RIS Dokument

Finanzmarktinfrastrukturen,

financial market infrastructures,

Trinkwasserversorgung und

drinking water supply,

Digitale Infrastruktur

digital infrastructure,

„Netz- und Informationssystem“

eine Vorrichtung oder eine Gruppe miteinander verbundener oder zusammenhängender Vorrichtungen, die einzeln oder zu mehreren auf der Grundlage eines Programms die automatische Verarbeitung digitaler Daten durchführen, oder

any device or group of interconnected or related devices, one or more of which, pursuant to a program, perform automatic processing of digital data, or

digital data stored, processed, retrieved or transmitted by elements covered under (a) and (b) for the purposes of their operation, use, protection and maintenance;

„Netz- und Informationssystemsicherheit (NIS)“ die Fähigkeit, Sicherheitsvorfällen vorzubeugen, diese zu erkennen, abzuwehren und zu beseitigen;

„Innerer Kreis der Operativen Koordinierungsstruktur (IKDOK)“ eine interministerielle Struktur zur Koordination auf der operativen Ebene im Bereich der Sicherheit von Netz- und Informationssystemen bestehend aus Vertretern des Bundeskanzlers, des Bundesministers für Inneres, des Bundesministers für Landesverteidigung und des Bundesministers für Europa, Integration und Äußeres, die vor Beginn der Teilnahme einer Sicherheitsüberprüfung für den Zugang zu geheimer Information zu unterziehen sind;

“Inner Circle of the Operational Coordination Structure (ICOCS)” means an inter-ministerial structure for coordination at the operational level regarding the security of network and information systems, composed of representatives of the Federal Chancellor, the Federal Minister of the Interior, the Federal Minister of Defence and the Federal Minister for Europe, Integration and Foreign Affairs, who must undergo security vetting for access to secret information before the start of their participation;

„Sicherheitsvorfall“ eine Störung der Verfügbarkeit, Integrität, Authentizität oder Vertraulichkeit von Netz- und Informationssystemen, die zu einer Einschränkung der Verfügbarkeit oder zu einem Ausfall des betriebenen Dienstes mit erheblichen Auswirkungen geführt hat; bei der Beurteilung der Erheblichkeit sind insbesondere folgende Parameter zu berücksichtigen. Die voraussichtliche

Zahl der von dem Sicherheitsvorfall betroffenen Nutzer, insbesondere der Nutzer, die den Dienst für die Bereitstellung ihrer eigenen Dienste benötigen,

number of users affected by the security incident, in particular users relying on the service for the provision of their own services,

Dauer des Sicherheitsvorfalls,

duration of the security incident,

geografische Ausbreitung in Bezug auf das von dem Sicherheitsvorfall betroffene Gebiet und

geographical spread with regard to the area affected by the security incident;

Auswirkung auf wirtschaftliche und gesellschaftliche Tätigkeiten;

impact on economic and societal activities.

„Vorfall“ alle Ereignisse, die tatsächlich nachteilige Auswirkungen auf die Verfügbarkeit, Integrität, Authentizität oder Vertraulichkeit von Netz- und Informationssystemen haben und kein Sicherheitsvorfall sind;

„Risiko“ alle Umstände oder Ereignisse, die potenziell nachteilige Auswirkungen auf die Sicherheit von Netz- und Informationssystemen haben;

„wesentlicher Dienst“ einen Dienst, der in einem der in § 2 genannten Sektoren erbracht wird und der eine wesentliche Bedeutung insbesondere für die Aufrechterhaltung des öffentlichen Gesundheitsdienstes, der öffentlichen Versorgung mit Wasser, Energie sowie lebenswichtigen Gütern, des öffentlichen Verkehrs oder die Funktionsfähigkeit öffentlicher Informations- und Kommunikationstechnologie hat und dessen Verfügbarkeit abhängig von Netz- und Informationssystemen ist;

„Betreiber wesentlicher Dienste“ eine Einrichtung mit Niederlassung in Österreich, die einen wesentlichen Dienst erbringt;

„Anbieter digitaler Dienste“ eine juristische Person oder eingetragene Personengesellschaft, die einen digitalen Dienst in Österreich anbietet und kein Kleinstunternehmen oder kleines Unternehmen im Sinne von Art. 1 und Art. 2 Abs. 2 und 3 des Anhangs der Empfehlung 2003/361/EG der Kommission vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen, ABl. Nr. L 124 vom 20.05.2003 S. 36, ist

“digital service provider” means any legal person or registered business partnership other than a microenterprise or small enterprise within the meaning of Article 1 and Article 2 paras 2 and 3 of the Annex to Commission Recommendation 2003/361/EC of 6 May 2003 concerning the definition of micro, small and medium-sized enterprises, OJ L 124, 20.5.2003, p. 36, that provides a digital service in Austria and

mit Hauptniederlassung in Österreich oder

has its main establishment in Austria or

ohne Hauptniederlassung in der Europäischen Union, die einen Vertreter namhaft gemacht hat;

does not have its main establishment in the European Union but has designated a representative;

„Vertreter“ eine in Österreich niedergelassene natürliche oder juristische Person oder eingetragene Personengesellschaft, die ausdrücklich benannt wurde, um im Auftrag eines nicht in der Europäischen Union niedergelassenen Anbieters digitaler Dienste zu handeln, und an die sich der Bundeskanzler, der Bundesminister für Inneres oder die Computer-Notfallteams – statt an den Anbieter digitaler Dienste – hinsichtlich der Pflichten dieses Anbieters digitaler Dienste gemäß diesem Bundesgesetz wenden können;

“representative” means any natural or legal person or registered business partnership established in Austria explicitly designated to act on behalf of a digital service provider not established in the European Union, which may be addressed by the Federal Chancellor, the Federal Minister of the Interior or the CSIRTs instead of the digital service provider with regard to the obligations of that digital service provider under this Federal Act;

„Online-Marktplatz“ einen digitalen Dienst, der es Verbrauchern oder Unternehmern ermöglicht, Online-Kaufverträge oder Online-Dienstleistungsverträge mit Unternehmern entweder auf der Website des Online-Marktplatzes oder auf der Website eines Unternehmers, die von dem Online-Marktplatz bereitgestellte Rechendienste verwendet, abzuschließen;

„Online-Suchmaschine“ einen digitalen Dienst, der es Nutzern ermöglicht, Suchen grundsätzlich auf allen Websites oder auf Websites in einer bestimmten Sprache anhand einer Abfrage zu einem beliebigen Thema in Form eines Stichworts, einer Wortgruppe oder einer anderen Eingabe vorzunehmen, und der daraufhin Links anzeigt, über die Informationen im Zusammenhang mit dem angeforderten Inhalt gefunden werden können;

„Cloud-Computing-Dienst“ einen digitalen Dienst, der den Zugang zu einem skalierbaren und elastischen Pool gemeinsam nutzbarer Rechenressourcen ermöglicht;

„Einrichtungen des Bundes“ die Bundesministerien, die Gerichtshöfe des öffentlichen Rechts, den Rechnungshof, die Volksanwaltschaft, die Präsidentschaftskanzlei und die Parlamentsdirektion; weitere Dienststellen des Bundes können vom zuständigen Bundesminister durch Verordnung bestimmt werden;

„Kooperationsgruppe“ ein gemäß Art. 11 NIS-RL eingerichtetes Gremium, das sich aus Vertretern der Mitgliedstaaten der Europäischen Union, der Europäischen Kommission und der Europäischen Agentur für Netz- und Informationssicherheit (ENISA) zusammensetzt und der Unterstützung und Erleichterung der strategischen Zusammenarbeit sowie des Informationsaustausches zwischen den Mitgliedstaaten der Europäischen Union zum Aufbau von Vertrauen und zur Erreichung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Europäischen Union dient;

“Cooperation Group” means a body established pursuant to Article 11 of the NIS Directive, composed of representatives of the Member States of the European Union, the European Commission and the European Union Agency for Network and Information Security (ENISA), in order to support and facilitate strategic cooperation and the exchange of information among the Member States of the European Union and to develop trust and confidence, with a view to achieving a high common level of security of network and information systems in the European Union;

“CSIRTs network” means a body established pursuant to Article 12 of the NIS Directive, composed of representatives of the CSIRTs of the Member States of the European Union and the European computer security incident response team (CERT-EU), in order to contribute to the development of trust and confidence between the Member States of the European Union and to promote swift and effective operational cooperation;

„Cyberkrise“ ein oder mehrere Sicherheitsvorfälle, die eine gegenwärtige und unmittelbare Gefahr für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen darstellen und schwerwiegende Auswirkungen auf die Gesundheit, die Sicherheit oder das wirtschaftliche und soziale Wohl großer Teile der Bevölkerung oder das effektive Funktionieren von staatlichen Einrichtungen nach sich ziehen können;

„Cyberkrisenmanagement“ ein Koordinierungsverfahren zur Bewältigung von Cyberkrisen.

Dem Bundeskanzler kommen folgende strategische Aufgaben zu:

The Federal Chancellor has the following strategic tasks:

Vertretung von Österreich in der Kooperationsgruppe sowie in anderen EU-weiten und internationalen Gremien für die Sicherheit von Netz- und Informationssystemen, denen strategische Aufgaben zugewiesen sind; die Zuständigkeiten anderer Ressorts bleiben davon unberührt;

representing Austria in the Cooperation Group and in other EU-wide and international bodies for the security of network and information systems which are charged with strategic tasks; the responsibilities of other ministries remain unaffected thereby;

Koordination der öffentlich-privaten Zusammenarbeit im Bereich der Sicherheit von Netz- und Informationssystemen;

coordinating public-private cooperation regarding the security of network and information systems;

Konsultation mit den zuständigen Behörden anderer Mitgliedstaaten, wenn Anbieter digitaler Dienste ihre Hauptniederlassung in Österreich haben, sich ihre Netz- und Informationssysteme aber in einem anderen Mitgliedstaat befinden;

consulting with the competent authorities in other Member States in cases where digital service providers have their main establishment in Austria but their network and information systems are located in another Member State;

Der Bundeskanzler kann im Einvernehmen mit dem Bundesminister für Inneres mit Verordnung Folgendes festlegen:

In agreement with the Federal Minister of the Interior, the Federal Chancellor can specify the following by ordinance:

Dem Bundesminister für Inneres kommen folgende operative zentrale Aufgaben zu:

The Federal Minister of the Interior has the following operational central tasks:

Entgegennahme und Analyse von Meldungen über Risiken, Vorfälle oder Sicherheitsvorfälle, regelmäßige Erstellung eines diesbezüglichen Lagebildes und Weiterleitung der Meldungen sowie des Lagebildes und zusätzlicher relevanter Informationen an inländische Behörden oder Stellen nach Maßgabe des 3. Abschnitts;

receiving and analysing notifications about risks, incidents or security incidents, preparing regular situation assessments in this regard, and forwarding the notifications and situation assessments and any additional information of relevance to domestic authorities or bodies in accordance with Section 3;

Erstellung und Weitergabe von zur Gewährleistung der Sicherheit von Netz- und Informationssystemen relevanten Informationen zur Vorbeugung von Sicherheitsvorfällen;

preparing and sharing information relevant for ensuring the security of network and information systems in an effort to prevent security incidents;

Leitung und Koordination des Cyberkrisenmanagements auf operativer Ebene (6. Abschnitt).

heading and coordinating cyber crisis management at the operational level (Section 6).

Der Bundesminister für Inneres legt im Einvernehmen mit dem Bundeskanzler mit Verordnung die Erfordernisse, die eine qualifizierte Stelle erfüllen muss, oder besondere Kriterien fest, nach denen eine Einrichtung jedenfalls als qualifizierte Stelle gilt sowie das Verfahren zur Feststellung qualifizierter Stellen.

In agreement with the Federal Chancellor, the Federal Minister of the Interior specifies, by ordinance, the requirements to be met by a qualified body or special criteria according to which an entity is, in any event, deemed a qualified body, and the procedure for determining qualified bodies.

Für die Sicherheit von Netz- und Informationssystemen wird eine zuständige zentrale Anlaufstelle (SPOC) beim Bundesminister für Inneres eingerichtet, die als operative Verbindungsstelle zur Gewährleistung der grenzüberschreitenden Zusammenarbeit mit den zuständigen Stellen in den anderen Mitgliedstaaten der Europäischen Union sowie der Kooperationsgruppe und dem CSIRTs-Netzwerk dient.

A competent single point of contact (SPOC) on the security of network and information systems, which exercises an operational liaison function to ensure cross-border cooperation with the competent bodies in other Member States of the European Union and with the Cooperation Group and the CSIRTs network, is established within the purview of the Federal Minister of the Interior.

Die zentrale Anlaufstelle

The single point of contact

Zur Erörterung und Aktualisierung des vom Bundesminister für Inneres erstellten Lagebildes über Risiken, Vorfälle und Sicherheitsvorfälle, zur Erörterung der Erkenntnisse, die gemäß § 13 Abs. 1 und 2 gewonnen wurden, und zur Unterstützung des Koordinationsausschusses im Cyberkrisenmanagement wird der IKDOK eingerichtet. Dieser dient auch dem Austausch klassifizierter Informationen zwischen den Teilnehmern zur Wahrnehmung der Aufgaben nach Maßgabe ihrer Zuständigkeiten.

The ICOCS is established to discuss and update the situation assessment on risks, incidents and security incidents prepared by the Federal Minister of the Interior, to discuss the findings obtained pursuant to § 13 paras 1 and 2, and to support the coordination committee when it comes to cyber crisis management. The ICOCS also serves to exchange classified information between the participants in order to perform the tasks within their areas of responsibility.

Zur Erörterung eines gesamtheitlichen Lagebildes, das auch die freiwilligen Meldungen enthält, wird eine OpKoord eingerichtet. Die OpKoord kann um Vertreter von Betreibern wesentlicher Dienste, Anbietern digitaler Dienste sowie Einrichtungen der öffentlichen Verwaltung erweitert werden, wenn deren Wirkungsbereich von einem Risiko, Vorfall oder Sicherheitsvorfall betroffen ist. Teilnehmer der OpKoord sind über die ihnen aufgrund der Teilnahme bekanntgewordenen Informationen zur Verschwiegenheit nach Maßgabe der näheren Regelungen gemäß Abs. 3 verpflichtet.

An OCS is established to discuss a holistic situation assessment, which also includes the voluntary notifications. The OCS can be expanded to include representatives of operators of essential services, digital service providers and entities of public administration where their sphere of activities is affected by a particular risk, incident or security incident. OCS participants are under an obligation to maintain confidentiality with regard to any information that becomes known to them as a result of their participation in accordance with the detailed provisions pursuant to para 3.

The Federal Minister of the Interior can adopt rules of procedure laying down detailed provisions regarding the interaction of the coordination structures pursuant to paras 1 and 2, in particular regarding the convocation of meetings, their composition and their decision-making processes.

The entities participating in the OCS may process and transfer to one another the personal data required for the purpose of organising the OCS and for performing the tasks pursuant to paras 1 and 2.

Die Strategie für die Sicherheit von Netz- und Informationssystemen bestimmt insbesondere die strategischen Ziele und angemessenen Politik- und Regulierungsmaßnahmen, mit denen ein hohes Sicherheitsniveau von Netz- und Informationssystemen im Bundesgebiet erreicht und aufrecht erhalten werden soll.

The strategy on the security of network and information systems defines, in particular, the strategic objectives and appropriate policy and regulatory measures with a view to achieving and maintaining a high level of security of network and information systems in the federal territory.

Der Bundeskanzler teilt die Strategie für die Sicherheit von Netz- und Informationssystemen der Europäischen Kommission innerhalb von drei Monaten nach ihrer Festlegung mit. Elemente der Strategie, die die nationale Sicherheit berühren, sind nicht mitzuteilen.

The Federal Chancellor communicates the strategy on the security of network and information systems to the European Commission within three months from its adoption. Elements of the strategy which relate to national security are not to be communicated.

Der Bundeskanzler, der Bundesminister für Inneres, der Bundesminister für Landesverteidigung, der Bundesminister für Europa, Integration und Äußeres und die Computer-Notfallteams gemäß § 14 Abs. 1 sind berechtigt zur Gewährleistung eines hohen Sicherheitsniveaus von Netz- und Informationssystemen bei der Wahrnehmung ihrer Aufgaben nach diesem Bundesgesetz und zum Schutz vor und der Abwehr von Gefahren für die öffentliche Sicherheit die erforderlichen personenbezogenen Daten im Sinne des Art. 4 Z 2 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (im Folgenden: DSGVO), ABl. Nr. L 119 vom 04.05.2016 S. 1, in der Fassung der Berichtigung ABl. Nr. L 314 vom 22.11.2016 S. 72, und § 36 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG), BGBl. I Nr. 165/1999, zu verarbeiten und einander sowie den Mitgliedern der OpKoord zu übermitteln.

For the purpose of ensuring a high level of security of network and information systems when performing their tasks under this Federal Act and for the purpose of safeguarding against and the prevention of threats to public security, the Federal Chancellor, the Federal Minister of the Interior, the Federal Minister of Defence, the Federal Minister for Europe, Integration and Foreign Affairs, and the CSIRTs pursuant to § 14 para 1 are entitled to process and transfer to one another and to the OCS members the required personal data within the meaning of Article 4 para 2 of Regulation (EU) 2016/679 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (hereinafter: GDPR), OJ L 119, 4.5.2016, p. 1, as amended by the corrigendum in OJ L 314, 22.11.2016, p. 72, and within the meaning of § 36 of the Federal Act on the Protection of Natural Persons with regard to the Processing of Personal Data (Data Protection Act [DSG, Datenschutzgesetz]), Federal Law Gazette I No 165/1999.

Dies sind folgende personenbezogene Daten:

These personal data are the following:

von Teilnehmern und ihren Organisationseinheiten, die zur Ermöglichung und im Zuge der Teilnahme an den Koordinierungsstrukturen zu organisatorischen Zwecken erforderlich sind;

personal data of participants and their organisational units which are required for organisational purposes to enable participation in the coordination structures and in the course of such participation;

von Personen, die an einem Geschäftsfall mitwirken oder davon betroffen sind.

personal data of persons involved in or affected by a particular case.

For the purpose of analysing and handling risks, incidents and security incidents, the Federal Chancellor, the Federal Minister of the Interior and the Federal Minister of Defence are entitled to process and transfer to one another the following personal data in addition to the data referred to in para 2:

Kontakt- und Identitätsdaten sowie technische Daten des Einmelders und der Kontaktperson;

contact and identity data as well as technical data of the party submitting a notification and of the contact person;

Kontakt- und Identitätsdaten sowie technische Daten von Personen, die mit einer Meldung zu einem Risiko, Vorfall oder Sicherheitsvorfall in Zusammenhang stehen, wie insbesondere Opfer und Angreifer.

contact and identity data as well as technical data of persons implicated in a notification regarding a risk, incident or security incident, such as, in particular, the victim and the attacker.

Kontakt- und Identitätsdaten sowie technische Daten von Personen, die mit einer Meldung zu einem Risiko, Vorfall oder Sicherheitsvorfall in Zusammenhang stehen, wie insbesondere Opfer und Angreifer;

contact and identity data as well as technical data of persons implicated in a notification regarding a risk, incident or security incident, such as, in particular, the victim and the attacker;

Kontakt- und Identitätsdaten von Teilnehmern und ihren Organisationseinheiten, die zur Ermöglichung und im Zuge der Teilnahme an EU-weiten, internationalen und nationalen Gremien für die Sicherheit von Netz- und Informationssystemen erforderlich sind;

contact and identity data of participants and their organisational units that are required to enable participation in EU-wide, international and national bodies for the security of network and information systems and in the course of such participation.

Kontakt- und Identitätsdaten sowie technische Daten von qualifizierten Stellen;

contact and identity data as well as technical data of qualified bodies;

Kontakt- und Identitätsdaten sowie technische Daten von Personen im Rahmen der Überprüfungen von Sicherheitsvorkehrungen;

contact and identity data as well as technical data of persons in the context of audits of security measures;

Jede Abfrage, Übermittlung und Änderung personenbezogener Daten ist revisionssicher zu protokollieren. Die Protokollaufzeichnungen sind drei Jahre aufzubewahren und danach zu löschen.

Any consultation, transfer and alteration of personal data must be logged in a revision-proof manner. The records must be kept for three years and deleted after expiry of that period.

Das Recht auf Löschung und auf Widerspruch gemäß DSGVO oder § 45 DSG wird insoweit beschränkt, als durch Gesetz oder Verordnung eine Aufbewahrungspflicht oder Archivierung vorgesehen ist oder der Löschung das öffentliche Interesse der Gewährleistung eines hohen Niveaus von Netz- und Informationssystemsicherheit entgegensteht und die betroffene Person nicht Gründe nachweisen kann, die sich aus ihrer besonderen Situation ergeben und welche die Ziele der Beschränkung des Rechtes überwiegen. Der zuständige Datenschutzbeauftragte ist über die Vornahme und das Ergebnis einer solchen Abwägung in Kenntnis zu setzen.

The right to erasure and the right to object pursuant to the GDPR or § 45 of the Data Protection Act are limited insofar as the retention or archiving of data is prescribed by law or by ordinance, or erasure is contrary to the public interest of ensuring a high level of security of network and information systems, and the data subject cannot demonstrate grounds relating to his or her particular situation which override the objectives of limiting the relevant right. The competent data protection officer must be informed about the performance and outcome of such an assessment.

Das Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO oder § 45 DSG wird in Bezug auf integrierte Datenverarbeitungssysteme für die Dauer einer Überprüfung der von der betroffenen Person bestrittenen Richtigkeit ihrer personenbezogenen Daten sowie für den Zeitraum, in dem die betroffene Person ihr Recht auf Widerspruch geltend gemacht hat und noch nicht feststeht, ob die berechtigten Gründe des datenschutzrechtlich Verantwortlichen gegenüber denen der betroffenen Person überwiegen, beschränkt.

With regard to integrated data processing systems, the right to restriction of processing pursuant to Article 18 of the GDPR or § 45 of the Data Protection Act is limited for the period required to verify the accuracy of a data subject’s personal data, where such accuracy has been contested by the data subject, and for the period in which the data subject has exercised his or her right to object, pending the verification whether the legitimate grounds of the controller override those of the data subject.

Die datenschutzrechtlichen Pflichten nach der DSGVO und dem 3. Hauptstück DSG sind von jedem datenschutzrechtlichen Verantwortlichen hinsichtlich jener personenbezogenen Daten, die im Zusammenhang mit den von ihm geführten Verfahren oder den von ihm gesetzten Maßnahmen verarbeitet, übermittelt oder weiterverarbeitet werden, selbstständig wahrzunehmen.

Each controller must independently perform the data protection obligations under the GDPR and Chapter 3 of the Data Protection Act with regard to the personal data processed, transferred or further processed in connection with the procedures conducted or measures taken by the relevant controller.

Nach Anhörung des von einem Sicherheitsvorfall betroffenen Betreibers wesentlicher Dienste oder Anbieters digitalen Dienste können der Bundeskanzler und der Bundesminister für Inneres im Rahmen ihres jeweiligen Wirkungsbereichs personenbezogene Daten gemäß § 9 Abs. 3 Z 2 nach erfolgter Interessenabwägung bezüglich der Auswirkungen auf die datenschutzrechtlichen Betroffenen veröffentlichen, um die Öffentlichkeit über Sicherheitsvorfälle zu unterrichten, sofern die Sensibilisierung der Öffentlichkeit zur Verhütung oder zur Bewältigung von Sicherheitsvorfällen erforderlich ist, oder die Offenlegung des Sicherheitsvorfalls auf sonstige Weise im öffentlichen Interesse liegt. Der Bundesminister für Inneres kann von Anbietern digitaler Dienste verlangen, die Unterrichtung der Öffentlichkeit selbst zu unternehmen.

Daten, die dem Bundeskanzler, dem Bundesminister für Inneres, dem Bundesminister für Landesverteidigung und dem Bundesminister für Europa, Integration und Äußeres aufgrund der Wahrnehmung ihrer Aufgaben nach diesem Bundesgesetz bekannt sind, können an militärische Organe und Behörden für Zwecke der militärischen Landesverteidigung gemäß Art. 79 Abs. 1 B-VG, an Sicherheitsbehörden für Zwecke der Sicherheitspolizei und Strafrechtspflege, an Staatsanwaltschaften und ordentliche Gerichte für Zwecke der Strafrechtspflege sowie an inländische Behörden, soweit dies eine wesentliche Voraussetzung zur Wahrnehmung einer ihnen gesetzlich übertragenen Aufgabe ist, übermittelt werden.

Data known to the Federal Chancellor, the Federal Minister of the Interior, the Federal Minister of Defence and the Federal Minister for Europe, Integration and Foreign Affairs as a result of performing their tasks under this Federal Act can be transferred to military bodies and authorities for the purposes of the country’s military defence pursuant to Article 79 para 1 of the Federal Constitutional Law, to security authorities for the purposes of public safety matters and criminal justice, to public prosecutors’ offices and courts of justice for the purposes of criminal justice, and to domestic authorities, to the extent that this is an essential requirement for performing a task assigned to them by law.

For the purpose of fulfilling his or her tasks pursuant to § 5 subpara 4, the Federal Minister of the Interior can transfer data pursuant to § 9 para 2 subpara 2 and para 3 subpara 2 to operators of essential services, digital service providers and entities other than operators of essential services or digital service providers if they are affected by a risk, incident or security incident.

Der Bundesminister für Inneres ist berechtigt, Daten gemäß § 9 Abs. 2 bis 5 an ausländische Sicherheitsbehörden und Sicherheitsorganisationen gemäß § 2 Abs. 2 und 3 des Bundesgesetzes über die internationale polizeiliche Kooperation (Polizeikooperationsgesetz – PolKG), BGBl. I Nr. 104/1997, sowie Organe der Europäischen Union oder Vereinten Nationen entsprechend den Bestimmungen über die internationale polizeiliche Amtshilfe zu übermitteln.

The Federal Minister of the Interior is entitled to transfer data pursuant to § 9 paras 2 to 5 to foreign security authorities and security organisations pursuant to § 2 paras 2 and 3 of the Federal Act on International Police Cooperation (Police Cooperation Act [PolKG, Polizeikooperationsgesetz]), Federal Law Gazette I No 104/1997, and to institutions of the European Union or the United Nations in accordance with the provisions on international mutual assistance in police matters.

Der Bundesminister für Inneres ist berechtigt, zur Erfüllung seiner Aufgaben gemäß §§ 19 Abs. 5, 21 Abs. 3 und 22 Abs. 4 nach erfolgter Interessenabwägung bezüglich der wirtschaftlichen Interessen der betroffenen Einrichtung sowie der Vertraulichkeit der in der Meldung bereitgestellten Informationen, personenbezogene Daten von Personen, die in Zusammenhang mit einem Sicherheitsvorfall stehen, an die zentrale Anlaufstelle in dem von dem Sicherheitsvorfall betroffenen Mitgliedstaaten zu übermitteln.

For the purpose of fulfilling his or her tasks pursuant to § 19 para 5, § 21 para 3 and § 22 para 4, the Federal Minister of the Interior is entitled, after having balanced the relevant interests with regard to the commercial interests of the entity concerned and the confidentiality of the information provided in the notification, to transfer personal data of persons implicated in a security incident to the single point of contact in the Member States affected by the security incident.

Der Bundeskanzler ist berechtigt, Identitätsdaten von Betreibern wesentlicher Dienste an jene Länder, in deren Gebiet sich die Niederlassung des Betreibers befindet, sowie an die Aufsichtsbehörden, des jeweiligen Sektors, in welchem der wesentliche Dienst erbracht wird, soweit dies zur Wahrnehmung ihrer Aufgaben notwendig ist, zu übermitteln.

The Federal Chancellor is entitled to transfer identity data of operators of essential services to the federal provinces in whose territory the operator is established and to the supervisory authorities for the relevant sector in which the essential service is provided, to the extent that this is necessary for them to perform their tasks.

Für die Analyse von Meldungen über Risiken, Vorfälle und Sicherheitsvorfälle (§§ 19, 20 Abs. 2, 21 Abs. 2, 22 Abs. 2 und 3 sowie 23 Abs. 1 und 2) sowie von Erkenntnissen, die gemäß § 13 Abs. 1 und 2 gewonnen wurden, hat der Bundesminister für Inneres IKT-Lösungen zu betreiben und dem Bundeskanzler und dem Bundesminister für Landesverteidigung bereitzustellen, um die Bewertung von Risiken, Vorfälle und Sicherheitsvorfällen für Netz- und Informationssysteme und die Erstellung eines Lagebilds mittels strategischer oder operativer Analyse zu unterstützen.

For the purpose of analysing notifications about risks, incidents and security incidents (§ 19, § 20 para 2, § 21 para 2, § 22 paras 2 and 3, and § 23 paras 1 and 2) and findings obtained pursuant to § 13 paras 1 and 2, the Federal Minister of the Interior must operate ICT solutions and make them available to the Federal Chancellor and the Federal Minister of Defence to support the assessment of risks, incidents and security incidents in network and information systems and the preparation of situation assessments through strategic or operational analyses.

Die Aufteilung der Pflichten als gemeinsam datenschutzrechtliche Verantwortliche erfolgt durch Verordnung des Bundeskanzlers im Einvernehmen mit dem Bundesminister für Inneres und dem Bundesminister für Landesverteidigung.

The distribution of their responsibilities as joint controllers is determined by ordinanceby the Federal Chancellor in agreement with the Federal Minister of the Interior and the Federal Minister of Defence.

Bundesgesetz zur Gewährleistung eines hohen Sicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz – NISG)

Federal Act to Ensure a High Level of Security of Network and Information Systems (Network and Information Systems Security Act – NIS Act)

1. Abschnitt

Section 1

Verfassungsbestimmung

Constitutional provision

§ 1.Paragraph eins,

§ 1.Paragraph eins,

Gegenstand und Ziel des Gesetzes

Subject matter and objectives of this Federal Act

§ 2.Paragraph 2,

§ 2.Paragraph 2,

Begriffsbestimmungen

Definitions

§ 3.Paragraph 3,

§ 3.Paragraph 3,

2. Abschnitt

Section 2

Aufgaben des Bundeskanzlers

Tasks of the Federal Chancellor

§ 4.Paragraph 4,

§ 4.Paragraph 4,

Aufgaben des Bundesministers für Inneres

Tasks of the Federal Minister of the Interior

§ 5.Paragraph 5,

§ 5.Paragraph 5,

Zentrale Anlaufstelle

Single point of contact

§ 6.Paragraph 6,

§ 6.Paragraph 6,

Koordinierungsstrukturen

Coordination structures

§ 7.Paragraph 7,

§ 7.Paragraph 7,

Strategie für die Sicherheit von Netz- und Informationssystemen

Strategy on the security of network and information systems

§ 8.Paragraph 8,

§ 8.Paragraph 8,

3. Abschnitt

Section 3

Datenverarbeitung

Data processing

§ 9.Paragraph 9,

§ 9.Paragraph 9,

Datenübermittlung

Data transfer

§ 10.Paragraph 10,

NIS-Meldeanalysesystem

NIS notification analysis system

§ 11.Paragraph 11,

§ 11.Paragraph 11,

IKDOK-Plattform

ICOCS platform

§ 12.Paragraph 12,

§ 12.Paragraph 12,

Betrieb von IKT-Lösungen zur Vorbeugung von Sicherheitsvorfällen

Operation of ICT solutions to prevent security incidents

§ 13.Paragraph 13,

§ 13.Paragraph 13,

4. Abschnitt

Section 4

Aufgaben und Zweck der Computer-Notfallteams

Tasks and purpose of CSIRTs

§ 14.Paragraph 14,

§ 14.Paragraph 14,

Anforderungen und Eignung eines Computer-Notfallteams

Requirements for and suitability of CSIRTs

§ 15.Paragraph 15,

§ 15.Paragraph 15,

5. Abschnitt

Section 5

Ermittlung der Betreiber wesentlicher Dienste

Identification of operators of essential services

§ 16.Paragraph 16,

§ 16.Paragraph 16,

Sicherheitsvorkehrungen für Betreiber wesentlicher Dienste

Security measures for operators of essential services

§ 17.Paragraph 17,

§ 17.Paragraph 17,

Qualifizierte Stellen

Paragraph eins,

Paragraph eins,

Paragraph 2,

Paragraph 2,

Paragraph 3,

Paragraph 3,

Paragraph 4,

Paragraph 4,

Paragraph 5,

Paragraph 5,

Paragraph 6,

Paragraph 6,

Paragraph 7,

Paragraph 7,

Paragraph 8,

Paragraph 8,

Paragraph 9,

Paragraph 9,

Paragraph 10,

Paragraph 11,

Paragraph 11,

Paragraph 12,

Paragraph 12,

Paragraph 13,

Paragraph 13,

Paragraph 14,

Paragraph 14,

Paragraph 15,

Paragraph 15,

Paragraph 16,

Paragraph 16,

Paragraph 17,

Paragraph 17,

Paragraph 18,

Paragraph 18,

Paragraph 19,

Paragraph 19,

Paragraph 20,

Paragraph 20,

Paragraph 21,

Paragraph 21,

Paragraph 22,

Paragraph 22,

Paragraph 23,

Paragraph 23,

Paragraph 24,

Paragraph 24,

Paragraph 25,

Paragraph 25,

Paragraph 26,

Paragraph 26,

Paragraph 27,

Paragraph 27,

Paragraph 28,

Paragraph 28,

Paragraph 29,

Paragraph 29,

Paragraph 30,

Paragraph 30,

Paragraph 31,

Paragraph 31,