Rechtstracker.atÄnderungen zwischen den Fassungen
§ 44geändertAbs 1 bis Abs 4; Abs 5 (entfallen), Z 1 bis Z 3; Abs 4 Z 5 (entfallen); Abs 6 bis Abs 14 (entfallen)
6. Abschnitt
Offenes Internet und Netzsicherheit
Sicherheit und Integrität
§ 44.
(1) Betreiber und Anbieter haben durch technische und organisatorische Maßnahmen ein Sicherheitsniveau zu gewährleisten, das zur angemessenen Beherrschung der Risiken für die Sicherheit von Netzen und Diensten geeignet ist. Dabei sollten diese Maßnahmen unter Berücksichtigung des Standes der Technik ein Sicherheitsniveau der Netze und Dienste gewährleisten, das angesichts des bestehenden Risikos verhältnismäßig und angemessen ist. Insbesondere sind Maßnahmen, einschließlich gegebenenfalls Verschlüsselung, zu ergreifen, um Auswirkungen von Sicherheitsvorfällen auf Nutzer und auf andere Netze und Dienste zu vermeiden und so gering wie möglich zu halten. Die Regulierungsbehörde kann Betreibern und Anbietern verhältnismäßige und angemessene Sicherheitsmaßnahmen innerhalb bestimmter Fristen vorschreiben. Bei Gefahr in Verzug kann die Regulierungsbehörde auch ohne vorheriges Ermittlungsverfahren gemäß § 57 AVG gegenüber Betreibern und Anbietern vorläufig die Ergreifung verhältnimäßiger und angemessener Maßnahmen zur Behebung oder Verhinderung eines Sicherheitsvorfalls innerhalb bestimmter Fristen anordnen. Betreiber und Anbieter haben nach Maßgabe anderer Rechtsvorschriften Maßnahmen für Cybersicherheit zu ergreifen. Für den Fall, dass diese Rechtsvorschriften nicht ausreichen, das in § 1 Abs. 2 Z 4 genannte Ziel der Aufrechterhaltung der Sicherheit der Netze und Dienste zu gewährleisten, ist die Regulierungsbehörde ermächtigt, im Einvernehmen mit dem Bundeskanzler, dem Bundesminister für Wohnen, Kunst, Kultur, Medien und Sport und der Cybersicherheitsbehörde unter Bedachtnahme auf relevante internationale Vorschriften, die nationale Cybersicherheitsstrategie, die Art des Netzes oder des Dienstes, die technischen Möglichkeiten und sonstige schutzwürdige Interessen von Nutzern mit Verordnung nähere Bestimmungen über technische und organisatorische Sicherheitsmaßnahmen festzulegen.
(2) Falls ein Sicherheitsvorfall in öffentlichen elektronischen Kommunikationsnetzen oder -diensten eine besondere und erhebliche Gefahr hervorruft, haben die betroffenen Betreiber und Anbieter die von der Gefahr potenziell betroffenen Nutzer kostenlos und unverzüglich über die Gefahr und alle möglichen Schutz- oder Abhilfemaßnahmen, die von den Nutzern ergriffen werden können, zu informieren. In der Verordnung nach Abs. 1 kann auch angeordnet werden, dass Betreiber von öffentlichen Kommunikationsnetzen oder öffentlichen Kommunikationsdiensten, die ihre Netze oder Dienste in Österreich betreiben und über keinen Aufenthalt oder Sitz in der Europäischen Union verfügen, eine inländische Zustelladresse bekannt geben müssen, an die in Verfahren nach diesem Bundesgesetz rechtskräftig zugestellt werden kann. Dies kann auch für Hersteller von Komponenten eines Netzes für elektronische Kommunikation oder für Bereitsteller von Dienstleistungen für solche Netze angeordnet werden, sofern sie ihre Waren oder Dienstleistungen in Österreich anbieten oder nach Österreich importiert werden und sie über keinen Aufenthalt oder Sitz in der Europäischen Union verfügen.
(3) Betreiber und Anbieter sind verpflichtet, der Regulierungsbehörde im Rahmen ihrer gesetzlich übertragenen Aufgaben nach Aufforderung die zur Beurteilung der Sicherheit ihrer Dienste und Netze erforderlichen Informationen, einschließlich Unterlagen über ihre Sicherheitsmaßnahmen, zu übermitteln. Der RTR-GmbH, Fachbereich Telekommunikation und Post, im Rahmen der ihr übertragenen Aufgaben, werden darüber hinaus folgende Aufgaben übertragen:
1. die Zahl der von Durchführung einer Branchenrisikoanalyse in Zusammenarbeit mit dem Sicherheitsvorfall betroffenen Nutzer Bundeskanzleramt, den Bundesministerien für Wohnen, Kunst, Kultur, Medien und Sport, für Inneres und für Landesverteidigung, dem CSIRT sowie den Betreibern von Fest- und von Mobilfunknetzen in Abständen von jeweils zwei Jahren sowie Erstellung eines Abschlussberichts, der den teilnehmenden Institutionen zur Verfügung zu stellen und unter Beachtung des notwendigen Schutzes kritischer Infrastrukturen in einer bereinigten Version auf der RTR-Website zu veröffentlichen ist;
2. die Dauer des Sicherheitsvorfalls, Mitwirkung an der Erstellung eines Mustersicherheitskonzepts für Betreiber gemäß § 4 Z 25 und Anbieter gemäß § 4 Z 36;
3. die geografische Ausdehnung des von dem Sicherheitsvorfall betroffenen Gebiets, Mitwirkung in Arbeitsgruppen der ENISA sowie der NIS-Kooperationsgruppe.
( 4.) das Ausmaß der Beeinträchtigung des Netzes oder Dienstes, Eine Verordnung gemäß Abs. 1 ist in Bezug auf Rundfunknetze und die Übertragung von Rundfunksignalen von der KommAustria zu erlassen. Sind bei der Erledigung der in Abs. 3 genannten Aufgaben auch Rundfunknetze oder die Übertragung von Rundfunksignalen betroffen, ist insoweit das Einvernehmen mit der KommAustria herzustellen.
Schlagworte