(Verfassungsbestimmung) Die Erlassung, Aufhebung sowie Vollziehung von Vorschriften, wie sie in diesem Bundesgesetz enthalten sind, sind auch in jenen Angelegenheiten Bundessache, hinsichtlich deren das Bundes-Verfassungsgesetz (B-VG), BGBl. Nr. 1/1930, etwas anderes bestimmt. Die in diesem Bundesgesetz geregelten Angelegenheiten können unmittelbar von Bundesbehörden besorgt werden.

(1) Mit diesem Bundesgesetz werden Maßnahmen festgelegt, mit denen ein hohes Resilienzniveau kritischer Einrichtungen in den im Anhang der Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen und zur Aufhebung der Richtlinie 2008/114/EG des Rates, ABl. Nr. L 333 vom 27.12.2022 S. 164, (im Folgenden: RKE-RL) gelisteten Sektoren sichergestellt werden soll.

(2) Angelegenheiten, die in den Anwendungsbereich der Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie), ABl. Nr. L 333 vom 27.12.2022 S. 80, (im Folgenden: NIS-2-RL) fallen, bleiben von diesem Bundesgesetz unberührt.

(3) Dieses Bundesgesetz gilt nicht für die Bereiche der Gerichtsbarkeit einschließlich der kollegialen und monokratischen Justizverwaltung sowie der Gesetzgebung einschließlich der Parlamentsdirektion und die Österreichische Nationalbank.

Im Sinne dieses Bundesgesetzes bedeutet

(1) Zuständige Behörde im Sinne dieses Bundesgesetzes ist der Bundesminister für Inneres.

(2) (Verfassungsbestimmung) Soweit in diesem Bundesgesetz nicht anderes bestimmt ist, übt der Bundesminister für Inneres seine Befugnisse, wie sie in diesem Bundesgesetz enthalten sind, auch gegenüber den in Art. 19 B-VG bezeichneten obersten Organen der Vollziehung aus.

(3) Der Bundesminister für Inneres kann die Landespolizeidirektionen mit der Durchführung einzelner Aufgaben gemäß den §§ 13 und 20 beauftragen. Der Bundesminister für Inneres kann zudem anordnen, dass ihm von den Landespolizeidirektionen laufend oder zu bestimmten Zeitpunkten direkt über den Fortgang einer Angelegenheit zu berichten ist.

(4) Der Bundesminister für Inneres hat die Funktion als zentrale Anlaufstelle gemäß Art. 9 Abs. 2 RKE-RL auszuüben, die als Verbindungsstelle zu den zentralen Anlaufstellen in den anderen Mitgliedstaaten, zur Gruppe für die Resilienz kritischer Einrichtungen gemäß Art. 19 RKE-RL sowie zur Europäischen Kommission zu fungieren und die Zusammenarbeit mit Drittstaaten zu gewährleisten hat.

(5) Der Bundesminister für Inneres hat mit jenen Behörden, die in Umsetzung des Art. 8 Abs. 1 NIS-2-RL als zuständige Behörden benannt oder eingerichtet wurden, insbesondere im Hinblick auf die Festlegung standardisierter Übermittlungsformate sowie kritische Einrichtungen betreffende Cybersicherheitsrisiken, Cyberbedrohungen, Beinahe-Cybersicherheitsvorfälle, Cybersicherheitsvorfälle, nicht cyberbezogene Risiken, Bedrohungen, Beinahe-Sicherheitsvorfälle und Sicherheitsvorfälle, zusammenzuarbeiten und Informationen zu den ergriffenen Maßnahmen auszutauschen.

(6) Vor Beginn der Tätigkeit müssen sich sämtliche Mitarbeiter, die mit der Wahrnehmung von Aufgaben nach diesem Bundesgesetz betraut sind, einer Sicherheitsüberprüfung gemäß den §§ 55 bis 55b des Sicherheitspolizeigesetzes (SPG), BGBl. Nr. 566/1991, für den Zugang zu geheimer Information unterziehen. Die Sicherheitsüberprüfungen sind alle drei Jahre zu wiederholen. § 55a Abs. 4 dritter und vierter Satz SPG gilt.

Die Führung von Verwaltungsstrafverfahren gemäß § 23 sowie die Feststellung der Nichteinhaltung von Verpflichtungen gemäß § 24 obliegt den Bezirksverwaltungsbehörden.

(1) Gegen Bescheide des Bundesministers für Inneres und wegen Verletzung seiner Entscheidungspflicht kann Beschwerde an das Bundesverwaltungsgericht erhoben werden.

(2) Gegen Bescheide der Bezirksverwaltungsbehörden und wegen Verletzung ihrer Entscheidungspflicht in Verwaltungssachen kann Beschwerde an die Verwaltungsgerichte der Länder erhoben werden.

(1) Der Bundesminister für Inneres ist als Verantwortlicher gemäß Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 04.05.2016 S. 1, in der Fassung der Berichtigung ABl. Nr. L 74 vom 04.03.2021 S. 35, (im Folgenden: DSGVO) ermächtigt,

zu verarbeiten, soweit dies zur Erfüllung seiner Aufgaben nach diesem Bundesgesetz erforderlich ist.

(2) Übermittlungen der gemäß Abs. 1 verarbeiteten Daten sind

zulässig.

(3) Der Bundesminister für Inneres ist ermächtigt, zum Zwecke der Gewährleistung der grenzüberschreitenden Zusammenarbeit die gemäß Abs. 1 verarbeiteten Daten an die Europäische Kommission, die anderen Mitgliedstaaten, die Gruppe für die Resilienz kritischer Einrichtungen gemäß Art. 19 RKE-RL sowie Drittstaaten zu übermitteln, soweit dies jeweils zur Erfüllung einer in der RKE-RL vorgesehenen Informationsverpflichtung erforderlich ist, sowie entsprechende Daten, die von der Europäischen Kommission, anderen Mitgliedstaaten sowie Drittstaaten übermittelt wurden, zu verarbeiten.

(4) Der Bundesminister für Inneres ist zudem ermächtigt, zur Erfüllung seiner Aufgaben gemäß § 17 Abs. 5 sowie § 13 Abs. 2 Z 10 sachdienliche Informationen an kritische Einrichtungen zu übermitteln.

(5) Die gemäß den Abs. 1 bis 4 verarbeiteten Daten sind spätestens fünf Jahre nach Rechtskraft eines Bescheids gemäß § 11 Abs. 8 zu löschen.

(6) Jede Verarbeitung von Daten gemäß den Abs. 1 bis 4 ist vom Bundesminister für Inneres zu protokollieren. Protokolldaten über durchgeführte Verarbeitungsvorgänge, insbesondere Änderungen und Abfragen, sind drei Jahre lang aufzubewahren und danach zu löschen.

(7) Hinsichtlich der Verarbeitung personenbezogener Daten nach diesem Bundesgesetz besteht kein Widerspruchsrecht gemäß Art. 21 DSGVO sowie kein Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO. Darüber sind die Betroffenen in geeigneter Weise zu informieren.

(1) Nach Anhörung der von einem Sicherheitsvorfall betroffenen kritischen Einrichtung kann der Bundesminister für Inneres erforderliche personenbezogene Identifikations- und Erreichbarkeitsdaten der kritischen Einrichtung sowie sonstige erforderliche Informationen, die mit einer Meldung zu einem Sicherheitsvorfall in Zusammenhang stehen, nach Abwägung der Auswirkungen auf die betroffene kritische Einrichtung veröffentlichen, sofern die Sensibilisierung der Öffentlichkeit zur Verhütung oder zur Bewältigung von Sicherheitsvorfällen erforderlich ist. Die Veröffentlichung darf nur insoweit erfolgen, als diese keine Gefahr für die öffentliche Ordnung oder Sicherheit oder für die nationale Sicherheit einschließlich der militärischen Landesverteidigung darstellt und keine schutzwürdigen Interessen kritischer Einrichtungen beeinträchtigt.

(2) Der Bundesminister für Inneres hat die im jeweiligen Wirkungsbereich betroffenen Bundesministerien sowie die betroffenen Länder über das Vorliegen eines Sicherheitsvorfalls zu informieren.

(3) Der Bundesminister für Inneres hat dem Nationalrat einen jährlichen Bericht über eingetretene Sicherheitsvorfälle bis zum 30. Juni des Folgejahres zu übermitteln.

(1) Der Bundesminister für Inneres hat auf Grundlage der gemäß § 9 erstellten Strategie sowie der gemäß § 10 durchgeführten Risikoanalyse in den im Anhang der RKE-RL angeführten Kategorien von Einrichtungen der gelisteten Sektoren und Teilsektoren Einrichtungen bescheidmäßig als kritisch einzustufen, wenn

Einrichtungen haben an der Feststellung des für die Einstufung maßgeblichen Sachverhalts mitzuwirken.

(2) Der Bundesminister für Inneres ist verpflichtet, durch Verordnung festzulegen, ob gemäß Abs. 1 Z 4 ein Sicherheitsvorfall eintreten kann. Dabei sind folgende Parameter zu berücksichtigen:

(3) In dem gemäß Abs. 1 erlassenen Bescheid sind kritische Einrichtungen über ihre Verpflichtungen gemäß den Abs. 5 bis 7 und 9 zweiter Satz sowie den §§ 14, 15, 17 und 19 Abs. 1 zu informieren.

(4) In dem gemäß Abs. 1 erlassenen Bescheid sind kritische Einrichtungen in den im Anhang der RKE-RL gelisteten Sektoren digitale Infrastruktur, Bankwesen und Finanzmarktinfrastrukturen darüber zu informieren, dass die Verpflichtungen gemäß den Abs. 5 bis 7 sowie den §§ 14, 15, 17 und 19 auf sie keine Anwendung finden.

(5) Kritische Einrichtungen haben dem Bundesminister für Inneres innerhalb von vier Wochen nach bescheidmäßiger Einstufung gemäß Abs. 1 eine zentrale Kontaktstelle sowie mindestens eine Ansprechperson zu benennen und sind diesbezügliche Änderungen unverzüglich, längstens jedoch binnen zwei Wochen bekanntzugeben, wobei die Erreichbarkeit der zentralen Kontaktstelle jedenfalls für jenen Zeitraum sicherzustellen ist, in dem kritische Einrichtungen ihre wesentlichen Dienste erbringen.

(6) Kritische Einrichtungen, die über keine Abgabestelle im Inland verfügen, haben dem Bundesminister für Inneres einen Zustellungsbevollmächtigten gemäß § 9 des Zustellgesetzes (ZustG), BGBl. Nr. 200/1982, namhaft zu machen.

(7) Zudem haben kritische Einrichtungen ohne Niederlassung im Inland für die Einhaltung der Verwaltungsvorschriften nach diesem Bundesgesetz dem Bundesminister für Inneres einen verantwortlichen Beauftragten gemäß § 9 des Verwaltungsstrafgesetzes 1991 (VStG), BGBl. Nr. 52/1991, namhaft zu machen.

(8) Fallen die Voraussetzungen für die Erlassung des Bescheids gemäß Abs. 1 nachträglich weg, ist der Bescheid unverzüglich nach Kenntnis des Wegfalls aufzuheben.

(9) Der Bundesminister für Inneres hat eine Liste mit den ermittelten kritischen Einrichtungen zu erstellen, diese in regelmäßigen Abständen, längstens jedoch alle vier Jahre zu überprüfen und gegebenenfalls anzupassen. Kritische Einrichtungen haben dem Bundesminister für Inneres Änderungen des für die Einstufung maßgeblichen Sachverhalts unverzüglich bekanntzugeben.

(10) Der Bundesminister für Inneres ist verpflichtet, jenen Behörden, die in Umsetzung des Art. 8 Abs. 1 NIS-2-RL als zuständige Behörden benannt oder eingerichtet wurden, innerhalb eines Monats nach bescheidmäßiger Einstufung die Identität der ermittelten kritischen Einrichtungen einschließlich des Sektors sowie des Teilsektors, in dem diese Einrichtungen ihren wesentlichen Dienst erbringen, bekanntzugeben.

(1) Im Sektor öffentliche Verwaltung sind vom Bundesminister für Inneres gemäß § 11 Abs. 1 nur Einrichtungen zu ermitteln, die abweichend von den in § 11 Abs. 1 Z 1 bis 4 festgelegten Voraussetzungen

(2) Einrichtungen im Sektor öffentliche Verwaltung, deren Wirkungsbereiche überwiegend die nationale Sicherheit einschließlich der militärischen Landesverteidigung, die öffentliche Sicherheit oder die Strafverfolgung umfassen, unterliegen nicht den Bestimmungen dieses Bundesgesetzes.

(3) Unbeschadet des Abs. 2 haben der Bundesminister für Inneres, der Bundesminister für Justiz und der Bundesminister für Landesverteidigung im jeweiligen Wirkungsbereich die notwendigen strukturellen Voraussetzungen zur Sicherstellung eines hohen Resilienzniveaus zu schaffen.

(1) Der Bundesminister für Inneres ist verpflichtet, auf Grundlage der gemäß § 10 durchgeführten Risikoanalyse kritische Einrichtungen bei der Verbesserung ihrer Resilienz zu unterstützen sowie Vorsorgemaßnahmen zu ergreifen. Dies hat jedenfalls folgende Tätigkeiten zu umfassen:

(2) Der Bundesminister für Inneres kann zudem insbesondere folgende weitere Maßnahmen ergreifen:

(1) Kritische Einrichtungen haben erstmalig innerhalb von neun Monaten nach bescheidmäßiger Einstufung gemäß § 11 Abs. 1 und im Anschluss bei Änderungen der maßgeblichen Risikofaktoren anlassbezogen, längstens jedoch alle vier Jahre insbesondere auf Grundlage der vom Bundesminister für Inneres durchgeführten Risikoanalyse gemäß § 10 eine Risikoanalyse durchzuführen und die Ergebnisse strukturiert aufzubereiten.

(2) Die Risikoanalyse gemäß Abs. 1 hat die wechselseitige Abhängigkeit zwischen dem von der jeweiligen kritischen Einrichtung erbrachten wesentlichen Dienst und wesentlichen Diensten, die von anderen Einrichtungen der im Anhang der RKE-RL gelisteten Sektoren erbracht werden, zu berücksichtigen.

(3) Den Anforderungen gemäß den Abs. 1 und 2 wird insoweit entsprochen, als von der kritischen Einrichtung aufgrund anderer rechtlicher Verpflichtungen Risikoanalysen durchgeführt werden, die hinsichtlich der Anforderungen gemäß den Abs. 1 und 2 zumindest gleichwertig sind.

(1) Kritische Einrichtungen haben auf Grundlage der seitens des Bundesministers für Inneres bereitgestellten Elemente der gemäß § 10 durchgeführten Risikoanalyse sowie der Ergebnisse der gemäß § 14 durchgeführten Risikoanalyse nach Ablauf von zehn Monaten nach bescheidmäßiger Einstufung gemäß § 11 Abs. 1 geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen in Bezug auf den von ihnen erbrachten wesentlichen Dienst gemäß § 11 Abs. 1 Z 4 zu treffen. Diese sind in einem Resilienzplan (§ 3 Z 12) darzulegen.

(2) Bei den Resilienzmaßnahmen handelt es sich insbesondere um solche, die erforderlich sind, um

(3) Der Anforderung gemäß Abs. 1 erster Satz wird insoweit entsprochen, als von der kritischen Einrichtung aufgrund anderer rechtlicher Verpflichtungen Resilienzmaßnahmen ergriffen wurden, die hinsichtlich der in Abs. 1 genannten technischen, sicherheitsbezogenen und organisatorischen Anforderungen zumindest gleichwertig sind.

(1) Auf begründetes Ersuchen der kritischen Einrichtung ist zum Zweck der Bewertung eines potenziellen Sicherheitsrisikos für die kritische Einrichtung

einer Zuverlässigkeitsüberprüfung zu unterziehen, sofern eine solche unter Berücksichtigung der Risikoanalyse gemäß § 10 erforderlich ist. Solange die Voraussetzungen nach diesem Absatz erfüllt sind, kann die Überprüfung der Zuverlässigkeit nach drei Jahren wiederholt werden. Bei Vorliegen von Anhaltspunkten, wonach eine Person nicht mehr zuverlässig sein könnte, kann die Überprüfung der Zuverlässigkeit vor Ablauf dieser Frist wiederholt werden.

(2) Zum Zweck der Durchführung der Zuverlässigkeitsüberprüfung gemäß Abs. 1 hat die kritische Einrichtung die personenbezogenen Daten der betroffenen Personen dem Bundesminister für Inneres im elektronischen Weg über einen sicheren Kommunikationskanal strukturiert zu übermitteln. Diese Daten haben den Vor- und Familiennamen, gegebenenfalls den Geburtsnamen, das Geschlecht, das Geburtsdatum, den Geburtsort einschließlich des Geburtslandes, die Staatsangehörigkeiten, die Vornamen der Eltern, den Hauptwohnsitz, Strafregisterbescheinigungen oder vergleichbare Nachweise aus Drittstaaten der letzten fünf Jahre in beglaubigter Übersetzung in deutscher oder englischer Sprache, die bei erstmaliger Vorlage nicht älter als sechs Monate sein dürfen, die Angabe der Art der beabsichtigten Tätigkeit und die Zustimmung zur Überprüfung der Zuverlässigkeit sowie zur Übermittlung des Ergebnisses der Überprüfung an die ersuchende kritische Einrichtung zu enthalten. Zudem ist, wenn vorhanden, eine Kopie eines Reisepasses, Personalausweises oder Identitätsausweises (§ 35a SPG) des Herkunftsstaates, ansonsten eine Kopie eines Fremdenpasses oder Konventionsreisepasses vorzulegen.

(3) Zum Zweck der Überprüfung der Zuverlässigkeit ist der Bundesminister für Inneres zudem ermächtigt, jene personenbezogenen Daten zu verarbeiten, die die Sicherheitsbehörden in Vollziehung von Bundes- oder Landesgesetzen verarbeitet haben. Darüber hinaus sind Staatsanwaltschaften und Gerichte ermächtigt, den Sicherheitsbehörden nach Maßgabe des § 76 Abs. 4 der Strafprozeßordnung 1975 (StPO), BGBl. Nr. 631/1975, ermittelte personenbezogene Daten zu übermitteln, soweit eine Weiterverarbeitung dieser Daten durch die Sicherheitsbehörden zur Überprüfung der Zuverlässigkeit erforderlich ist.

(4) Der Bundesminister für Inneres hat die Landespolizeidirektion Wien um Einholung von Informationen aus dem Strafregister eines anderen Mitgliedstaates oder des Vereinigten Königreichs zu ersuchen, soweit dies zur Überprüfung der Zuverlässigkeit erforderlich ist.

(5) Bei der Überprüfung der Zuverlässigkeit ist zu berücksichtigen, ob

Einer Verurteilung durch ein inländisches Gericht ist eine Verurteilung durch ein ausländisches Gericht gleichzuhalten, die den Voraussetzungen des § 73 des Strafgesetzbuches (StGB), BGBl. Nr. 60/1974, entspricht.

(6) Der Bundesminister für Inneres hat das Ergebnis der Überprüfung der Zuverlässigkeit unverzüglich der ersuchenden kritischen Einrichtung zu übermitteln.

(7) Für die Überprüfung der Zuverlässigkeit gebührt dem Bund von der ersuchenden kritischen Einrichtung als Ersatz ein Pauschalbetrag, der nach Maßgabe der durchschnittlichen Aufwendungen mit Verordnung des Bundesministers für Inneres festgesetzt wird. Die Zuverlässigkeitsüberprüfung ist nach der Entrichtung der Gebühr durchzuführen. Der Bund, die von ihm betriebenen Unternehmungen sowie die übrigen Gebietskörperschaften im Rahmen ihres öffentlich-rechtlichen Wirkungskreises sind von der Entrichtung der Gebühr befreit.

(1) Kritische Einrichtungen haben nach Ablauf von zehn Monaten nach bescheidmäßiger Einstufung Sicherheitsvorfälle unverzüglich, längstens jedoch binnen 24 Stunden nach Kenntnis dem Bundesminister für Inneres strukturiert zu melden, soweit dies aus operativer Sicht möglich ist. Ergänzende Informationen sowie Informationen über später bekannt gewordene Umstände zum Sicherheitsvorfall sind dem Bundesminister für Inneres längstens binnen eines Monats nach der Erstmeldung in einer Folgemeldung mitzuteilen.

(2) Der Bundesminister für Inneres ist verpflichtet, durch Verordnung festzulegen, wann ein Sicherheitsvorfall vorliegt. Dabei sind insbesondere folgende Parameter zu berücksichtigen:

(3) In den Meldungen gemäß Abs. 1 müssen sämtliche relevanten Informationen zum Sicherheitsvorfall, die zum Zeitpunkt der Erst- und Folgemeldung bekannt sind, insbesondere die Art, die vermutete oder tatsächliche Ursache und die Folgen des Sicherheitsvorfalls, bereits zur Abwehr des Sicherheitsvorfalls ergriffene Maßnahmen sowie Angaben zur betroffenen kritischen Infrastruktur, enthalten sein. Informationen, die erforderlich sind, um grenzüberschreitende Auswirkungen des Sicherheitsvorfalls zu eruieren, sind ebenfalls zu übermitteln. Die Meldung ist in einem standardisierten elektronischen Format zu übermitteln.

(4) Auf Ersuchen des Bundesministers für Inneres haben kritische Einrichtungen innerhalb einer angemessenen Frist weitere erforderliche Informationen zum Sicherheitsvorfall zu übermitteln. Kritische Einrichtungen sind verpflichtet, den Bundesminister für Inneres unverzüglich über die Beendigung eines Sicherheitsvorfalls zu informieren.

(5) Der Bundesminister für Inneres ist verpflichtet, auf Grundlage der Meldungen gemäß den Abs. 1 und 4 den vom Sicherheitsvorfall betroffenen kritischen Einrichtungen sachdienliche Informationen, insbesondere über die wirksame Abwehr und Bewältigung des betreffenden Sicherheitsvorfalls, unverzüglich zur Verfügung zu stellen.

(6) Bedrohungen und Beinahe-Sicherheitsvorfälle können von kritischen Einrichtungen an den Bundesminister für Inneres gemeldet werden.

(7) Langen beim Bundesminister für Inneres Meldungen über erhebliche Sicherheitsvorfälle gemäß Art. 23 NIS-2-RL ein, hat er die jeweiligen Einrichtungen unverzüglich an die für die Entgegennahme dieser Meldungen zuständigen Stellen zu verweisen.

(8) Der Bundesminister für Inneres hat in seiner Funktion als zentrale Anlaufstelle die zentralen Anlaufstellen anderer Mitgliedstaaten zu informieren, sofern auf Grundlage der Meldungen gemäß Abs. 1 ein Sicherheitsvorfall erhebliche Auswirkungen auf kritische Einrichtungen und die Erbringung wesentlicher Dienste für diese oder in diesen Mitgliedstaaten hat oder haben könnte. Der Bundesminister für Inneres hat die Europäische Kommission zudem über das Vorliegen eines Sicherheitsvorfalls zu informieren, sofern dieser erhebliche Auswirkungen auf die Erbringung eines wesentlichen Dienstes für oder in mindestens sechs Mitgliedstaaten hat oder haben könnte.

(1) Die Anforderungen gemäß § 15 sind insoweit nicht anwendbar,

Der Bundesminister für Inneres hat über gleichwertige Bestimmungen gemäß Z 1 und das Ausmaß der Gleichwertigkeit gemäß Z 2 auf der Homepage des Bundesministeriums für Inneres zu informieren.

(2) Bei Beurteilung der Gleichwertigkeit ist auf den Inhalt sowie den Zweck der sektorspezifischen unionsrechtlichen Verpflichtungen sowie auf die potenziellen Auswirkungen der aufgrund dieser Verpflichtungen zu ergreifenden Maßnahmen auf das Resilienzniveau Bedacht zu nehmen. Dabei sind insbesondere der Inhalt, der Umfang sowie die konkrete Ausgestaltung der gleichwertigen Verpflichtungen zu berücksichtigen.

(3) § 11 Abs. 5 bis 7 sowie die §§ 14, 15, 17 und 19 gelten nicht für kritische Einrichtungen in den im Anhang der RKE-RL gelisteten Sektoren digitale Infrastruktur, Bankwesen und Finanzmarktinfrastrukturen.

(1) Kritische Einrichtungen haben dem Bundesminister für Inneres unverzüglich mitzuteilen, dass sie wesentliche Dienste für oder in mindestens sechs Mitgliedstaaten erbringen. Diese Mitteilung hat insbesondere auch Informationen darüber zu enthalten, welche wesentlichen Dienste sie für oder in diesen Mitgliedstaaten erbringen und um welche Mitgliedstaaten es sich dabei handelt. Kritische Einrichtungen haben zudem den Bundesminister für Inneres über den Wegfall der Voraussetzungen zu unterrichten. Der Bundesminister für Inneres hat die Europäische Kommission unverzüglich über die Identität solcher kritischen Einrichtungen einschließlich der sonstigen gemäß diesem Absatz mitgeteilten Informationen zu unterrichten.

(2) Der Bundesminister für Inneres ist verpflichtet, Mitteilungen der Europäischen Kommission über Einstufungen als kritische Einrichtungen von besonderer Bedeutung für Europa gemäß Art. 17 Abs. 3 RKE-RL unverzüglich an die jeweiligen kritischen Einrichtungen weiterzuleiten und diese insbesondere über ihre Verpflichtungen gemäß den Abs. 3 und 4 zu unterrichten. Die Verpflichtungen gelten ab dem Zeitpunkt der Zustellung der Mitteilung an die kritische Einrichtung.

(3) Kritische Einrichtungen von besonderer Bedeutung für Europa sind, soweit dies erforderlich ist, verpflichtet, seitens der Europäischen Kommission gemäß Art. 18 RKE-RL organisierten Beratungsmissionen Zugang zu ihrer kritischen Infrastruktur zu ermöglichen und Einsicht in diesbezügliche Unterlagen und Informationen zu gewähren.

(4) Kritische Einrichtungen von besonderer Bedeutung für Europa sind verpflichtet, den Bundesminister für Inneres über die aufgrund einer Empfehlung der Europäischen Kommission gemäß Art. 18 Abs. 4 Unterabsatz 3 RKE-RL ergriffenen Maßnahmen zu unterrichten.

(5) Der Bundesminister für Inneres hat der Europäischen Kommission auf begründetes Ersuchen der Europäischen Kommission oder eines gemäß Abs. 1 betroffenen Mitgliedstaats gemäß Art. 18 Abs. 3 RKE-RL die relevanten Elemente der von der jeweiligen kritischen Einrichtung von besonderer Bedeutung für Europa durchgeführten Risikoanalyse (§ 14) und eine Auflistung der von dieser getroffenen Resilienzmaßnahmen (§ 15) sowie der gegenüber dieser ergriffenen Aufsichts- und Durchsetzungsmaßnahmen (§ 20) zu übermitteln.

(6) Der Bundesminister für Inneres hat der Europäischen Kommission im Zuge einer Konsultation gemäß Art. 17 Abs. 2 UAbs. 2 RKE-RL mitzuteilen, ob es sich bei den Diensten, die von einer kritischen Einrichtung von besonderer Bedeutung für Europa erbracht werden, um wesentliche Dienste handelt.

(1) Der Bundesminister für Inneres ist ermächtigt, von kritischen Einrichtungen innerhalb einer angemessenen Frist unter Angabe des Zwecks sowie der Art und des Umfangs der erforderlichen Informationen die Übermittlung der Risikoanalyse gemäß § 14 Abs. 1, des Resilienzplans gemäß § 15 Abs. 1 sowie sonstige Nachweise für die Erfüllung der Anforderungen gemäß den §§ 14 und 15 zu verlangen. Kann auf Grundlage der von der kritischen Einrichtung übermittelten Nachweise nicht beurteilt werden, ob die Anforderungen gemäß den §§ 14 und 15 erfüllt wurden, kann der Bundesminister für Inneres von der jeweiligen kritischen Einrichtung die Durchführung eines Audits (§ 3 Z 13) verlangen.

(2) Auf Verlangen des Bundesministers für Inneres gemäß Abs. 1 haben kritische Einrichtungen zur Überprüfung der Anforderungen gemäß den §§ 14 und 15 die erforderlichen Informationen sowie den Prüfbericht über durchgeführte Audits an den Bundesminister für Inneres zu übermitteln.

(3) Zur Überprüfung der Einhaltung der Anforderungen gemäß § 15 ist der Bundesminister für Inneres zudem nach vorheriger Ankündigung berechtigt, Vor-Ort-Kontrollen der kritischen Infrastruktur sowie der Räumlichkeiten, die der Erbringung der wesentlichen Dienste dienen, durchzuführen. Zu diesem Zweck haben kritische Einrichtungen dem Bundesminister für Inneres auf Verlangen im erforderlichen Ausmaß das gefahrlose Betreten und Besichtigen ihrer kritischen Infrastruktur und Räumlichkeiten zu ermöglichen, die erforderlichen Informationen zu erteilen sowie Einschau in relevante sachdienliche Unterlagen und Aufzeichnungen zu gewähren. Die kritischen Einrichtungen haben aktiv an der Überprüfung, insbesondere durch beigestelltes, fachkundiges Personal, mitzuwirken. Die Durchführung der Überprüfung hat im unbedingt erforderlichen Ausmaß zu erfolgen und ist unter möglichster Schonung der Rechte der betroffenen Einrichtung und Dritter auszuüben.

(4) Hat eine kritische Einrichtung ihre Niederlassung in einem anderen Mitgliedstaat der Europäischen Union, ist der Bundesminister für Inneres ermächtigt, die zuständige Behörde dieses Mitgliedstaates zu ersuchen, Maßnahmen gemäß Abs. 3 zu ergreifen und die Ergebnisse einer solchen Überprüfung der eigenen Beurteilung zugrunde zu legen.

(5) Ergibt sich im Rahmen der Überprüfungen gemäß den Abs. 1 bis 4, dass die Anforderungen an die Risikoanalyse gemäß § 14 und die Anforderungen an die Resilienzmaßnahmen gemäß § 15 nicht oder nicht vollständig erfüllt werden, hat der Bundesminister für Inneres der kritischen Einrichtung mit Bescheid aufzutragen, innerhalb einer angemessenen Frist erforderliche und verhältnismäßige Maßnahmen nachweislich zu ergreifen, die zur Herstellung des rechtmäßigen Zustandes notwendig sind.

(6) Der Bundesminister für Inneres hat bei Ergreifung von Aufsichts- und Durchsetzungsmaßnahmen jene Behörden, die in Umsetzung des Art. 8 Abs. 1 NIS-2-RL als zuständige Behörden benannt oder eingerichtet wurden, zu unterrichten.

(7) Der Bundesminister für Inneres hat dem Nationalrat einen jährlichen Bericht über die ergriffenen Aufsichts- und Durchsetzungsmaßnahmen bis zum 30. Juni des Folgejahres zu übermitteln.

(1) Ein Resilienzauditor ist eine natürliche oder juristische Person oder eingetragene Personengesellschaft mit Niederlassung in Österreich oder in einem anderen EU-Mitgliedstaat, der aufgrund eines begründeten schriftlichen Antrags bei Erfüllung der in der Verordnung gemäß Abs. 2 normierten Voraussetzungen aufgrund eines rechtskräftigen Bescheids des Bundesministers für Inneres zur Durchführung von Audits (§ 3 Z 13) berechtigt ist.

(2) Ein Resilienzauditor ist verpflichtet, Sicherheitsvorkehrungen zu treffen, geeignete technische und organisatorische Hilfsmittel zu verwenden sowie über ein System zur Qualitätssicherung zu verfügen, um in seinem Aufgabenbereich Audits durchführen zu können. Zudem darf das Audit lediglich durch sicherheitsüberprüfte Personen vorgenommen werden. Der Bundesminister für Inneres ist ermächtigt, mit Verordnung die Voraussetzungen, die Resilienzauditoren erfüllen müssen, sowie nähere verfahrensrechtliche Bestimmungen festzulegen. In dieser Verordnung können auch nähere Regelungen zu Form und Inhalt des Prüfberichts vorgesehen werden.

(3) Der Bundesminister für Inneres ist befugt, zur Kontrolle der Einhaltung der gemäß Abs. 2 normierten Voraussetzungen von Resilienzauditoren Auskünfte zu verlangen, Einschau in erforderliche Unterlagen zu nehmen sowie nach vorheriger Ankündigung Vor-Ort-Kontrollen durchzuführen. § 20 Abs. 3 zweiter bis vierter Satz sowie § 20 Abs. 4 gelten sinngemäß.

(4) Der Resilienzauditor ist verpflichtet, dem Bundesminister für Inneres unverzüglich Änderungen betreffend die Voraussetzungen gemäß Abs. 2 sowie deren Wegfall mitzuteilen.

(5) Bei Wegfall oder Nichteinhaltung der gemäß Abs. 2 normierten Voraussetzungen ist der Resilienzauditor vom Bundesminister für Inneres darauf hinzuweisen, dass er diese binnen einer angemessenen Frist nachweislich zu erfüllen hat. Wird dieser Nachweis nicht innerhalb der festgelegten Frist erbracht, hat der Bundesminister für Inneres die Erteilung der Berechtigung gemäß Abs. 1 mit Bescheid zu widerrufen.

(6) Der Bundesminister für Inneres ist verpflichtet, eine Liste mit den berechtigten Resilienzauditoren zu führen und den kritischen Einrichtungen eine aktuelle Liste zur Verfügung zu stellen.

(7) Resilienzauditoren sowie das von diesen eingesetzte Personal sind zur vertraulichen Behandlung der im Rahmen der Durchführung von Audits (§ 3 Z 13) bekanntgewordenen Informationen verpflichtet.

(1) Der Bundesminister für Inneres hat der zuständigen Bezirksverwaltungsbehörde den Verdacht einer Verwaltungsübertretung gemäß § 23 Abs. 1 oder Abs. 2 sowie die Nichteinhaltung der sich aus diesem Bundesgesetz ergebenden Verpflichtungen durch Behörden und sonstige Stellen der öffentlichen Verwaltung einschließlich der Gebietskörperschaften sowie in Formen des Privatrechts eingerichtete Stellen der öffentlichen Verwaltung (§ 24) anzuzeigen.

(2) Die Bezirksverwaltungsbehörde hat dem Bundesminister für Inneres einen jährlichen Bericht über die Einleitung sowie die Gründe der Nichteinleitung oder Einstellung von Verwaltungsstrafverfahren und Verfahren gemäß § 24 nach standardisierten Vorgaben bis zum 31. März des Folgejahres zu übermitteln.

(1) Eine Verwaltungsübertretung begeht, wer

Die Begehung ist von der Bezirksverwaltungsbehörde mit einer Geldstrafe bis zu 50 000 Euro, im Wiederholungsfall bis zu 100 000 Euro zu bestrafen.

(2) Eine Verwaltungsübertretung begeht außerdem, wer

Die Begehung ist von der Bezirksverwaltungsbehörde mit einer Geldstrafe bis zu 500 000 Euro zu bestrafen.

(3) Die Bezirksverwaltungsbehörde kann Geldstrafen gegen eine juristische Person oder eingetragene Personengesellschaft verhängen, wenn Verwaltungsübertretungen gemäß den Abs. 1 und 2 durch Personen begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person oder der eingetragenen Personengesellschaft gehandelt haben und eine Führungsposition aufgrund

innehaben.

(4) Juristische Personen oder eingetragene Personengesellschaften können wegen Verwaltungsübertretungen gemäß den Abs. 1 und 2 auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in Abs. 3 genannte Person die Begehung dieser Verstöße durch eine für die juristische Person oder eingetragene Personengesellschaft tätige Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung erfüllt.

(5) Von der Bestrafung eines Verantwortlichen gemäß § 9 VStG ist abzusehen, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person oder eingetragene Personengesellschaft verhängt wird.

(Verfassungsbestimmung) Die Bezirksverwaltungsbehörde hat abweichend von § 23 die Nichteinhaltung der sich aus diesem Bundesgesetz ergebenden Verpflichtungen durch als kritisch eingestufte Behörden und sonstige Stellen der öffentlichen Verwaltung einschließlich der Gebietskörperschaften sowie in Formen des Privatrechts eingerichtete Stellen der öffentlichen Verwaltung mit Bescheid festzustellen und eine angemessene Frist zur Herstellung des rechtmäßigen Zustandes anzuordnen. Wird der rechtmäßige Zustand nicht fristgerecht hergestellt, hat die Bezirksverwaltungsbehörde nach Rechtskraft des Bescheids die Nichteinhaltung dieser Verpflichtungen in einer allgemeinen Weise zu veröffentlichen, die geeignet scheint, einen möglichst weiten Personenkreis zu erreichen. Diese Veröffentlichung darf nur insoweit erfolgen, als diese keine Gefahr für die öffentliche Ordnung oder Sicherheit oder für die nationale Sicherheit einschließlich der militärischen Landesverteidigung darstellt und keine schutzwürdigen Interessen kritischer Einrichtungen beeinträchtigt.

Dieses Bundesgesetz dient der Umsetzung der Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen und zur Aufhebung der Richtlinie 2008/114/EG, ABl. Nr. L 333 vom 27.12.2022 S. 164.

Alle in diesem Bundesgesetz verwendeten personenbezogenen Bezeichnungen gelten gleichermaßen für alle Geschlechter.

Mit der Vollziehung dieses Bundesgesetzes sind betraut

Verweisungen in diesem Bundesgesetz auf andere Bundesgesetze sind als Verweisungen auf die jeweils geltende Fassung zu verstehen.