Bundesrecht Bundesgesetze Resilienz kritischer Einrichtungen-Gesetz

Resilienz kritischer Einrichtungen-Gesetz

RKEG

In Kraft seit 14. März 2026

Up-to-date

Vorwort

1. Abschnitt

Allgemeine Bestimmungen

(Verfassungsbestimmung) Die Erlassung, Aufhebung sowie Vollziehung von Vorschriften, wie sie in diesem Bundesgesetz enthalten sind, sind auch in jenen Angelegenheiten Bundessache, hinsichtlich deren das Bundes-Verfassungsgesetz (B VG), BGBl. Nr. 1/1930, etwas anderes bestimmt. Die in diesem Bundesgesetz geregelten Angelegenheiten können unmittelbar von Bundesbehörden besorgt werden.

(1) Mit diesem Bundesgesetz werden Maßnahmen festgelegt, mit denen ein hohes Resilienzniveau kritischer Einrichtungen in den im Anhang der Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen und zur Aufhebung der Richtlinie 2008/114/EG des Rates, ABl. Nr. L 333 vom 27.12.2022 S. 164, (im Folgenden: RKE RL) gelisteten Sektoren sichergestellt werden soll.

(2) Angelegenheiten, die in den Anwendungsbereich der Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS 2-Richtlinie), ABl. Nr. L 333 vom 27.12.2022 S. 80, (im Folgenden: NIS 2 RL) fallen, bleiben von diesem Bundesgesetz unberührt.

(3) Dieses Bundesgesetz gilt nicht für die Bereiche der Gerichtsbarkeit einschließlich der kollegialen und monokratischen Justizverwaltung sowie der Gesetzgebung einschließlich der Parlamentsdirektion und die Österreichische Nationalbank.

Im Sinne dieses Bundesgesetzes bedeutet

1. „kritische Einrichtung“ eine öffentliche oder private Einrichtung, die in Anwendung des § 11 vom Bundesminister für Inneres als solche eingestuft wurde;

2. „Resilienz“ die Fähigkeit einer kritischen Einrichtung, einen Sicherheitsvorfall zu verhindern, sich davor zu schützen, einen solchen abzuwehren, darauf zu reagieren, die Folgen eines solchen Vorfalls zu begrenzen, einen Sicherheitsvorfall zu bewältigen oder sich von einem solchen Vorfall zu erholen;

3. „Sicherheitsvorfall“ ein Ereignis, das die Erbringung eines wesentlichen Dienstes erheblich stört oder stören könnte, einschließlich einer Beeinträchtigung der verfassungsmäßigen Einrichtungen und ihrer Handlungsfähigkeit;

4. „Beinahe-Sicherheitsvorfall“ ein Ereignis mit dem Potenzial, einen Sicherheitsvorfall hervorzurufen, dessen Eintritt aber noch rechtzeitig verhindert werden konnte oder der aus sonstigen Gründen nicht eingetreten ist;

5. „kritische Infrastruktur“ Objekte, Anlagen, Ausrüstungen, Netze, Systeme oder Teile eines Objekts, einer Anlage, einer Ausrüstung, eines Netzes oder eines Systems, die für die Erbringung eines wesentlichen Dienstes erforderlich sind;

6. „wesentlicher Dienst“ ein Dienst, der in der Delegierten Verordnung (EU) 2023/2450 zur Ergänzung der Richtlinie (EU) 2022/2557 des Europäischen Parlaments und des Rates durch eine Liste wesentlicher Dienste, ABl. Nr. L 2023/2450 vom 30.10.2023, festgelegt wurde; darüber hinaus allfällige weitere aufgrund einer Verordnung des Bundesministers für Inneres festgelegte Dienste, die für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen, wichtiger wirtschaftlicher Tätigkeiten, der öffentlichen Gesundheit und Sicherheit oder die Erhaltung der Umwelt von erheblicher Bedeutung sind und von einer Einrichtung der im Anhang der RKE RL angeführten Kategorien in den gelisteten Sektoren und Teilsektoren erbracht werden;

2. Abschnitt

Zuständigkeiten

(1) Zuständige Behörde im Sinne dieses Bundesgesetzes ist der Bundesminister für Inneres.

(2) (Verfassungsbestimmung) Soweit in diesem Bundesgesetz nicht anderes bestimmt ist, übt der Bundesminister für Inneres seine Befugnisse, wie sie in diesem Bundesgesetz enthalten sind, auch gegenüber den in Art. 19 B VG bezeichneten obersten Organen der Vollziehung aus.

(3) Der Bundesminister für Inneres kann die Landespolizeidirektionen mit der Durchführung einzelner Aufgaben gemäß den §§ 13 und 20 beauftragen. Der Bundesminister für Inneres kann zudem anordnen, dass ihm von den Landespolizeidirektionen laufend oder zu bestimmten Zeitpunkten direkt über den Fortgang einer Angelegenheit zu berichten ist.

(4) Der Bundesminister für Inneres hat die Funktion als zentrale Anlaufstelle gemäß Art. 9 Abs. 2 RKE RL auszuüben, die als Verbindungsstelle zu den zentralen Anlaufstellen in den anderen Mitgliedstaaten, zur Gruppe für die Resilienz kritischer Einrichtungen gemäß Art. 19 RKE RL sowie zur Europäischen Kommission zu fungieren und die Zusammenarbeit mit Drittstaaten zu gewährleisten hat.

(5) Der Bundesminister für Inneres hat mit jenen Behörden, die in Umsetzung des Art. 8 Abs. 1 NIS 2-RL als zuständige Behörden benannt oder eingerichtet wurden, insbesondere im Hinblick auf die Festlegung standardisierter Übermittlungsformate sowie kritische Einrichtungen betreffende Cybersicherheitsrisiken, Cyberbedrohungen, Beinahe-Cybersicherheitsvorfälle, Cybersicherheitsvorfälle, nicht cyberbezogene Risiken, Bedrohungen, Beinahe-Sicherheitsvorfälle und Sicherheitsvorfälle, zusammenzuarbeiten und Informationen zu den ergriffenen Maßnahmen auszutauschen.

(6) Vor Beginn der Tätigkeit müssen sich sämtliche Mitarbeiter, die mit der Wahrnehmung von Aufgaben nach diesem Bundesgesetz betraut sind, einer Sicherheitsüberprüfung gemäß den §§ 55 bis 55b des Sicherheitspolizeigesetzes (SPG), BGBl. Nr. 566/1991, für den Zugang zu geheimer Information unterziehen. Die Sicherheitsüberprüfungen sind alle drei Jahre zu wiederholen. § 55a Abs. 4 dritter und vierter Satz SPG gilt.

Die Führung von Verwaltungsstrafverfahren gemäß § 23 sowie die Feststellung der Nichteinhaltung von Verpflichtungen gemäß § 24 obliegt den Bezirksverwaltungsbehörden.

(1) Gegen Bescheide des Bundesministers für Inneres und wegen Verletzung seiner Entscheidungspflicht kann Beschwerde an das Bundesverwaltungsgericht erhoben werden.

(2) Gegen Bescheide der Bezirksverwaltungsbehörden und wegen Verletzung ihrer Entscheidungspflicht in Verwaltungssachen kann Beschwerde an die Verwaltungsgerichte der Länder erhoben werden.

3. Abschnitt

Datenverarbeitungen

(1) Der Bundesminister für Inneres ist als Verantwortlicher gemäß Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 04.05.2016 S. 1, in der Fassung der Berichtigung ABl. Nr. L 74 vom 04.03.2021 S. 35, (im Folgenden: DSGVO) ermächtigt,

1. Identifikations- und Erreichbarkeitsdaten kritischer Einrichtungen einschließlich des Sektors sowie des Teilsektors, in dem diese Einrichtungen ihren wesentlichen Dienst erbringen, sowie die von den kritischen Einrichtungen erbrachten wesentlichen Dienste, Standorte und Versorgungsgebiete kritischer Infrastruktur, Kontaktdaten der gemäß § 11 Abs. 5 namhaft gemachten zentralen Kontaktstellen sowie von Ansprechpersonen,

2. Daten zu kritische Einrichtungen betreffende Cybersicherheitsrisiken, Cyberbedrohungen, Beinahe-Cybersicherheitsvorfälle, Cybersicherheitsvorfälle, nicht cyberbezogene Risiken, Bedrohungen, Beinahe-Sicherheitsvorfälle und Sicherheitsvorfälle, und

3. Daten zu den gemäß den §§ 14, 15, 17 und 20 gesetzten Maßnahmen

zu verarbeiten, soweit dies zur Erfüllung seiner Aufgaben nach diesem Bundesgesetz erforderlich ist.

(2) Übermittlungen der gemäß Abs. 1 verarbeiteten Daten sind

1. an Sicherheitsbehörden für Zwecke der Sicherheitspolizei und Strafrechtspflege sowie zur Wahrnehmung der Aufgaben nach diesem Bundesgesetz,

2. an Staatsanwaltschaften und ordentliche Gerichte für Zwecke der Strafrechtspflege sowie

(1) Nach Anhörung der von einem Sicherheitsvorfall betroffenen kritischen Einrichtung kann der Bundesminister für Inneres erforderliche personenbezogene Identifikations- und Erreichbarkeitsdaten der kritischen Einrichtung sowie sonstige erforderliche Informationen, die mit einer Meldung zu einem Sicherheitsvorfall in Zusammenhang stehen, nach Abwägung der Auswirkungen auf die betroffene kritische Einrichtung veröffentlichen, sofern die Sensibilisierung der Öffentlichkeit zur Verhütung oder zur Bewältigung von Sicherheitsvorfällen erforderlich ist. Die Veröffentlichung darf nur insoweit erfolgen, als diese keine Gefahr für die öffentliche Ordnung oder Sicherheit oder für die nationale Sicherheit einschließlich der militärischen Landesverteidigung darstellt und keine schutzwürdigen Interessen kritischer Einrichtungen beeinträchtigt.

(2) Der Bundesminister für Inneres hat die im jeweiligen Wirkungsbereich betroffenen Bundesministerien sowie die betroffenen Länder über das Vorliegen eines Sicherheitsvorfalls zu informieren.

(3) Der Bundesminister für Inneres hat dem Nationalrat einen jährlichen Bericht über eingetretene Sicherheitsvorfälle bis zum 30. Juni des Folgejahres zu übermitteln.

4. Abschnitt

Maßnahmen zur Stärkung der Resilienz kritischer Einrichtungen

(1) Der Bundesminister für Inneres ist verpflichtet, für die Bundesregierung eine Strategie zur Verbesserung der Resilienz kritischer Einrichtungen (Strategie) vorzubereiten und diese anlassbezogen, längstens jedoch alle vier Jahre anzupassen, wobei den im jeweiligen Wirkungsbereich betroffenen Bundesministerien, den betroffenen Ländern sowie den in Betracht kommenden Interessenvertretungen Gelegenheit zur Äußerung zu geben ist. Die Strategie ist erstmalig spätestens bis zum 17. Jänner 2026 von der Bundesregierung zu beschließen.

(2) Die Strategie hat jedenfalls folgende Inhalte zu umfassen:

1. strategische Ziele zur Verbesserung der Resilienz, insbesondere unter Berücksichtigung grenzüberschreitender und sektorübergreifender Abhängigkeiten;

2. einen Steuerungsrahmen zur Verwirklichung der Ziele gemäß Z 1, insbesondere eine Beschreibung der Aufgaben der an der Umsetzung der Strategie beteiligten Akteure;

3. Maßnahmen zur Verbesserung der Resilienz kritischer Einrichtungen samt Beschreibung der Risikoanalyse gemäß § 10;

4. das Verfahren zur Ermittlung kritischer Einrichtungen gemäß § 11;

5. Unterstützungs- und Vorsorgemaßnahmen gemäß § 13 samt Maßnahmen zur Verbesserung der öffentlich-privaten Zusammenarbeit;

6. eine Auflistung der betroffenen Behörden und insbesondere der an der Umsetzung der Strategie beteiligten Bundesministerien, Länder sowie Interessenvertretungen;

7. einen Ablauf für die Koordinierung zwischen dem Bundesminister für Inneres und jenen Behörden, die in Umsetzung des Art. 8 Abs. 1 NIS

(1) Der Bundesminister für Inneres ist verpflichtet, auf Grundlage der gemäß § 3 Z 6 festgelegten wesentlichen Dienste erstmalig spätestens bis zum 17. Jänner 2026 und im Anschluss anlassbezogen, längstens jedoch alle vier Jahre eine Risikoanalyse (§ 3 Z 8) aufgeschlüsselt nach den im Anhang der RKE RL gelisteten Sektoren und Teilsektoren durchzuführen, wobei den im jeweiligen Wirkungsbereich betroffenen Bundesministerien, den betroffenen Ländern sowie den in Betracht kommenden Interessenvertretungen Gelegenheit zur Äußerung zu geben ist.

(2) Bei der Durchführung der Risikoanalyse hat der Bundesminister für Inneres insbesondere

1. die nach Art. 6 Abs. 1 des Beschlusses Nr. 1313/2013/EU über ein Katastrophenschutzverfahren der Union, ABl. Nr. L 347 vom 20.12.2013 S. 924, vorgenommene allgemeine Risikoanalyse,

2. Risikoanalysen, die im Einklang mit den Anforderungen einschlägiger sektorspezifischer Rechtsakte der Union durchgeführt werden, insbesondere der Verordnung (EU) 2019/941 über die Risikovorsorge im Elektrizitätssektor und zur Aufhebung der Richtlinie 2005/89/EG, ABl. Nr. L 158 vom 14.06.2019 S. 1, der Verordnung (EU) 2017/1938 über Maßnahmen zur Gewährleistung der sicheren Gasversorgung und zur Aufhebung der Verordnung (EU) Nr. 994/2010, ABl. Nr. L 280 vom 28.10.2017 S. 1, der Richtlinie 2012/18/EU zur Beherrschung der Gefahren schwerer Unfälle mit gefährlichen Stoffen, zur Änderung und anschließenden Aufhebung der Richtlinie 96/82/EG, ABl. Nr. L 197 vom 24.07.2012 S. 1, sowie der Richtlinie 2007/60/EG über die Bewertung und das Management von Hochwasserrisiken, ABl. Nr. L 288 vom 06.11.2007 S. 27,

3. die entsprechenden Risiken, die sich aus dem Ausmaß der Abhängigkeit der gemäß dem Anhang der RKE RL gelisteten Sektoren untereinander sowie dieser Sektoren gegenüber in anderen Mitgliedstaaten oder Drittstaaten ansässigen Einrichtungen ergeben, sowie die Auswirkungen, die ein in einem Sektor auftretender Sicherheitsvorfall auf andere Sektoren haben kann, sowie

4. sämtliche gemäß § 17 gemeldeten Informationen über Sicherheitsvorfälle

zu berücksichtigen.

(3) Der Bundesminister für Inneres ist verpflichtet, die relevanten Elemente der Risikoanalyse den gemäß § 11 ermittelten kritischen Einrichtungen zur Verfügung zu stellen. Die zur Verfügung gestellten Informationen sind zu anonymisieren.

(1) Der Bundesminister für Inneres hat auf Grundlage der gemäß § 9 erstellten Strategie sowie der gemäß § 10 durchgeführten Risikoanalyse in den im Anhang der RKE RL angeführten Kategorien von Einrichtungen der gelisteten Sektoren und Teilsektoren Einrichtungen bescheidmäßig als kritisch einzustufen, wenn

1. sie im Inland tätig sind,

2. sich deren kritische Infrastruktur im Inland befindet,

3. sie einen wesentlichen Dienst (§ 3 Z 6) erbringen und

4. bei Erbringung dieses wesentlichen Dienstes ein Sicherheitsvorfall eintreten kann.

Einrichtungen haben an der Feststellung des für die Einstufung maßgeblichen Sachverhalts mitzuwirken.

(2) Der Bundesminister für Inneres ist verpflichtet, durch Verordnung festzulegen, ob gemäß Abs. 1 Z 4 ein Sicherheitsvorfall eintreten kann. Dabei sind folgende Parameter zu berücksichtigen:

1. die Zahl der Nutzer, die den von der jeweiligen Einrichtung erbrachten wesentlichen Dienst gemäß Abs. 1 Z 3 in Anspruch nehmen;

2. das Ausmaß der Abhängigkeit anderer im Anhang der RKE RL gelisteter Sektoren sowie Teilsektoren von dem von der Einrichtung erbrachten wesentlichen Dienst;

3. die möglichen Auswirkungen von Sicherheitsvorfällen auf wirtschaftliche und gesellschaftliche Tätigkeiten, die Umwelt, die öffentliche Ordnung oder Sicherheit oder die Gesundheit der Bevölkerung;

4. der Marktanteil der jeweiligen Einrichtung auf dem Markt für wesentliche Dienste oder für die betreffenden wesentlichen Dienste;

(1) Im Sektor öffentliche Verwaltung sind vom Bundesminister für Inneres gemäß § 11 Abs. 1 nur Einrichtungen zu ermitteln, die abweichend von den in § 11 Abs. 1 Z 1 bis 4 festgelegten Voraussetzungen

1. zum Zweck eingerichtet wurden, im öffentlichen Interesse liegende Aufgaben nicht gewerblicher Art zu erfüllen,

2. zur Besorgung von Angelegenheiten der Bundesverwaltung berufen sind und entweder als Bundesbehörden eingerichtet wurden oder Rechtspersönlichkeit besitzen, mit Ausnahme der Länder, Gemeinden sowie Gemeindeverbände,

3. der Aufsicht des Bundes unterstehen oder an die Weisungen eines obersten Organs des Bundes gebunden sind oder ein Leitungs- oder Aufsichtsorgan haben, das mehrheitlich aus Mitgliedern besteht, die von Bundesbehörden oder von anderen auf Bundesebene eingerichteten Körperschaften des öffentlichen Rechts eingesetzt worden sind, oder an denen der Bund mit mindestens 50 vH des Stamm-, Grund- oder Eigenkapitals beteiligt ist oder die Mitglieder der Bundesregierung sind und

4. ermächtigt sind, im Rahmen ihrer gesetzlich übertragenen Aufgaben Bescheide im eigenen Namen zu erlassen, die Rechte Einzelner im grenzüberschreitenden Personen-, Waren-, Dienstleistungs- oder Kapitalverkehr berühren.

(2) Einrichtungen im Sektor öffentliche Verwaltung, deren Wirkungsbereiche überwiegend die nationale Sicherheit einschließlich der militärischen Landesverteidigung, die öffentliche Sicherheit oder die Strafverfolgung umfassen, unterliegen nicht den Bestimmungen dieses Bundesgesetzes.

(3) Unbeschadet des Abs. 2 haben der Bundesminister für Inneres, der Bundesminister für Justiz und der Bundesminister für Landesverteidigung im jeweiligen Wirkungsbereich die notwendigen strukturellen Voraussetzungen zur Sicherstellung eines hohen Resilienzniveaus zu schaffen.

(1) Der Bundesminister für Inneres ist verpflichtet, auf Grundlage der gemäß § 10 durchgeführten Risikoanalyse kritische Einrichtungen bei der Verbesserung ihrer Resilienz zu unterstützen sowie Vorsorgemaßnahmen zu ergreifen. Dies hat jedenfalls folgende Tätigkeiten zu umfassen:

1. Beratung kritischer Einrichtungen beim Ergreifen von Resilienzmaßnahmen;

2. Beratung kritischer Einrichtungen bei der Beurteilung, ob bereits durchgeführte Risikoanalysen gemäß § 14 Abs. 3 oder ergriffene Resilienzmaßnahmen gemäß § 15 Abs. 3 zumindest gleichwertig sind;

3. Übermittlung von Frühwarnungen sowie von sonstigen sektorspezifischen Informationen an kritische Einrichtungen, sofern ein Risiko vorliegt;

4. Beratung der in ihrem Wirkungsbereich betroffenen Bundesminister und öffentlichen Einrichtungen zum Forschungs- und Förderbedarf und zu den Forschungs- und Förderprioritäten im Bereich der physischen Sicherheit sowie Beratung der kritischen Einrichtungen bei der Auswahl geeigneter Förderungen und Forschungsprojekte.

(2) Der Bundesminister für Inneres kann zudem insbesondere folgende weitere Maßnahmen ergreifen:

1. Bereitstellung von Mustern und Vorlagen für Risikoanalysen und Resilienzpläne für kritische Einrichtungen;

2. Entwicklung und Bereitstellung von generellen Empfehlungen und von Leitfäden für kritische Einrichtungen zur Prävention von Sicherheitsvorfällen und Reduktion von Risiken;

3. Beratung kritischer Einrichtungen bei der Organisation von und Mitwirkung an Sicherheitsübungen sowie Übungen zur Überprüfung der Notfallpläne;

4. Beratung und Durchführung von Schulungen für das Personal kritischer Einrichtungen;

5. Abschnitt

Verpflichtungen kritischer Einrichtungen

(1) Kritische Einrichtungen haben erstmalig innerhalb von neun Monaten nach bescheidmäßiger Einstufung gemäß § 11 Abs. 1 und im Anschluss bei Änderungen der maßgeblichen Risikofaktoren anlassbezogen, längstens jedoch alle vier Jahre insbesondere auf Grundlage der vom Bundesminister für Inneres durchgeführten Risikoanalyse gemäß § 10 eine Risikoanalyse durchzuführen und die Ergebnisse strukturiert aufzubereiten.

(2) Die Risikoanalyse gemäß Abs. 1 hat die wechselseitige Abhängigkeit zwischen dem von der jeweiligen kritischen Einrichtung erbrachten wesentlichen Dienst und wesentlichen Diensten, die von anderen Einrichtungen der im Anhang der RKE RL gelisteten Sektoren erbracht werden, zu berücksichtigen.

(3) Den Anforderungen gemäß den Abs. 1 und 2 wird insoweit entsprochen, als von der kritischen Einrichtung aufgrund anderer rechtlicher Verpflichtungen Risikoanalysen durchgeführt werden, die hinsichtlich der Anforderungen gemäß den Abs. 1 und 2 zumindest gleichwertig sind.

(1) Kritische Einrichtungen haben auf Grundlage der seitens des Bundesministers für Inneres bereitgestellten Elemente der gemäß § 10 durchgeführten Risikoanalyse sowie der Ergebnisse der gemäß § 14 durchgeführten Risikoanalyse nach Ablauf von zehn Monaten nach bescheidmäßiger Einstufung gemäß § 11 Abs. 1 geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen in Bezug auf den von ihnen erbrachten wesentlichen Dienst gemäß § 11 Abs. 1 Z 4 zu treffen. Diese sind in einem Resilienzplan (§ 3 Z 12) darzulegen.

(2) Bei den Resilienzmaßnahmen handelt es sich insbesondere um solche, die erforderlich sind, um

1. das Auftreten von Sicherheitsvorfällen zu verhindern, unter Berücksichtigung von Maßnahmen zur Katastrophenvorsorge und zum Umgang mit dem Klimawandel,

2. einen angemessen physischen Schutz der kritischen Infrastruktur und der Räumlichkeiten der kritischen Einrichtungen zu gewährleisten,

3. Sicherheitsvorfälle abzuwehren, diese zu bewältigen und die Auswirkungen solcher Vorfälle gering zu halten, unter Berücksichtigung von Risiko- und Krisenmanagementmaßnahmen sowie Notfallplänen,

4. nach Sicherheitsvorfällen die Fortsetzung oder rasche Wiederaufnahme des wesentlichen Dienstes zu gewährleisten, unter Berücksichtigung alternativer Lieferketten,

5. angemessene personelle Sicherheitsvorkehrungen unter Berücksichtigung des Personals externer Dienstleister zu gewährleisten, insbesondere die Festlegung von Anforderungen an die Ausbildung sowie die Qualifikation des Personals und die Identifizierung von kritischen Funktionen samt Festlegung von Zugangsberechtigungen sowie Verpflichtungen zur Vornahme von Zuverlässigkeitsüberprüfungen von Personen, die die Anforderungen gemäß § 16 Abs. 1 Z 1 oder 2 erfüllen, sofern für diese Personen nicht bereits eine Sicherheitsüberprüfung gemäß den §§ 55 bis 55b SPG, Verlässlichkeitsprüfung gemäß den §§ 23 und 24 des Militärbefugnisgesetzes (MBG), BGBl. I Nr. 86/2000, oder Zuverlässigkeitsüberprüfung gemäß § 134a des Luftfahrtgesetzes (LFG), BGBl Nr. 253/1957, vorliegt, deren Durchführung jeweils nicht länger als drei Jahre zurückliegt, und keine Anhaltspunkte bestehen, wonach die Person nicht mehr zuverlässig sein sollte, und

(1) Auf begründetes Ersuchen der kritischen Einrichtung ist zum Zweck der Bewertung eines potenziellen Sicherheitsrisikos für die kritische Einrichtung

1. Personal gemäß § 15 Abs. 2 Z 5, das über einen Zugang zu ihren Räumlichkeiten, Informationen oder Kontrollsystemen verfügt oder sonstige sensible Funktionen für die kritische Einrichtung wahrnimmt oder

2. eine Person, die eine unter Z 1 angeführte Funktion anstrebt,

einer Zuverlässigkeitsüberprüfung zu unterziehen, sofern eine solche unter Berücksichtigung der Risikoanalyse gemäß § 10 erforderlich ist. Solange die Voraussetzungen nach diesem Absatz erfüllt sind, kann die Überprüfung der Zuverlässigkeit nach drei Jahren wiederholt werden. Bei Vorliegen von Anhaltspunkten, wonach eine Person nicht mehr zuverlässig sein könnte, kann die Überprüfung der Zuverlässigkeit vor Ablauf dieser Frist wiederholt werden.

(2) Zum Zweck der Durchführung der Zuverlässigkeitsüberprüfung gemäß Abs. 1 hat die kritische Einrichtung die personenbezogenen Daten der betroffenen Personen dem Bundesminister für Inneres im elektronischen Weg über einen sicheren Kommunikationskanal strukturiert zu übermitteln. Diese Daten haben den Vor- und Familiennamen, gegebenenfalls den Geburtsnamen, das Geschlecht, das Geburtsdatum, den Geburtsort einschließlich des Geburtslandes, die Staatsangehörigkeiten, die Vornamen der Eltern, den Hauptwohnsitz, Strafregisterbescheinigungen oder vergleichbare Nachweise aus Drittstaaten der letzten fünf Jahre in beglaubigter Übersetzung in deutscher oder englischer Sprache, die bei erstmaliger Vorlage nicht älter als sechs Monate sein dürfen, die Angabe der Art der beabsichtigten Tätigkeit und die Zustimmung zur Überprüfung der Zuverlässigkeit sowie zur Übermittlung des Ergebnisses der Überprüfung an die ersuchende kritische Einrichtung zu enthalten. Zudem ist, wenn vorhanden, eine Kopie eines Reisepasses, Personalausweises oder Identitätsausweises (§ 35a SPG) des Herkunftsstaates, ansonsten eine Kopie eines Fremdenpasses oder Konventionsreisepasses vorzulegen.

(3) Zum Zweck der Überprüfung der Zuverlässigkeit ist der Bundesminister für Inneres zudem ermächtigt, jene personenbezogenen Daten zu verarbeiten, die die Sicherheitsbehörden in Vollziehung von Bundes- oder Landesgesetzen verarbeitet haben. Darüber hinaus sind Staatsanwaltschaften und Gerichte ermächtigt, den Sicherheitsbehörden nach Maßgabe des § 76 Abs. 4 der Strafprozeßordnung 1975 (StPO), BGBl. Nr. 631/1975, ermittelte personenbezogene Daten zu übermitteln, soweit eine Weiterverarbeitung dieser Daten durch die Sicherheitsbehörden zur Überprüfung der Zuverlässigkeit erforderlich ist.

(1) Kritische Einrichtungen haben nach Ablauf von zehn Monaten nach bescheidmäßiger Einstufung Sicherheitsvorfälle unverzüglich, längstens jedoch binnen 24 Stunden nach Kenntnis dem Bundesminister für Inneres strukturiert zu melden, soweit dies aus operativer Sicht möglich ist. Ergänzende Informationen sowie Informationen über später bekannt gewordene Umstände zum Sicherheitsvorfall sind dem Bundesminister für Inneres längstens binnen eines Monats nach der Erstmeldung in einer Folgemeldung mitzuteilen.

(2) Der Bundesminister für Inneres ist verpflichtet, durch Verordnung festzulegen, wann ein Sicherheitsvorfall vorliegt. Dabei sind insbesondere folgende Parameter zu berücksichtigen:

1. die Zahl oder der Anteil der vom Sicherheitsvorfall betroffenen Nutzer, die den von der jeweiligen Einrichtung erbrachten wesentlichen Dienst in Anspruch nehmen;

2. die Dauer der Störung;

3. das vom Sicherheitsvorfall betroffene geografische Gebiet.

(3) In den Meldungen gemäß Abs. 1 müssen sämtliche relevanten Informationen zum Sicherheitsvorfall, die zum Zeitpunkt der Erst- und Folgemeldung bekannt sind, insbesondere die Art, die vermutete oder tatsächliche Ursache und die Folgen des Sicherheitsvorfalls, bereits zur Abwehr des Sicherheitsvorfalls ergriffene Maßnahmen sowie Angaben zur betroffenen kritischen Infrastruktur, enthalten sein. Informationen, die erforderlich sind, um grenzüberschreitende Auswirkungen des Sicherheitsvorfalls zu eruieren, sind ebenfalls zu übermitteln. Die Meldung ist in einem standardisierten elektronischen Format zu übermitteln.

(4) Auf Ersuchen des Bundesministers für Inneres haben kritische Einrichtungen innerhalb einer angemessenen Frist weitere erforderliche Informationen zum Sicherheitsvorfall zu übermitteln. Kritische Einrichtungen sind verpflichtet, den Bundesminister für Inneres unverzüglich über die Beendigung eines Sicherheitsvorfalls zu informieren.

(5) Der Bundesminister für Inneres ist verpflichtet, auf Grundlage der Meldungen gemäß den Abs. 1 und 4 den vom Sicherheitsvorfall betroffenen kritischen Einrichtungen sachdienliche Informationen, insbesondere über die wirksame Abwehr und Bewältigung des betreffenden Sicherheitsvorfalls, unverzüglich zur Verfügung zu stellen.

(6) Bedrohungen und Beinahe-Sicherheitsvorfälle können von kritischen Einrichtungen an den Bundesminister für Inneres gemeldet werden.

(7) Langen beim Bundesminister für Inneres Meldungen über erhebliche Sicherheitsvorfälle gemäß Art. 23 NIS

(1) Die Anforderungen gemäß § 15 sind insoweit nicht anwendbar,

1. als kritische Einrichtungen aufgrund sektorspezifischer unionsrechtlicher Bestimmungen verpflichtet sind, für die Erbringung eines wesentlichen Dienstes gleichwertige Maßnahmen zu ergreifen und

2. die jeweiligen Verpflichtungen in diesen sektorspezifischen Rechtsakten ein zumindest gleichwertiges Resilienzniveau für kritische Einrichtungen gewährleisten.

Der Bundesminister für Inneres hat über gleichwertige Bestimmungen gemäß Z 1 und das Ausmaß der Gleichwertigkeit gemäß Z 2 auf der Homepage des Bundesministeriums für Inneres zu informieren.

(2) Bei Beurteilung der Gleichwertigkeit ist auf den Inhalt sowie den Zweck der sektorspezifischen unionsrechtlichen Verpflichtungen sowie auf die potenziellen Auswirkungen der aufgrund dieser Verpflichtungen zu ergreifenden Maßnahmen auf das Resilienzniveau Bedacht zu nehmen. Dabei sind insbesondere der Inhalt, der Umfang sowie die konkrete Ausgestaltung der gleichwertigen Verpflichtungen zu berücksichtigen.

(3) § 11 Abs. 5 bis 7 sowie die §§ 14, 15, 17 und 19 gelten nicht für kritische Einrichtungen in den im Anhang der RKE RL gelisteten Sektoren digitale Infrastruktur, Bankwesen und Finanzmarktinfrastrukturen.

(1) Kritische Einrichtungen haben dem Bundesminister für Inneres unverzüglich mitzuteilen, dass sie wesentliche Dienste für oder in mindestens sechs Mitgliedstaaten erbringen. Diese Mitteilung hat insbesondere auch Informationen darüber zu enthalten, welche wesentlichen Dienste sie für oder in diesen Mitgliedstaaten erbringen und um welche Mitgliedstaaten es sich dabei handelt. Kritische Einrichtungen haben zudem den Bundesminister für Inneres über den Wegfall der Voraussetzungen zu unterrichten. Der Bundesminister für Inneres hat die Europäische Kommission unverzüglich über die Identität solcher kritischen Einrichtungen einschließlich der sonstigen gemäß diesem Absatz mitgeteilten Informationen zu unterrichten.

(2) Der Bundesminister für Inneres ist verpflichtet, Mitteilungen der Europäischen Kommission über Einstufungen als kritische Einrichtungen von besonderer Bedeutung für Europa gemäß Art. 17 Abs. 3 RKE RL unverzüglich an die jeweiligen kritischen Einrichtungen weiterzuleiten und diese insbesondere über ihre Verpflichtungen gemäß den Abs. 3 und 4 zu unterrichten. Die Verpflichtungen gelten ab dem Zeitpunkt der Zustellung der Mitteilung an die kritische Einrichtung.

(3) Kritische Einrichtungen von besonderer Bedeutung für Europa sind, soweit dies erforderlich ist, verpflichtet, seitens der Europäischen Kommission gemäß Art. 18 RKE RL organisierten Beratungsmissionen Zugang zu ihrer kritischen Infrastruktur zu ermöglichen und Einsicht in diesbezügliche Unterlagen und Informationen zu gewähren.

(4) Kritische Einrichtungen von besonderer Bedeutung für Europa sind verpflichtet, den Bundesminister für Inneres über die aufgrund einer Empfehlung der Europäischen Kommission gemäß Art. 18 Abs. 4 Unterabsatz 3 RKE RL ergriffenen Maßnahmen zu unterrichten.

(5) Der Bundesminister für Inneres hat der Europäischen Kommission auf begründetes Ersuchen der Europäischen Kommission oder eines gemäß Abs. 1 betroffenen Mitgliedstaats gemäß Art. 18 Abs. 3 RKE-RL die relevanten Elemente der von der jeweiligen kritischen Einrichtung von besonderer Bedeutung für Europa durchgeführten Risikoanalyse (§ 14) und eine Auflistung der von dieser getroffenen Resilienzmaßnahmen (§ 15) sowie der gegenüber dieser ergriffenen Aufsichts- und Durchsetzungsmaßnahmen (§ 20) zu übermitteln.

(6) Der Bundesminister für Inneres hat der Europäischen Kommission im Zuge einer Konsultation gemäß Art. 17 Abs. 2 UAbs. 2 RKE-RL mitzuteilen, ob es sich bei den Diensten, die von einer kritischen Einrichtung von besonderer Bedeutung für Europa erbracht werden, um wesentliche Dienste handelt.

6. Abschnitt

Aufsicht und Durchsetzung

(1) Der Bundesminister für Inneres ist ermächtigt, von kritischen Einrichtungen innerhalb einer angemessenen Frist unter Angabe des Zwecks sowie der Art und des Umfangs der erforderlichen Informationen die Übermittlung der Risikoanalyse gemäß § 14 Abs. 1, des Resilienzplans gemäß § 15 Abs. 1 sowie sonstige Nachweise für die Erfüllung der Anforderungen gemäß den §§ 14 und 15 zu verlangen. Kann auf Grundlage der von der kritischen Einrichtung übermittelten Nachweise nicht beurteilt werden, ob die Anforderungen gemäß den §§ 14 und 15 erfüllt wurden, kann der Bundesminister für Inneres von der jeweiligen kritischen Einrichtung die Durchführung eines Audits (§ 3 Z 13) verlangen.

(2) Auf Verlangen des Bundesministers für Inneres gemäß Abs. 1 haben kritische Einrichtungen zur Überprüfung der Anforderungen gemäß den §§ 14 und 15 die erforderlichen Informationen sowie den Prüfbericht über durchgeführte Audits an den Bundesminister für Inneres zu übermitteln.

(3) Zur Überprüfung der Einhaltung der Anforderungen gemäß § 15 ist der Bundesminister für Inneres zudem nach vorheriger Ankündigung berechtigt, Vor Ort-Kontrollen der kritischen Infrastruktur sowie der Räumlichkeiten, die der Erbringung der wesentlichen Dienste dienen, durchzuführen. Zu diesem Zweck haben kritische Einrichtungen dem Bundesminister für Inneres auf Verlangen im erforderlichen Ausmaß das gefahrlose Betreten und Besichtigen ihrer kritischen Infrastruktur und Räumlichkeiten zu ermöglichen, die erforderlichen Informationen zu erteilen sowie Einschau in relevante sachdienliche Unterlagen und Aufzeichnungen zu gewähren. Die kritischen Einrichtungen haben aktiv an der Überprüfung, insbesondere durch beigestelltes, fachkundiges Personal, mitzuwirken. Die Durchführung der Überprüfung hat im unbedingt erforderlichen Ausmaß zu erfolgen und ist unter möglichster Schonung der Rechte der betroffenen Einrichtung und Dritter auszuüben.

(4) Hat eine kritische Einrichtung ihre Niederlassung in einem anderen Mitgliedstaat der Europäischen Union, ist der Bundesminister für Inneres ermächtigt, die zuständige Behörde dieses Mitgliedstaates zu ersuchen, Maßnahmen gemäß Abs. 3 zu ergreifen und die Ergebnisse einer solchen Überprüfung der eigenen Beurteilung zugrunde zu legen.

(5) Ergibt sich im Rahmen der Überprüfungen gemäß den Abs. 1 bis 4, dass die Anforderungen an die Risikoanalyse gemäß § 14 und die Anforderungen an die Resilienzmaßnahmen gemäß § 15 nicht oder nicht vollständig erfüllt werden, hat der Bundesminister für Inneres der kritischen Einrichtung mit Bescheid aufzutragen, innerhalb einer angemessenen Frist erforderliche und verhältnismäßige Maßnahmen nachweislich zu ergreifen, die zur Herstellung des rechtmäßigen Zustandes notwendig sind.

(1) Ein Resilienzauditor ist eine natürliche oder juristische Person oder eingetragene Personengesellschaft mit Niederlassung in Österreich oder in einem anderen EU Mitgliedstaat, der aufgrund eines begründeten schriftlichen Antrags bei Erfüllung der in der Verordnung gemäß Abs. 2 normierten Voraussetzungen aufgrund eines rechtskräftigen Bescheids des Bundesministers für Inneres zur Durchführung von Audits (§ 3 Z 13) berechtigt ist.

(2) Ein Resilienzauditor ist verpflichtet, Sicherheitsvorkehrungen zu treffen, geeignete technische und organisatorische Hilfsmittel zu verwenden sowie über ein System zur Qualitätssicherung zu verfügen, um in seinem Aufgabenbereich Audits durchführen zu können. Zudem darf das Audit lediglich durch sicherheitsüberprüfte Personen vorgenommen werden. Der Bundesminister für Inneres ist ermächtigt, mit Verordnung die Voraussetzungen, die Resilienzauditoren erfüllen müssen, sowie nähere verfahrensrechtliche Bestimmungen festzulegen. In dieser Verordnung können auch nähere Regelungen zu Form und Inhalt des Prüfberichts vorgesehen werden.

(3) Der Bundesminister für Inneres ist befugt, zur Kontrolle der Einhaltung der gemäß Abs. 2 normierten Voraussetzungen von Resilienzauditoren Auskünfte zu verlangen, Einschau in erforderliche Unterlagen zu nehmen sowie nach vorheriger Ankündigung Vor-Ort-Kontrollen durchzuführen. § 20 Abs. 3 zweiter bis vierter Satz sowie § 20 Abs. 4 gelten sinngemäß.

(4) Der Resilienzauditor ist verpflichtet, dem Bundesminister für Inneres unverzüglich Änderungen betreffend die Voraussetzungen gemäß Abs. 2 sowie deren Wegfall mitzuteilen.

(5) Bei Wegfall oder Nichteinhaltung der gemäß Abs. 2 normierten Voraussetzungen ist der Resilienzauditor vom Bundesminister für Inneres darauf hinzuweisen, dass er diese binnen einer angemessenen Frist nachweislich zu erfüllen hat. Wird dieser Nachweis nicht innerhalb der festgelegten Frist erbracht, hat der Bundesminister für Inneres die Erteilung der Berechtigung gemäß Abs. 1 mit Bescheid zu widerrufen.

(6) Der Bundesminister für Inneres ist verpflichtet, eine Liste mit den berechtigten Resilienzauditoren zu führen und den kritischen Einrichtungen eine aktuelle Liste zur Verfügung zu stellen.

(7) Resilienzauditoren sowie das von diesen eingesetzte Personal sind zur vertraulichen Behandlung der im Rahmen der Durchführung von Audits (§ 3 Z 13) bekanntgewordenen Informationen verpflichtet.

7. Abschnitt

Verfahren vor der Bezirksverwaltungsbehörde

(1) Der Bundesminister für Inneres hat der zuständigen Bezirksverwaltungsbehörde den Verdacht einer Verwaltungsübertretung gemäß § 23 Abs. 1 oder Abs. 2 sowie die Nichteinhaltung der sich aus diesem Bundesgesetz ergebenden Verpflichtungen durch Behörden und sonstige Stellen der öffentlichen Verwaltung einschließlich der Gebietskörperschaften sowie in Formen des Privatrechts eingerichtete Stellen der öffentlichen Verwaltung (§ 24) anzuzeigen.

(2) Die Bezirksverwaltungsbehörde hat dem Bundesminister für Inneres einen jährlichen Bericht über die Einleitung sowie die Gründe der Nichteinleitung oder Einstellung von Verwaltungsstrafverfahren und Verfahren gemäß § 24 nach standardisierten Vorgaben bis zum 31. März des Folgejahres zu übermitteln.

(1) Eine Verwaltungsübertretung begeht, wer

1. entgegen § 11 Abs. 5 dem Bundesminister für Inneres eine Kontaktstelle oder eine Ansprechperson nicht benennt oder diesbezügliche Änderungen dem Bundesminister für Inneres nicht rechtzeitig bekannt gibt,

2. entgegen § 11 Abs. 6 dem Bundesminister für Inneres einen Zustellungsbevollmächtigten gemäß § 9 ZustG oder entgegen § 11 Abs. 7 einen verantwortlichen Beauftragten gemäß § 9 VStG nicht namhaft macht,

3. entgegen § 11 Abs. 9 dem Bundesminister für Inneres Änderungen des für die Einstufung maßgeblichen Sachverhalts nicht unverzüglich bekannt gibt,

4. entgegen § 14 Abs. 1 die Risikoanalyse nicht oder nicht fristgerecht erstellt,

5. entgegen § 19 Abs. 1 und 4 seinen Mitteilungspflichten nicht nachkommt,

6. entgegen § 19 Abs. 3 seinen Verpflichtungen im Hinblick auf seitens der Europäischen Kommission gemäß Art. 18 RKE RL organisierten Beratungsmissionen nicht nachkommt,

7. entgegen § 20 Abs. 2 dem Bundesminister für Inneres zur Überprüfung der Anforderungen gemäß den §§ 14 und 15 die erforderlichen Informationen oder den Prüfbericht über durchgeführte Audits nicht oder nicht vollständig übermittelt,

8. entgegen § 20 Abs. 3 dem Bundesminister für Inneres das gefahrlose Betreten und Besichtigen der kritischen Infrastruktur und Räumlichkeiten nicht ermöglicht, die erforderlichen Informationen nicht erteilt, Einschau in relevante sachdienliche Unterlagen und Aufzeichnungen nicht gewährt oder seiner Pflicht zur aktiven Mitwirkung an der Überprüfung nicht nachkommt,

(Verfassungsbestimmung) Die Bezirksverwaltungsbehörde hat abweichend von § 23 die Nichteinhaltung der sich aus diesem Bundesgesetz ergebenden Verpflichtungen durch als kritisch eingestufte Behörden und sonstige Stellen der öffentlichen Verwaltung einschließlich der Gebietskörperschaften sowie in Formen des Privatrechts eingerichtete Stellen der öffentlichen Verwaltung mit Bescheid festzustellen und eine angemessene Frist zur Herstellung des rechtmäßigen Zustandes anzuordnen. Wird der rechtmäßige Zustand nicht fristgerecht hergestellt, hat die Bezirksverwaltungsbehörde nach Rechtskraft des Bescheids die Nichteinhaltung dieser Verpflichtungen in einer allgemeinen Weise zu veröffentlichen, die geeignet scheint, einen möglichst weiten Personenkreis zu erreichen. Diese Veröffentlichung darf nur insoweit erfolgen, als diese keine Gefahr für die öffentliche Ordnung oder Sicherheit oder für die nationale Sicherheit einschließlich der militärischen Landesverteidigung darstellt und keine schutzwürdigen Interessen kritischer Einrichtungen beeinträchtigt.

8. Abschnitt

Schluss- und Übergangsbestimmungen

Dieses Bundesgesetz dient der Umsetzung der Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen und zur Aufhebung der Richtlinie 2008/114/EG, ABl. Nr. L 333 vom 27.12.2022 S. 164.

Alle in diesem Bundesgesetz verwendeten personenbezogenen Bezeichnungen gelten gleichermaßen für alle Geschlechter.

Mit der Vollziehung dieses Bundesgesetzes sind betraut

1. hinsichtlich des § 9 Abs. 1 die Bundesregierung,

2. hinsichtlich der übrigen Bestimmungen der Bundesminister für Inneres.

Verweisungen in diesem Bundesgesetz auf andere Bundesgesetze sind als Verweisungen auf die jeweils geltende Fassung zu verstehen.

(1) Von dem der Kundmachung dieses Bundesgesetzes folgenden Tag an sind, soweit nicht bereits erfolgt, alle vorbereitenden organisatorischen und personellen Maßnahmen zu setzen, die für die Ermöglichung einer zeitgerechten Aufgabenwahrnehmung durch den Bundesminister für Inneres erforderlich sind.

(2) Verordnungen auf Grund dieses Bundesgesetzes und seiner Novellen können ab dem Tag der Kundmachung dieses Bundesgesetzes oder der betreffenden Novelle erlassen werden. Die Verordnungen treten frühestens mit dem Inkrafttreten der jeweiligen Bestimmungen dieses Bundesgesetzes oder der betreffenden Novelle in Kraft.

(1) (Verfassungsbestimmung) Die §§ 1, 4 Abs. 2 und § 24 dieses Bundesgesetzes treten nach Ablauf von vier Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten in Kraft.

(2) Das Inhaltsverzeichnis, die Abschnittsbezeichnungen, die Abschnittsüberschriften, die Paragraphenüberschriften, die §§ 2 und 3, § 4 Abs. 1 und 3 bis 6, die §§ 5 bis 8, die §§ 11 bis 23 sowie die §§ 25 bis 28 dieses Bundesgesetzes treten nach Ablauf von vier Monaten nach der Kundmachung dieses Bundesgesetzes mit dem nächstfolgenden Monatsersten in Kraft.