Rechtstracker.at · Quelle: RIS (Bundeskanzleramt)
Kurztitel
Netz- und Informationssystemsicherheitsgesetz 2026
Kundmachungsorgan
BGBl. I Nr. 94/2025Bundesgesetzblatt Teil eins, Nr. 94 aus 2025,
§/Artikel/AnlageParagraph/Artikel/Anlage
§ 21Paragraph 21
Index
41/01 Sicherheitsrecht
Text
Zusammenarbeit mit der Datenschutzbehörde
§ 21.Paragraph 21,
(1)Absatz eins,Die Cybersicherheitsbehörde und die Datenschutzbehörde, unbeschadet ihrer Zuständigkeiten und Aufgaben nach der DSGVO und dem DSG, haben bei der Bearbeitung und der Anordnung von Abwehr- und Abhilfemaßnahmen von Cybersicherheitsvorfällen, die zur Verletzung des Schutzes personenbezogener Daten gemäß Art. 4 Z 12 DSGVO und § 36 Abs. 2 Z 1 DSG führen, zusammenzuarbeiten und tauschen die hierzu erforderlichen Informationen aus. Die Cybersicherheitsbehörde gewährt der Datenschutzbehörde zu diesem Zweck Zugang zum Register gemäß § 29.Die Cybersicherheitsbehörde und die Datenschutzbehörde, unbeschadet ihrer Zuständigkeiten und Aufgaben nach der DSGVO und dem DSG, haben bei der Bearbeitung und der Anordnung von Abwehr- und Abhilfemaßnahmen von Cybersicherheitsvorfällen, die zur Verletzung des Schutzes personenbezogener Daten gemäß Artikel 4, Ziffer 12, DSGVO und Paragraph 36, Absatz 2, Ziffer eins, DSG führen, zusammenzuarbeiten und tauschen die hierzu erforderlichen Informationen aus. Die Cybersicherheitsbehörde gewährt der Datenschutzbehörde zu diesem Zweck Zugang zum Register gemäß Paragraph 29,
(2)Absatz 2,Besteht Grund zur Annahme, dass ein Verstoß einer wesentlichen oder wichtigen Einrichtung gegen die in den §§ 32 und 34 festgelegten Verpflichtungen eine Verletzung des Schutzes personenbezogener Daten zur Folge hat, die gemäß Art. 33 DSGVO zu melden ist, hat die Cybersicherheitsbehörde unverzüglich, möglichst innerhalb von 72 Stunden, die Datenschutzbehörde zu unterrichten. Betrifft die Verletzung des Schutzes personenbezogener Daten Betroffene in einem anderen Mitgliedstaat der Europäischen Union, hat die Cybersicherheitsbehörde ebenfalls die Datenschutzbehörde zu unterrichten.Besteht Grund zur Annahme, dass ein Verstoß einer wesentlichen oder wichtigen Einrichtung gegen die in den Paragraphen 32 und 34 festgelegten Verpflichtungen eine Verletzung des Schutzes personenbezogener Daten zur Folge hat, die gemäß Artikel 33, DSGVO zu melden ist, hat die Cybersicherheitsbehörde unverzüglich, möglichst innerhalb von 72 Stunden, die Datenschutzbehörde zu unterrichten. Betrifft die Verletzung des Schutzes personenbezogener Daten Betroffene in einem anderen Mitgliedstaat der Europäischen Union, hat die Cybersicherheitsbehörde ebenfalls die Datenschutzbehörde zu unterrichten.
(3)Absatz 3,Verhängt die Datenschutzbehörde gegen eine wesentliche oder wichtige Einrichtung aufgrund eines Cybersicherheitsvorfalles, der zur Verletzung des Schutzes personenbezogener Daten gemäß Art. 4 Z 12 DSGVO geführt hat, gemäß Art. 58 Abs. 2 lit. i DSGVO eine Geldbuße, hat sie über diesen Umstand die Cybersicherheitsbehörde zu informieren und ihr eine Ausfertigung des Straferkenntnisses zu übersenden. Ebenso hat sie die Cybersicherheitsbehörde über den Umstand der Einstellung eines Verfahrens gemäß diesem Absatz zu informieren. Für den Fall, dass die Verwaltungsübertretung bereits von der zuständigen Bezirksverwaltungsbehörde verfolgt wird, hat die Cybersicherheitsbehörde die Bezirksverwaltungsbehörde über diesen Umstand zu informieren.Verhängt die Datenschutzbehörde gegen eine wesentliche oder wichtige Einrichtung aufgrund eines Cybersicherheitsvorfalles, der zur Verletzung des Schutzes personenbezogener Daten gemäß Artikel 4, Ziffer 12, DSGVO geführt hat, gemäß Artikel 58, Absatz 2, Litera i, DSGVO eine Geldbuße, hat sie über diesen Umstand die Cybersicherheitsbehörde zu informieren und ihr eine Ausfertigung des Straferkenntnisses zu übersenden. Ebenso hat sie die Cybersicherheitsbehörde über den Umstand der Einstellung eines Verfahrens gemäß diesem Absatz zu informieren. Für den Fall, dass die Verwaltungsübertretung bereits von der zuständigen Bezirksverwaltungsbehörde verfolgt wird, hat die Cybersicherheitsbehörde die Bezirksverwaltungsbehörde über diesen Umstand zu informieren.
Schlagworte
Abwehrmaßnahme
Zuletzt aktualisiert am
30.12.2025
Dokumentnummer
NOR40273882