Allgemeines zum NIS-Gesetz
In Österreich wurde die europäische NIS-Richtlinie mit dem NIS-Gesetz (Netz- und Informationssystemsicherheitsgesetz) umgesetzt, welches am 28.12.2018 in Kraft trat. Dabei sollten Aufgaben, die sich aus der NIS-Richtlinie ergeben, auf bereits bestehende Strukturen übertragen werden. Der Bundeskanzler nimmt dabei strategische Aufgaben und Bundesminister für Inneres operative Aufgaben wahr.
Mit dem NIS-Gesetz werden Maßnahmen festgelegt, mit denen ein hohes Sicherheitsniveau von Netz- und Informationssystemen der Einrichtungen, die in den Anwendungsbereich fallen, erreicht werden soll. Netz- und Informationssysteme mit den zugehörigen Diensten spielen eine zentrale Rolle in der heutigen Gesellschaft. Für wirtschaftliche und gesellschaftliche Tätigkeiten ist es von entscheidender Bedeutung, dass sie verlässlich und sicher sind. Deswegen werden Verpflichtungen für Betreiber wesentlicher Dienste, Anbieter digitaler Dienste sowie für Einrichtungen der öffentlichen Verwaltung eingeführt.
Das NIS-Gesetz legt Aufgaben und Zuständigkeiten sowie deren Befugnisse für die mit der Umsetzung betrauten Behörden fest. Der Bundeskanzler nimmt gemäß NIS-Gesetz strategische Aufgaben und der Bundesminister für Inneres operative Aufgaben wahr.
In den sachlichen Anwendungsbereich fallen beispielsweise Betreiber eines wesentlichen Dienstes aus den Sektoren Energie, Luft-, Straßen- und Schienenverkehr, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasserversorgung und Digitale Infrastruktur.
Zudem werden auch Einrichtungen der öffentlichen Verwaltung erfasst.
Nähere Regelungen für die Sicherheitsvorkehrungen finden sich in der zu dem NIS-Gesetz zu erlassenen NIS-Verordnung.
Dem Bundeskanzler kommen primär strategische Aufgaben zu. So hat er beispielsweise die Republik in EU-weiten und internationalen Gremien in strategischen Angelegenheiten zu vertreten und die Erstellung einer Strategie, den jährlichen Bericht über Cybersicherheit sowie die öffentlich-private Zusammenarbeit zu koordinieren.
Des Weiteren obliegt dem Bundeskanzler die Festlegung, wann ein Sicherheitsvorfall konkret vorliegt, die näheren Regelungen zu den jeweiligen Sektoren, zu den Sicherheitsvorkehrungen und die Regelung zu den Ausnahmen von den Verpflichtungen für Betreiber wesentlicher Dienste.
Als operativen Aspekt hat der Bundeskanzler den Betrieb des Computernotfallteams der öffentlichen Verwaltung zu gewährleisten.
Für die Aufzählung der Kompetenzen des Bundeskanzlers siehe § 4 NISG und EBs § 4 NISG.
Dem Bundesminister für Inneres kommen zentrale operative Aufgaben zu, wie beispielsweise der Betrieb der zentralen Anlaufstelle (SPOC), die organisatorische Leitung der Koordinierungsstrukturen IKDOK (Innerer Kreis der Operativen Koordinierungsstruktur) und OpKoord (Operative Koordinierungsstruktur), die Entgegennahme und Analyse von Meldungen, die Überprüfung der Sicherheitsvorkehrungen, die Einhaltung der Meldepflichten sowie die Feststellung und Überprüfung der qualifizierten Stellen.
Zudem trifft der Bundesminister für Inneres durch eine Verordnung nähere Regelungen zu den qualifizierten Stellen.
Für die Aufzählung der Kompetenzen des Bundesministers für Inneres siehe § 5 NISG und EBs § 5 NISG.
Netz- und Informationssysteme mit den zugehörigen Diensten spielen heute eine zentrale Rolle in der Gesellschaft. Für wirtschaftliche und gesellschaftliche Tätigkeiten ist es von entscheidender Bedeutung, dass sie verlässlich und sicher sind.
Tragweite, Häufigkeit und Auswirkungen von Sicherheitsvorfällen nehmen zu und stellen eine erhebliche Bedrohung für den störungsfreien Betrieb von Netz- und Informationssystemen dar. Diese Systeme können zu einem Angriffsziel vorsätzlich schädigender Handlungen werden, die auf die Störung oder den Ausfall des Betriebes der Systeme gerichtet sind. Solche Sicherheitsvorfälle können die Ausübung wirtschaftlicher Tätigkeiten beeinträchtigen, beträchtliche finanzielle Verluste verursachen, das Vertrauen der Nutzer und Nutzerinnen untergraben und unserer Wirtschaft großen Schaden zufügen.
Aus diesem Grund ist das Absichern von Netz- und Informationssystemen für die Gesellschaft wichtig.
Mit der Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates vom 6. Juli 2016 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union, die am 8. August 2016 in Kraft getreten ist, soll EU-weit ein hohes Sicherheitsniveau der Netz- und Informationssysteme erreicht werden.
Vor diesem Hintergrund soll(en) unter anderem die Zusammenarbeit zwischen den Mitgliedstaaten in strategischer und operationeller Hinsicht gestärkt werden, Mitgliedstaaten eine nationale NIS-Strategie erarbeiten, die strategische Ziele, Prioritäten und Maßnahmen enthalten soll, um in den einzelnen Mitgliedstaaten ein hohes Sicherheitslevel der Netz- und Informationssysteme zu erreichen, nationale Behörden und Computer-Notfallteams benannt werden und bestimmte, für das Gemeinwohl wichtige private und öffentliche Anbieter (Betreiber wesentlicher Dienste und digitale Diensteanbieter) zu angemessenen Sicherheitsmaßnahmen und Meldung erheblicher Störfälle verpflichtet werden.
Ein Netz- und Informationssystem im Sinne des NIS-Gesetzes ist/sind:
- ein elektronisches Kommunikationsnetz im Sinne des § 3 Z 11 Telekommunikationsgesetz 2003 (TKG 2003), BGBl. I Nr. 70/2003,
- räumlich verteilte, digitale Verarbeitungsvorrichtungen zur technischen Unterstützung der Erhebung, Verarbeitung, Speicherung, Wartung, Nutzung, Weitergabe, Verbreitung oder Disposition von digitalen Informationen,
- digitale Daten, die in einem solchen elektronischen Kommunikationsnetz oder in solchen Vorrichtungen verarbeitet werden.
Der Begriff der Netz- und Informationssystemsicherheit umfasst nicht nur die Fähigkeit, Sicherheitsvorfälle abzuwehren, sondern auch die Fähigkeit, Sicherheitsvorfälle präventiv vorzubeugen, eine bereits entstandene Störung zu erkennen, zu beseitigen und möglichst rasch den Normalbetrieb wiederherzustellen.
NIS trägt dazu bei, Gefährdungen zu erkennen, zu bewerten und zu verfolgen, die Fähigkeit zu stärken, Störungen zu bewältigen, die damit verbundenen Folgen zu mindern sowie die Handlungs- und Funktionsfähigkeit der davon betroffenen Akteure, Infrastrukturen und Dienste wiederherzustellen.
Der Gegenstand der NIS-Verordnung ist die nähere Festlegung verschiedener Sachverhalte aus dem NIS-Gesetz. Dazu gehören Kriterien für die Parameter zu Sicherheitsvorfällen, nähere Regelungen hinsichtlich den Definitionen von wesentlichen Diensten in den einzelnen Sektoren und Festlegung von Kategorien und Maßnahmen hinsichtlich Sicherheitsvorkehrungen.
Jeder Mitgliedstaat hat gemäß NIS-Richtlinie eine oder mehrere für die Sicherheit von Netz- und Informationssystemen zuständige nationale Behörde zu benennen. Diese werden als "zuständige Behörde" bezeichnet. Ihre Aufgabe ist die Überwachung der Anwendung der NIS-Richtlinie auf nationaler Ebene. In Österreich sind dies das Bundeskanzleramt und das Bundesministerium für Inneres.
Die zentrale Anlaufstelle ist eine operative Verbindungsstelle, die der Gewährleistung der grenzüberschreitenden Zusammenarbeit mit den zuständigen Stellen in den anderen Mitgliedstaaten der Europäischen Union sowie der Kooperationsgruppe und dem CSIRTs-Netzwerk dient. Sie wird wegen des vorwiegend operativen Charakters beim Bundesministerium für Inneres eingerichtet. In Österreich werden generell alle Umsetzungsthemen der NIS-Richtlinie mit operativen Charakter vom Bundeministerium für Inneres wahrgenommen. Strategische Umsetzungsthemen werden vom Bundekanzleramt wahrgenommen.