Rechtstracker.at · Quelle: RIS (Bundeskanzleramt)
Kurztitel
Netz- und Informationssystemsicherheitsgesetz 2026
Kundmachungsorgan
BGBl. I Nr. 94/2025Bundesgesetzblatt Teil eins, Nr. 94 aus 2025,
§/Artikel/AnlageParagraph/Artikel/Anlage
§ 42Paragraph 42
Index
41/01 Sicherheitsrecht
Text
4. Hauptstück
Datenschutz
Datenverarbeitung
§ 42.Paragraph 42,
(1)Absatz eins,Der Bundeskanzler, der Bundesminister für Inneres, die Cybersicherheitsbehörde, der Bundesminister für Landesverteidigung, der Bundesminister für europäische und internationale Angelegenheiten und die CSIRTs sind jeweils als Verantwortliche gemäß Art. 4 Z 7 DSGVO und § 36 Abs. 2 Z 8 DSG berechtigt, zur Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen bei der Wahrnehmung ihrer Aufgaben nach diesem Bundesgesetz sowie zum Schutz vor und der Abwehr von Gefahren für die öffentliche Sicherheit die erforderlichen personenbezogenen Daten gemäß Art. 4 Z 1 DSGVO und § 36 Abs. 2 Z 1 DSG zu verarbeiten.Der Bundeskanzler, der Bundesminister für Inneres, die Cybersicherheitsbehörde, der Bundesminister für Landesverteidigung, der Bundesminister für europäische und internationale Angelegenheiten und die CSIRTs sind jeweils als Verantwortliche gemäß Artikel 4, Ziffer 7, DSGVO und Paragraph 36, Absatz 2, Ziffer 8, DSG berechtigt, zur Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen bei der Wahrnehmung ihrer Aufgaben nach diesem Bundesgesetz sowie zum Schutz vor und der Abwehr von Gefahren für die öffentliche Sicherheit die erforderlichen personenbezogenen Daten gemäß Artikel 4, Ziffer eins, DSGVO und Paragraph 36, Absatz 2, Ziffer eins, DSG zu verarbeiten.
(2)Absatz 2,Dies sind folgende personenbezogene Daten:
Kontakt- und Identitätsdaten von Teilnehmern und ihren Organisationseinheiten, die zur Ermöglichung und im Zuge der Teilnahme an den Koordinierungsstrukturen zu organisatorischen Zwecken erforderlich sind;
Kontakt- und Identitätsdaten sowie technische Daten von Personen oder juristischen Personen, die in Zusammenhang mit Risiken, Cyberbedrohungen, erheblichen Cyberbedrohungen, Beinahe-Cybersicherheitsvorfällen, Cybersicherheitsvorfällen und Cybersicherheitsvorfällen großen Ausmaßes stehen, zum Zweck der Erörterung und Aktualisierung des von der Cybersicherheitsbehörde erstellten Lagebildes und zur Erörterung der Erkenntnisse, die gemäß § 17 gewonnen wurden, erforderlich sind;Kontakt- und Identitätsdaten sowie technische Daten von Personen oder juristischen Personen, die in Zusammenhang mit Risiken, Cyberbedrohungen, erheblichen Cyberbedrohungen, Beinahe-Cybersicherheitsvorfällen, Cybersicherheitsvorfällen und Cybersicherheitsvorfällen großen Ausmaßes stehen, zum Zweck der Erörterung und Aktualisierung des von der Cybersicherheitsbehörde erstellten Lagebildes und zur Erörterung der Erkenntnisse, die gemäß Paragraph 17, gewonnen wurden, erforderlich sind;
Kontakt- und Identitätsdaten sowie technische Daten von Dritten, die an einem Geschäftsfall mitwirken oder davon betroffen sind.
(3)Absatz 3,Der Bundeskanzler, der Bundesminister für Inneres, die Cybersicherheitsbehörde und der Bundesminister für Landesverteidigung sind zum Zweck der Analyse und Bewältigung von Risiken, Cyberbedrohungen, erheblichen Cyberbedrohungen, Beinahe-Cybersicherheitsvorfällen, Cybersicherheitsvorfällen und Cybersicherheitsvorfällen großen Ausmaßes berechtigt, über die in Abs. 2 genannten Daten hinaus folgende personenbezogene Daten zu verarbeiten:Der Bundeskanzler, der Bundesminister für Inneres, die Cybersicherheitsbehörde und der Bundesminister für Landesverteidigung sind zum Zweck der Analyse und Bewältigung von Risiken, Cyberbedrohungen, erheblichen Cyberbedrohungen, Beinahe-Cybersicherheitsvorfällen, Cybersicherheitsvorfällen und Cybersicherheitsvorfällen großen Ausmaßes berechtigt, über die in Absatz 2, genannten Daten hinaus folgende personenbezogene Daten zu verarbeiten:
Kontakt- und Identitätsdaten sowie technische Daten des Einmelders und der Kontaktperson;
Kontakt- und Identitätsdaten sowie technische Daten von Personen oder juristischen Personen, die mit einer Meldung zu einem Risiko, einer Cyberbedrohung, einer erheblichen Cyberbedrohung, einem Beinahe-Cybersicherheitsvorfall, einem Cybersicherheitsvorfall oder einem Cybersicherheitsvorfall großen Ausmaßes in Zusammenhang stehen, wie insbesondere Opfer und Angreifer.
(4)Absatz 4,Die Cybersicherheitsbehörde ist zur Erfüllung ihrer Aufgaben gemäß § 4 berechtigt, über die in Abs. 2 und 3 genannten Daten hinaus folgende personenbezogenen Daten zu verarbeiten:Die Cybersicherheitsbehörde ist zur Erfüllung ihrer Aufgaben gemäß Paragraph 4, berechtigt, über die in Absatz 2, und 3 genannten Daten hinaus folgende personenbezogenen Daten zu verarbeiten:
Kontakt- und Identitätsdaten sowie technische Daten von Einrichtungen, ferner deren unternehmensbezogene Daten zum Zweck der Einstufung als wesentliche oder wichtige Einrichtung und zur Führung des Registers gemäß § 29;Kontakt- und Identitätsdaten sowie technische Daten von Einrichtungen, ferner deren unternehmensbezogene Daten zum Zweck der Einstufung als wesentliche oder wichtige Einrichtung und zur Führung des Registers gemäß Paragraph 29,;
Kontakt- und Identitätsdaten sowie technische Daten von Domänennamen-Registrierungsdiensten, CSIRTs und von zuständigen Behörden und Stellen anderer Mitgliedstaaten der Europäischen Union;
Kontakt- und Identitätsdaten sowie technische Daten von Personen oder juristischen Personen, die mit einer Meldung zu einem Risiko, einer Cyberbedrohung, einer erheblichen Cyberbedrohung, einem Beinahe-Cybersicherheitsvorfall, einem Cybersicherheitsvorfall oder einem Cybersicherheitsvorfall großen Ausmaßes in Zusammenhang stehen, wie insbesondere Opfer und Angreifer;
Kontakt- und Identitätsdaten von Teilnehmern und ihren Organisationseinheiten, die zur Ermöglichung und im Zuge der Teilnahme an EU-weiten, internationalen und nationalen Gremien betreffend die Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen erforderlich sind.
(5)Absatz 5,Die Cybersicherheitsbehörde ist zur Erfüllung ihrer Aufgaben gemäß § 4 Z 5, 6, 12 und 15 berechtigt, über die in Abs. 2 bis 4 genannten Daten hinaus folgende personenbezogenen Daten zu verarbeiten:Die Cybersicherheitsbehörde ist zur Erfüllung ihrer Aufgaben gemäß Paragraph 4, Ziffer 5, 6, 12 und 15 berechtigt, über die in Absatz 2, bis 4 genannten Daten hinaus folgende personenbezogenen Daten zu verarbeiten:
Kontakt- und Identitätsdaten sowie technische Daten von öffentlichen und privaten Interessenträgern für die Erstellung des nationalen Plans gemäß § 16 Abs. 3,Kontakt- und Identitätsdaten sowie technische Daten von öffentlichen und privaten Interessenträgern für die Erstellung des nationalen Plans gemäß Paragraph 16, Absatz 3,,
Kontakt- und Identitätsdaten von Personen und juristischen Personen sowie technische Daten, die für die Wahrnehmung der Aufgaben des nationalen Koordinierungszentrums für Cybersicherheit erforderlich sind;
Kontakt- und Identitätsdaten sowie technische Daten unabhängiger Stellen und unabhängiger Prüfer sowie entsprechender Zulassungswerber;
technische Daten von natürlichen oder juristischen Personen, die im Rahmen des § 17 ermittelt wurden.technische Daten von natürlichen oder juristischen Personen, die im Rahmen des Paragraph 17, ermittelt wurden.
(6)Absatz 6,CSIRTs sind zur Wahrnehmung ihrer Aufgaben gemäß § 8 berechtigt, personenbezogene Daten gemäß den Abs. 2 bis 4 zu verarbeiten, soweit dies zur Erfüllung ihrer Aufgaben erforderlich ist. Das nationale CSIRT ist überdies zum Zweck der Führung der koordinierten Offenlegung von Schwachstellen berechtigt, Kontakt- und Identitätsdaten sowie technische Daten der meldenden natürlichen oder juristischen Person, des Herstellers oder Anbieters der potenziell gefährdeten IKT-Produkte oder IKT-Dienste sowie die hiervon betroffenen Einrichtungen zu verarbeiten.CSIRTs sind zur Wahrnehmung ihrer Aufgaben gemäß Paragraph 8, berechtigt, personenbezogene Daten gemäß den Absatz 2 bis 4 zu verarbeiten, soweit dies zur Erfüllung ihrer Aufgaben erforderlich ist. Das nationale CSIRT ist überdies zum Zweck der Führung der koordinierten Offenlegung von Schwachstellen berechtigt, Kontakt- und Identitätsdaten sowie technische Daten der meldenden natürlichen oder juristischen Person, des Herstellers oder Anbieters der potenziell gefährdeten IKT-Produkte oder IKT-Dienste sowie die hiervon betroffenen Einrichtungen zu verarbeiten.
(7)Absatz 7,Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO und § 39 DSG sowie personenbezogene Daten über gerichtlich oder verwaltungsbehördlich strafbare Handlungen oder Unterlassungen, insbesondere auch über den Verdacht der Begehung von Straftaten, sowie über strafrechtliche Verurteilungen dürfen nur insoweit verarbeitet werden, als dies zum Zweck der Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen und der Abwehr von Gefahren für die öffentliche Sicherheit unbedingt erforderlich ist.Besondere Kategorien personenbezogener Daten gemäß Artikel 9, DSGVO und Paragraph 39, DSG sowie personenbezogene Daten über gerichtlich oder verwaltungsbehördlich strafbare Handlungen oder Unterlassungen, insbesondere auch über den Verdacht der Begehung von Straftaten, sowie über strafrechtliche Verurteilungen dürfen nur insoweit verarbeitet werden, als dies zum Zweck der Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen und der Abwehr von Gefahren für die öffentliche Sicherheit unbedingt erforderlich ist.
(8)Absatz 8,Für die Verarbeitungsvorgänge von personenbezogenen Daten sind Protokollaufzeichnungen jedenfalls betreffend die Erhebung, Abfrage, Übermittlung, Änderung und Löschung zu führen, drei Jahre aufzubewahren und danach zu löschen.
(9)Absatz 9,Personenbezogene Daten sind unverzüglich zu löschen, wenn sie für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind. Nach Ablauf von fünf Jahren sind die Daten jedenfalls zu löschen.
(10)Absatz 10,Hinsichtlich der Verarbeitung personenbezogener Daten gemäß dem 3. Abschnitt des 2. Hauptstücks, dem 1., 2. und 4. Abschnitt des 3. Hauptstücks besteht kein Widerspruchsrecht gemäß Art. 21 DSGVO sowie kein Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO oder § 45 DSG.Hinsichtlich der Verarbeitung personenbezogener Daten gemäß dem 3. Abschnitt des 2. Hauptstücks, dem 1., 2. und 4. Abschnitt des 3. Hauptstücks besteht kein Widerspruchsrecht gemäß Artikel 21, DSGVO sowie kein Recht auf Einschränkung der Verarbeitung gemäß Artikel 18, DSGVO oder Paragraph 45, DSG.
(11)Absatz 11,Der zuständige Datenschutzbeauftragte hat halbjährlich einen zusammenfassenden Bericht über die Datenverarbeitungen bis spätestens sechs Monate nach Ende des Berichtszeitraums auf der Homepage des Bundesministeriums für Inneres zu veröffentlichen.
Schlagworte
Kontaktdaten, Netzsystem
Zuletzt aktualisiert am
30.12.2025
Dokumentnummer
NOR40273903