktiva des Kreditinstitute-Verbunds gemäß § 30a BWG zu berücksichtigen.

§ 7. (1) Wegen ihrer Bedeutung für die Aufrechterhaltung des Handelsplatzes sind im Sektor Finanzmarktinfrastrukturen wesentliche Dienste im Sinne des § 16 Abs. 2 NISG

(2)Im Sektor Finanzmarktinfrastrukturen liegt ein Sicherheitsvorfall im Sinne des § 3 Z 6 NISG vor, wenn

(3)Im Sektor Finanzmarktinfrastrukturen bestehen für Einrichtungen, die einen wesentlichen Dienst erbringen im Sinne des

§ 8. (1) Wegen ihrer Bedeutung für die Aufrechterhaltung des öffentlichen Gesundheitsdienstes im Sinne des § 16 Abs. 2 NISG sind im Sektor Gesundheitswesen wesentliche Dienste

(2) Im Sektor Gesundheit liegt ein Sicherheitsvorfall im Sinne des § 3 Z 6 NISG vor, wenn

(3) Zur Sicherstellung des Ziels, durch eine regional möglichst gleichmäßige Verteilung über das Bundesgebiet einen vielfältigen Versorgungsbedarf abzudecken, können Betreiber wesentlicher Dienste gemäß Abs. 1 Z 1 nur folgende Krankenanstalten gemäß § 2 Z 8 sein

(4) Hat eine Krankenanstalt gemäß Abs. 3 Z 1 bis 3 mehrere Standorte, werden wesentliche Dienste gemäß Abs. 1 Z 1 durch jene Standorte erbracht,

(5) Gibt es in einer Versorgungsregion mehr als eine Schwerpunktkrankenanstalt und sind für die Erreichung der Bettenrichtwerte gemäß Abs. 1 nicht alle erforderlich (Abs. 3 Z 2 lit. a), werden die wesentlichen Dienste gemäß Abs. 1 Z 1 nur durch jene Krankenanstalt erbracht, die für die mehrheitliche Bevölkerung dieser Versorgungsregion und gegebenenfalls für peripher gelegene Nachbarregionen am besten erreichbar ist.

§ 9. (1) Wegen ihrer Bedeutung für die Aufrechterhaltung der öffentlichen Versorgung mit Trinkwasser im Sinne des § 16 Abs. 2 NISG sind im Sektor Trinkwasserversorgung wesentliche Dienste

(2)Im Sektor Trinkwasserversorgung liegt ein Sicherheitsvorfall im Sinne des § 3 Z 6 NISG vor, wenn

§ 10. (1) Wegen ihrer Bedeutung für die Aufrechterhaltung der Funktionsfähigkeit öffentlicher Informations- und Kommunikationstechnologie im Sinne des § 16 Abs. 2 NISG sind im Sektor Digitale Infrastruktur wesentliche Dienste

(2) Im Sektor Digitale Infrastruktur liegt ein Sicherheitsvorfall im Sinne des § 3 Z 6 NISG vor, wenn

(3)Im Sektor Digitale Infrastruktur bestehen für Einrichtungen, die einen wesentlichen Dienst im Sinne des Abs. 1 Z 2 lit. a im Rahmen des Betriebs von Kommunikationsdiensten nach dem TKG 2003 erbringen, zu Sicherheitsvorkehrungen in § 16a Abs. 2 TKG 2003 und zur Meldepflicht in § 16a Abs. 5 TKG 2003 Vorschriften, die zumindest ein gleichwertiges Sicherheitsniveau für Netz- und Informationssysteme gemäß § 20 NISG gewährleisten.

§ 11. (1) Sicherheitsvorkehrungen gemäß § 17 Abs. 1 NISG, die geeignet sind und den Stand der Technik berücksichtigen sowie zur Gewährleistung der Netz- und Informationssystemsicherheit (§ 3 Z 2 NISG) zu treffen sind, umfassen die

(2)Die Umsetzung jeder Sicherheitsmaßnahme hat, soweit möglich, in technischer und organisatorischer Hinsicht auf Basis der nach Z 1.1 der Anlage 1 zu dieser Verordnung durchgeführten Risikoanalyse zu erfolgen.

§ 12. Alle in dieser Verordnung verwendeten personenbezogenen Bezeichnungen gelten gleichermaßen für alle Geschlechter.

§ 13. (1) Für Verweise auf Bundesgesetze in dieser Verordnung gilt Folgendes

(2) Für Verweise auf Unionsrecht in dieser Verordnung gilt Folgendes

§ 14. Diese Verordnung tritt mit Ablauf des Tages der Kundmachung in Kraft.