Verordnung des Bundesministers für EU, Kunst, Kultur und Medien zur Festlegung von Sicherheitsvorkehrungen und näheren Regelungen zu den Sektoren sowie zu Sicherheitsvorfällen nach dem Netz- und Informationssystemsicherheitsgesetz (Netz- und Informationssystemsicherheitsverordnung – NISV)

Ordinance by the Federal Minister for the EU, Arts, Culture and Media laying down security measures and detailed provisions for the sectors and for security incidents under the Network and Information Systems Security Act (Network and Information Systems Security Ordinance – NIS Ordinance)

Stammfassung, , Bundesgesetzblatt Teil 2, Nr. 215 aus 2019,

⇐ Original version

 

Click here for checking the up-to-date list of amendments

in the Austrian Legal Information System.

 

Disclaimer: The English translation at hand of the authentic German text is unofficial and serves merely information purposes. The official wording and authentic version in German can be found in the Austrian Federal Law Gazette (Bundesgesetzblatt; BGBl.), online available at ris.bka.gv.at. The reader should also bear in mind that some provisions will remain unclear without certain background knowledge of the Austrian legal and political system.

Auf Grund des Paragraph 4, Absatz 2, des Netz- und Informationssystemsicherheitsgesetzes (NISG), Bundesgesetzblatt Teil eins, Nr. 111 aus 2018,, wird im Einvernehmen mit dem Bundesminister für Inneres verordnet:

Based on Paragraph 4, para 2 of the Network and Information Systems Security Act (NIS Act), Federal Law Gazette römisch eins No 111/2018, in agreement with the Federal Minister of the Interior, the following regulation is issued:

Inhaltsverzeichnis

Table of contents

1. Abschnitt, Allgemeine Bestimmungen

Section 1, General provisions

Paragraph eins,  Gegenstand der Verordnung

Paragraph eins,    Subject matter of the Ordinance

Paragraph 2,  Begriffsbestimmungen zu wesentlichen Diensten

Paragraph 2,    Definitions relating to essential services

Paragraph 3,  Begriffsbestimmungen zu Sicherheitsvorfällen

Paragraph 3,    Definitions relating to security incidents

2. Abschnitt, Wesentliche Dienste und Sicherheitsvorfälle

Section 2, Essential services and security incidents

Paragraph 4,  Sektor Energie

Paragraph 4,    Energy sector

Paragraph 5,  Sektor Verkehr

Paragraph 5,    Transport sector

Paragraph 6,  Sektor Bankwesen

Paragraph 6,    Banking sector

Paragraph 7,  Sektor Finanzmarktinfrastrukturen

Paragraph 7,    Financial market infrastructures sector

Paragraph 8,  Sektor Gesundheitswesen

Paragraph 8,    Health sector

Paragraph 9,  Sektor Trinkwasserversorgung

Paragraph 9,    Drinking water supply sector

Paragraph 10, Sektor Digitale Infrastruktur

Paragraph 10,  Digital infrastructure sector

3. Abschnitt, Sicherheitsvorkehrungen

Section 3, Security measures

Paragraph 11, Sicherheitsvorkehrungen

Paragraph 11,  Security measures

4. Abschnitt, Schlussbestimmungen

Section 4, Final provisions

Paragraph 12, Personenbezogene Bezeichnungen

Paragraph 12,  Gender-specific terms

Paragraph 13, Verweisungen

Paragraph 13,  References

Paragraph 14, Inkrafttreten

Paragraph 14,  Entry into force

1. Abschnitt

Section 1

Allgemeine Bestimmungen

General provisions

Gegenstand der Verordnung

Subject matter of the Ordinance

Paragraph eins,

Gegenstand dieser Verordnung ist die Festlegung

Paragraph eins,

The subject matter of this Ordinance is to lay down

  1. Ziffer eins
    von Kriterien für die Parameter zu Sicherheitsvorfällen gemäß Paragraph 3, Ziffer 6, Litera a, bis d NISG;
  1. Ziffer eins
    criteria for the parameters for security incidents pursuant to Paragraph 3, subpara 6 (a) to (d) of the NIS Act;
  1. Ziffer 2
    näherer Regelungen zu den in Paragraph 2, NISG genannten Sektoren gemäß Paragraph 16, Absatz 2, NISG;
  1. Ziffer 2
    detailed provisions for the sectors referred to in Paragraph 2, of the NIS Act, pursuant to Paragraph 16, para 2 of the NIS Act;
  1. Ziffer 3
    von Sicherheitsvorkehrungen nach Paragraph 17, Absatz eins, NISG;
  1. Ziffer 3
    security measures pursuant to Paragraph 17, para 1 of the NIS Act;
  1. Ziffer 4
    von Ausnahmen von Verpflichtungen für Betreiber wesentlicher Dienste gemäß Paragraph 20, Absatz eins, NISG.
  1. Ziffer 4
    exceptions to the obligations on operators of essential services pursuant to Paragraph 20, para 1 of the NIS Act.

Begriffsbestimmungen zu wesentlichen Diensten

Definitions relating to essential services

Paragraph 2,

Im Sinne dieser Verordnung bedeutet

Paragraph 2,

For the purposes of this Ordinance, the following definitions apply:

  1. Ziffer eins
    „Internet-Knoten“ (IXP – Internet Exchange Point) eine Netzeinrichtung, die die Zusammenschaltung von mehr als zwei unabhängigen autonomen Systemen ermöglicht, in erster Linie zur Erleichterung des Austauschs von Internet-Datenverkehr;
  1. Ziffer eins
    “internet exchange point” (IXP) means a network facility that enables the interconnection of more than two independent autonomous systems, primarily for the purpose of facilitating the exchange of internet traffic;
  1. Ziffer 2
    „Domain-Namen-System“ (DNS) ein hierarchisch unterteiltes Bezeichnungssystem in einem Netz zur Beantwortung von Anfragen zu Domain-Namen;
  1. Ziffer 2
    “domain name system” (DNS) means a hierarchical distributed naming system in a network that refers queries for domain names;
  1. Ziffer 3
    „Top-Level-Domain-Name-Registry“ eine Einrichtung, die die Registrierung von Internet-Domain-Namen innerhalb einer spezifischen Top-Level-Domain (TLD) verwaltet und betreibt;
  1. Ziffer 3
    “top-level domain name registry” means an entity that administers and operates the registration of internet domain names under a specific top-level domain (TLD);
  1. Ziffer 4
    „DNS-Resolver“ Programme, die Informationen von DNS-Servern zur Beantwortung von Client-Anfragen abfragen (Namensauflösung) und bei Unkenntnis der Antwort die Client-Anfragen an übergeordnete DNS-Server weiterreichen;
  1. Ziffer 4
    “DNS resolver” means a program that looks up information on DNS servers in response to client queries (name resolution) and, if the answer is unknown, refers client queries to higher-level DNS servers;
  1. Ziffer 5
    „Autoritativer DNS-Server“ ein Server, der den Inhalt einer DNS-Zone kennt und somit Abfragen zu dieser Zone beantworten kann, ohne andere DNS-Server abfragen zu müssen;
  1. Ziffer 5
    “authoritative DNS server” means a server that knows the content of a DNS zone and thus can answer queries about that zone without needing to query other DNS servers;
  1. Ziffer 6
    „Verkehrssteuerungs- und Leitsysteme“ Einrichtungen zur Regelung und Sicherung des Verkehrs, deren Funktionsfähigkeit von Netz- und Informationssystemen abhängig ist;
  1. Ziffer 6
    “traffic control and guidance systems” means facilities to regulate traffic and ensure transport safety whose functionality depends on network and information systems;
  1. Ziffer 7
    „kommunaler Straßenverkehr“ der Straßenverkehr in Städten mit mehr als 88 000 Einwohnern;
  1. Ziffer 7
    “urban road transport” means road transport in cities with a population of over 88,000;
  1. Ziffer 8
    „Krankenanstalten“
  1. Ziffer 8
    “hospitals” means
  1. Litera a
    öffentliche Krankenanstalten gemäß Paragraph 2, Absatz eins, Ziffer eins, des Bundesgesetzes über Krankenanstalten- und Kuranstalten (KAKuG), Bundesgesetzblatt Nr. 1 aus 1957,, mit Ausnahme der Pflegeabteilungen in öffentlichen Krankenanstalten für Psychiatrie;
  1. Litera a
    public hospitals pursuant to Paragraph 2, para 1 subpara 1 of the Federal Act on Hospitals and Sanatoriums (Hospitals and Sanatoriums Act [KAKuG, Krankenanstalten- und Kuranstaltengesetz]), Federal Law Gazette No 1/1957, with the exception of the nursing departments in public psychiatric hospitals;
  1. Litera b
    private Krankenanstalten der im Paragraph 2, Absatz eins, Ziffer eins, KAKuG bezeichneten Art, die gemäß Paragraph 16, KAKuG gemeinnützig geführte Krankenanstalten sind;
  1. Litera b
    private hospitals of the type referred to in Paragraph 2, para 1 subpara 1 of the Hospitals and Sanatoriums Act that are organised as non-profit hospitals pursuant to Paragraph 16, of the Hospitals and Sanatoriums Act;
  1. Litera c
    Sonderkrankenanstalten gemäß Paragraph 2, Absatz eins, Ziffer 2, KAKuG, die überwiegend unfallchirurgische Akutversorgung leisten und gemeinnützig geführt sind;
  1. Litera c
    specialised hospitals pursuant to Paragraph 2, para 1 subpara 2 of the Hospitals and Sanatoriums Act that primarily provide trauma surgical care in acute settings and are organised as non-profit hospitals;
  1. Ziffer 9
    „Versorgungsregionen“ die 32 Versorgungsregionen gemäß dem Österreichischen Strukturplan Gesundheit (ÖSG);
  1. Ziffer 9
    “health care regions” means the 32 health care regions defined in the Austrian Structural Plan for Healthcare (ÖSG, Österreichischer Strukturplan Gesundheit);
  1. Ziffer 10
    „zentral gelegene Versorgungsregionen mit großem Einzugsgebiet“
  1. Ziffer 10
    “centrally located health care regions with a large catchment area” means
  1. Litera a
    Versorgungsregionen mit mehr als 300 000 Einwohnern, sofern in diesen eine Landeshauptstadt gelegen ist;
  1. Litera a
    health care regions with a population of over 300,000, provided that a provincial capital is situated in their territory;
  1. Litera b
    die Versorgungsregionen in der Bundeshauptstadt;
  1. Litera b
    the health care regions in the federal capital;
  1. Ziffer 11
    „akutambulante ärztliche Versorgung“ die ambulante ärztliche Versorgung, die rund um die Uhr oder während der Öffnungszeiten ohne Terminvereinbarung zur Verfügung steht.
  1. Ziffer 11
    “acute outpatient medical care” means outpatient medical care that is available around the clock or during opening hours without prior appointment.

Begriffsbestimmungen zu Sicherheitsvorfällen

Definitions relating to security incidents

Paragraph 3,

Im Sinne dieser Verordnung bedeutet

Paragraph 3,

For the purposes of this Ordinance, the following definitions apply:

  1. Ziffer eins
    „Ausfall des betriebenen Dienstes“ die Unverfügbarkeit des Dienstes für Nutzer;
  1. Ziffer eins
    “failure of the service operated” means the unavailability of the service for users;
  1. Ziffer 2
    „Einschränkung der Verfügbarkeit des betriebenen Dienstes“ die signifikant geminderte Verfügbarkeit des Dienstes in qualitativer Dimension für Nutzer;
  1. Ziffer 2
    “restriction of continuity of the service operated” means a significant reduction in availability of the service for users in terms of quality;
  1. Ziffer 3
    „Zahl der von dem Sicherheitsvorfall betroffenen Nutzer, insbesondere der Nutzer, die den Dienst für die Bereitstellung ihrer eigenen Dienste benötigen“ (Paragraph 3, Ziffer 6, Litera a, NISG) die Zahl der von einem Sicherheitsvorfall betroffenen natürlichen und juristischen Personen, mit denen ein Vertrag über die Bereitstellung des Dienstes abgeschlossen wurde, oder die Zahl der betroffenen Nutzer, die den Dienst im Zeitpunkt des Sicherheitsvorfalls genutzt haben oder für die voraussichtliche Dauer des Sicherheitsvorfalls nutzen würden;
  1. Ziffer 3
    “number of users affected by the security incident, in particular users relying on the service for the provision of their own services” (Paragraph 3, subpara 6 (a) of the NIS Act) means the number of natural and legal persons affected by a security incident with whom a contract for the provision of the service has been concluded, or the number of affected users who used the service at the time of the security incident or who would use the service for the prospective duration of the security incident;
  1. Ziffer 4
    „Dauer des Sicherheitsvorfalls“ (Paragraph 3, Ziffer 6, Litera b, NISG) der in Stunden angegebene Zeitraum vom Ausfall oder von der Einschränkung der Verfügbarkeit des betriebenen Dienstes bis zum Zeitpunkt der uneingeschränkten Wiederherstellung;
  1. Ziffer 4
    “duration of the security incident” (Paragraph 3, subpara 6 (b) of the NIS Act) means the time period in hours from the failure or restriction of continuity of the service operated until the time of full recovery;
  1. Ziffer 5
    „geografische Ausbreitung in Bezug auf das von dem Sicherheitsvorfall betroffene Gebiet“ (Paragraph 3, Ziffer 6, Litera c, NISG) eine geografische Ausbreitung, bei der der Ausfall oder die Einschränkung der Verfügbarkeit des betriebenen wesentlichen Dienstes Gebiete in einem oder mehreren Mitgliedstaaten der Europäischen Union oder der Europäischen Freihandelsassoziation betrifft;
  1. Ziffer 5
    “geographical spread with regard to the area affected by the security incident” (Paragraph 3, subpara 6 (c) of the NIS Act) means a geographical spread where the failure or restriction of continuity of the essential service operated affects areas in one or more Member States of the European Union or the European Free Trade Association;
  1. Ziffer 6
    „Auswirkung auf wirtschaftliche und gesellschaftliche Tätigkeiten“ (Paragraph 3, Ziffer 6, Litera d, NISG) nachteilige Auswirkungen auf Einrichtungen und Personen, insbesondere betroffene Nutzer, unabhängig davon, ob diese Auswirkungen materielle oder immaterielle Verluste für diese verursacht haben;
  1. Ziffer 6
    “impact on economic and societal activities” (Paragraph 3, subpara 6 (d) of the NIS Act) means an adverse effect on entities and persons, in particular affected users, regardless of whether such effect has caused material or non-material losses for them;
  1. Ziffer 7
    „Nutzerstunden“ das Produkt der Anzahl der von dem Sicherheitsvorfall betroffenen Nutzer (Ziffer 3,) mit der Dauer des Sicherheitsvorfalls (Ziffer 4,);
  1. Ziffer 7
    “user-hours” means the result of multiplying the number of users affected by the security incident (subpara 3) by the duration of the security incident (subpara 4);
  1. Ziffer 8
    „Zählpunktstunden“ das Produkt der Anzahl der Zählpunkte mit der Dauer des Sicherheitsvorfalls (Ziffer 4,).
  1. Ziffer 8
    “metering point hours” means the result of multiplying the number of metering points by the duration of the security incident (subpara 4).

2. Abschnitt

Section 2

Wesentliche Dienste und Sicherheitsvorfälle

Essential services and security incidents

Sektor Energie

Energy sector

Paragraph 4,

  1. Absatz eins,Wegen ihrer Bedeutung für die Aufrechterhaltung der öffentlichen Versorgung mit Energie im Sinne des Paragraph 16, Absatz 2, NISG sind im Sektor Energie wesentliche Dienste:

Paragraph 4,

  1. Absatz eins,Due to their importance for the maintenance of the public supply of energy within the meaning of Paragraph 16, para 2 of the NIS Act, the following are essential services in the energy sector:
  1. Ziffer eins
    im Teilsektor Elektrizität

          1. in the subsector of electricity,

  1. Litera a
    im Bereich der Stromerzeugung

              a) in the area of electricity generation,

  1. Sub-Litera, a, a
    der Betrieb einer Erzeugungsanlage, die mehr als 340 MW Engpassleistung hat;
  1. Sub-Litera, a, a
    the operation of a generation facility with a maximum capacity of more than 340 MW;
  1. Sub-Litera, b, b
    der Betrieb von Systemen zur Steuerung von Erzeugungsanlagen, die zusammen mehr als 340 MW Engpassleistung haben;
  1. Sub-Litera, b, b
    the operation of systems for the control of generation facilities with an aggregate maximum capacity of more than 340 MW;
  1. Litera b
    im Bereich der Stromverteilung der Betrieb eines Verteilernetzes, über das Elektrizität an mehr als 88 000 Zählpunkte transportiert wird, oder das in einer Landeshauptstadt gelegen ist;
  1. Litera b
    in the area of electricity distribution, the operation of a distribution system through which electricity is transported to more than 88,000 metering points or which is located in a provincial capital;
  1. Litera c
    im Bereich der Stromübertragung der Betrieb eines Übertragungsnetzes durch Übertragungsnetzbetreiber;
  1. Litera c
    in the area of electricity transmission, the operation of a transmission system by a transmission system operator;
  1. Ziffer 2
    im Teilsektor Erdöl

          2. in the subsector of oil,

  1. Litera a
    im Bereich der Erdölförderung der Betrieb von Anlagen zur Förderung von Erdöl, wenn die geförderte Menge mehr als 20% Anteil am jährlichen inländischen Mineralölverbrauch ausmacht;
  1. Litera a
    in the area of oil production, the operation of facilities for the production of oil if the amount of oil produced accounts for more than 20% of the annual domestic consumption of mineral oil;
  1. Litera b
    im Bereich der Erdöllagerung der Betrieb einer Anlage, in der Pflichtnotstandsreserven in Form von Erdöl, Erdölprodukten, Biokraftstoffen oder Rohstoffen zur direkten Erzeugung von Biokraftstoffen gelagert werden, und die einen Lagerbestand von mehr als 10 000 Tonnen hat;
  1. Litera b
    in the area of oil storage, the operation of a facility for the storage of compulsory emergency reserves in the form of crude oil, petroleum products, biofuels or feedstocks directly used to produce biofuels which hold a stock of more than 10,000 tonnes;
  1. Litera c
    im Bereich des Erdöltransports der Betrieb einer Erdölfernleitung, wenn die transportierte Menge vier Millionen Tonnen pro Jahr übersteigt;
  1. Litera c
    in the area of oil transport, the operation of an oil pipeline if the amount of oil transported exceeds four million tonnes per year;
  1. Litera d
    im Bereich der Erdölraffination der Betrieb von Anlagen zur Raffination und Aufbereitung von Erdöl, die mehr als acht Millionen Tonnen pro Jahr verarbeiten;
  1. Litera d
    in the area of oil refining, the operation of facilities for refining and processing oil which process more than eight million tonnes per year;
  1. Ziffer 3
    im Teilsektor Erdgas

          3. in the subsector of gas,

  1. Litera a
    im Bereich der Gasförderung der Betrieb von Gasförderungsanlagen, wenn die geförderte Menge mehr als 20% Anteil am jährlichen Inlandgasverbrauch ausmacht;
  1. Litera a
    in the area of gas production, the operation of gas production facilities if the amount of gas produced accounts for more than 20% of the annual domestic consumption of gas;
  1. Litera b
    im Bereich der Gasspeicherung der Betrieb einer Speicheranlage, die mehr als 10 000 GWh Arbeitsgasvolumen pro Jahr hat;
  1. Litera b
    in the area of gas storage, the operation of a storage facility with a working gas volume of more than 10,000 GWh per year;
  1. Litera c
    im Bereich des Gastransports der Betrieb einer Fernleitungsanlage;
  1. Litera c
    in the area of gas transport, the operation of a transmission line;
  1. Litera d
    im Bereich der Gasverteilung der Betrieb eines Verteilernetzes, über das Erdgas an mehr als 88 000 Zählpunkte transportiert wird;
  1. Litera d
    in the area of gas distribution, the operation of a distribution system through which natural gas is transported to more than 88,000 metering points;
  1. Litera e
    im Bereich des Marktgebietsmanagements die Koordination der Netzsteuerung und des Einsatzes von Netzpufferung (Linepack) sowie der Abruf der physikalischen Ausgleichsenergie;
  1. Litera e
    in the area of market area management, the coordination of system operation and the use of linepack as well as the use of physical balancing energy;
  1. Litera f
    im Bereich des Verteilergebietsmanagements
  1. Litera f
    in the area of distribution area management,
  1. Sub-Litera, a, a
    der Abruf der physikalischen Ausgleichsenergie im Verteilergebiet;
  1. Sub-Litera, a, a
    the procurement of physical balancing energy in the distribution area;
  1. Sub-Litera, b, b
    die Bereitstellung der Systemdienstleistung (Leistungs- und Druckregelung bzw. Druckhaltung) durch Vornahme des technisch-physikalischen Ausgleichs;
  1. Sub-Litera, b, b
    the provision of the system service (load/pressure control and pressure maintenance) by handling the technical/physical balancing;
  1. Sub-Litera, c, c
    die Steuerung der Verteilerleitungsanlagen der Netzebene 1 durch Vorgaben an die Verteilernetzbetreiber.
  1. Sub-Litera, c, c
    the control of the distribution pipeline systems at network level 1 by issuing instructions to the distribution system operators.
  1. Absatz 2,Im Sektor Energie liegt ein Sicherheitsvorfall im Sinne des Paragraph 3, Ziffer 6, NISG vor, wenn
  1. Absatz 2,In the energy sector, a security incident within the meaning of Paragraph 3, subpara 6 of the NIS Act occurs where
  1. Ziffer eins
    im Teilsektor Elektrizität

          1. in the subsector of electricity,

  1. Litera a
    im Bereich der Stromerzeugung

              a) in the area of electricity generation,

  1. Sub-Litera, a, a
    bei dem in Absatz eins, Ziffer eins, Litera a, Sub-Litera, a, a, genannten Dienst die Erzeugungsleistung einer Erzeugungsanlage in Summe um mehr als 340 MW verringert ist;
  1. Sub-Litera, a, a
    as regards the service referred to in para 1 subpara 1 (a) (aa), the generation capacity of a generation facility is reduced by an aggregate amount of more than 340 MW;
  1. Sub-Litera, b, b
    bei dem in Absatz eins, Ziffer eins, Litera a, Sub-Litera, b, b, genannten Dienst die von den Systemen steuerbare Erzeugungsleistung aller Erzeugungsanlagen in Summe um mindestens 340 MW verringert ist;
  1. Sub-Litera, b, b
    as regards the service referred to in para 1 subpara 1 (a) (bb), the generation capacity of all generation facilities which can be controlled by the systems is reduced by an aggregate amount of at least 340 MW;
  1. Litera b
    im Bereich der Stromverteilung der in Absatz eins, Ziffer eins, Litera b, genannte Dienst für mehr als 1 056 000 Zählpunktstunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Litera b
    in the area of electricity distribution, the service referred to in para 1 subpara 1 (b) fails or the continuity thereof is restricted for more than 1,056,000 metering point hours;
  1. Litera c
    im Bereich der Stromübertragung der in Absatz eins, Ziffer eins, Litera c, genannte Dienst für mehr als drei Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Litera c
    in the area of electricity transmission, the service referred to in para 1 subpara 1 (c) fails or the continuity thereof is restricted for more than three hours;
  1. Ziffer 2
    im Teilsektor Erdöl

          2. in the subsector of oil,

  1. Litera a
    der in Absatz eins, Ziffer 2, Litera a, genannte Dienst für mehr als 24 Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Litera a
    the service referred to in para 1 subpara 2 (a) fails or the continuity thereof is restricted for more than 24 hours;
  1. Litera b
    der in Absatz eins, Ziffer 2, Litera b, genannte Dienst für mehr als 24 Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Litera b
    the service referred to in para 1 subpara 2 (b) fails or the continuity thereof is restricted for more than 24 hours;
  1. Litera c
    bei dem in Absatz eins, Ziffer 2, Litera c, genannten Dienst die geografische Ausbreitung in Bezug auf das von dem Sicherheitsvorfall betroffene Gebiet mehr als einen Mitgliedstaat der Europäischen Union betrifft;
  1. Litera c
    as regards the service referred to in para 1 subpara 2 (c), the geographical spread with regard to the area affected by the security incident extends to more than one Member State of the European Union;
  1. Litera d
    der in Absatz eins, Ziffer 2, Litera d, genannte Dienst für mehr als 24 Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Litera d
    the service referred to in para 1 subpara 2 (d) fails or the continuity thereof is restricted for more than 24 hours;
  1. Ziffer 3
    im Teilsektor Erdgas

          3. in the subsector of gas,

  1. Litera a
    im Bereich der Gasförderung der in Absatz eins, Ziffer 3, Litera a, genannte Dienst für mehr als 24 Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Litera a
    in the area of gas production, the service referred to in para 1 subpara 3 (a) fails or the continuity thereof is restricted for more than 24 hours;
  1. Litera b
    im Bereich der Gasspeicherung der in Absatz eins, Ziffer 3, Litera b, genannte Dienst für mehr als zwölf Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Litera b
    in the area of gas storage, the service referred to in para 1 subpara 3 (b) fails or the continuity thereof is restricted for more than twelve hours;
  1. Litera c
    im Bereich des Gastransports bei dem in Absatz eins, Ziffer 3, Litera c, genannten Dienst die geografische Ausbreitung in Bezug auf das von dem Sicherheitsvorfall betroffene Gebiet mehr als einen Mitgliedstaat der Europäischen Union betrifft;
  1. Litera c
    in the area of gas transport, as regards the service referred to in para 1 subpara 3 (c), the geographical spread with regard to the area affected by the security incident extends to more than one Member State of the European Union;
  1. Litera d
    im Bereich der Gasverteilung der in Absatz eins, Ziffer 3, Litera d, genannte Dienst für mehr als 1 056 000 Zählpunktstunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Litera d
    in the area of gas distribution, the service referred to in para 1 subpara 3 (d) fails or the continuity thereof is restricted for more than 1,056,000 metering point hours;
  1. Litera e
    im Bereich des Marktgebietsmanagements der in Absatz eins, Ziffer 3, Litera e, genannte Dienst für mehr als zwölf Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Litera e
    in the area of market area management, the service referred to in para 1 subpara 3 (e) fails or the continuity thereof is restricted for more than twelve hours;
  1. Litera f
    im Bereich des Verteilergebietsmanagements einer der in Absatz eins, Ziffer 3, Litera f, genannten Dienste für mehr als zwöf Stunden ausfällt oder nur eingeschränkt verfügbar ist.
  1. Litera f
    in the area of distribution area management, any of the services referred to in para 1 subpara 3 (f) fails or the continuity thereof is restricted for more than twelve hours.
  1. Absatz 3,Unbeschadet der Begriffsbestimmungen in Paragraph 2, gelten

(3) Without prejudice to the definitions in Paragraph 2,,

  1. Ziffer eins
    im Teilsektor Elektrizität für die in Absatz eins, Ziffer eins, verwendeten Begriffe die Begriffsbestimmungen des Elektrizitätswirtschafts- und -organisationsgesetzes 2010 (ElWOG 2010), Bundesgesetzblatt Teil eins, Nr. 110 aus 2010,;
  1. Ziffer eins
    in the subsector of electricity, the definitions of the Electricity Act 2010 (ElWOG, Elektrizitätswirtschafts- und -organisationsgesetz 2010), Federal Law Gazette römisch eins No 110/2010, apply to the terms used in para 1 subpara 1;
  1. Ziffer 2
    im Teilsektor Erdöl für die in Absatz eins, Ziffer 2, Litera c, verwendeten Begriffe die Begrifflichkeiten des Erdölbevorratungsgesetzes 2012 (EBG 2012), Bundesgesetzblatt Teil eins, Nr. 78 aus 2012,;
  1. Ziffer 2
    in the subsector of oil, the terminology of the Oil Stockholding Act 2012 (EBG, Erdölbevorratungsgesetz 2012), Federal Law Gazette römisch eins No 78/2012, apply to the terms used in para 1 subpara 2 (c);
  1. Ziffer 3
    im Teilsektor Erdgas für die in Absatz eins, Ziffer 3, verwendeten Begriffe die Begriffsbestimmungen des Gaswirtschaftsgesetzes 2011 (GWG 2011), Bundesgesetzblatt Teil eins, Nr. 107 aus 2011,.
  1. Ziffer 3
    in the subsector of gas, the definitions of the Natural Gas Act 2011 (GWG, Gaswirtschaftsgesetz 2011), Federal Law Gazette römisch eins No 107/2011, apply to the terms used in para 1 subpara 3.

Sektor Verkehr

Transport sector

Paragraph 5,

  1. Absatz eins,Wegen ihrer Bedeutung für die Aufrechterhaltung des öffentlichen Verkehrs im Sinne des Paragraph 16, Absatz 2, NISG sind im Sektor Verkehr wesentliche Dienste:

Paragraph 5,

  1. Absatz eins,Due to their importance for the maintenance of public transport within the meaning of Paragraph 16, para 2 of the NIS Act, the following are essential services in the transport sector:
  1. Ziffer eins
    im Teilsektor Luftverkehr
  1. Ziffer eins
    in the subsector of air transport,
  1. Litera a
    die Beförderung von Personen im gewerblichen Luftverkehr durch ein Luftverkehrsunternehmen, das mehr als 33% der jährlich abgefertigten Passagiere an einem Flughafen befördert, der jährlich mehr als zehn Millionen Passagiere abfertigt;
  1. Litera a
    commercial air transport of passengers by an air carrier transporting more than 33% of the annual number of passengers handled at an airport handling more than ten million passengers per year;
  1. Litera b
    im Bereich des Betriebes eines Flughafens die Flugabwicklung, insbesondere die Fluggastabfertigung und die Gepäckabfertigung sowie der Betrieb der Sicherheitssysteme, an einem Flughafen, der jährlich mehr als zehn Millionen Passagiere abfertigt;
  1. Litera b
    in the area of the operation of an airport, flight handling, in particular passenger handling and baggage handling, and the operation of security systems at an airport handling more than ten million passengers per year;
  1. Litera c
    im Bereich der Flugsicherung
  1. Litera c
    in the area of air traffic control,
  1. Sub-Litera, a, a
    Flugsicherungsdienste durch Einrichtungen, denen die Wahrnehmung der Flugsicherung als hoheitliche Aufgabe des Bundes nach dem Luftfahrtgesetz (LFG), Bundesgesetzblatt Nr. 253 aus 1957,, obliegt;
  1. Sub-Litera, a, a
    air navigation services provided by entities charged with performing air traffic control as a sovereign task of the federal government under the Aviation Act (LFG, Luftfahrtgesetz), Federal Law Gazette No 253/1957;
  1. Sub-Litera, b, b
    Flugplatzkontrolldienste an einem Flughafen, der jährlich mehr als zehn Millionen Passagiere abfertigt;
  1. Sub-Litera, b, b
    aerodrome control services at an airport handling more than ten million passengers per year;
  1. Ziffer 2
    im Teilsektor Schienenverkehr
  1. Ziffer 2
    in the subsector of rail transport,
  1. Litera a
    im Bereich der Infrastruktur

              a) in the area of infrastructure,

  1. Sub-Litera, a, a
    der Betrieb von Eisenbahninfrastrukturen, die mehr als 100 km Teil des Kernnetzes des transeuropäischen Verkehrsnetzes nach der Kartendarstellung 5.3 des Anhanges 1 der Verordnung (EU) Nr. 1315/2013 über Leitlinien der Union für den Aufbau eines transeuropäischen Verkehrsnetzes und zur Aufhebung des Beschlusses Nr. 661/2010/EU, ABl. Nr. L 348 vom 20.12.2013 Sitzung eins, , sind;
  1. Sub-Litera, a, a
    the operation of railway infrastructures forming part of the core network of the trans-European transport network as depicted in map 5.3 of Annex römisch eins to Regulation (EU) No 1315/2013 on Union guidelines for the development of the trans-European transport network and repealing Decision No 661/2010/EU, OJ L 348, 20.12.2013, p. 1, over a distance of more than 100 km;
  1. Sub-Litera, b, b
    der Betrieb von Personenhauptbahnhöfen in Landeshauptstädten;
  1. Sub-Litera, b, b
    the operation of central railway stations for passenger transport in provincial capitals;
  1. Litera b
    im Bereich der Eisenbahnverkehrsdienste

              b) in the area of rail transport services,

  1. Sub-Litera, a, a
    die schienengebundene Personenbeförderung von mehr als 300 Millionen Passagieren im Jahr;
  1. Sub-Litera, a, a
    rail-bound passenger transport of more than 300 million passengers per year;
  1. Sub-Litera, b, b
    die schienengebundene Beförderung von mehr als 100 Millionen Tonnen Güter im Jahr;
  1. Sub-Litera, b, b
    rail-bound transport of more than 100 million tonnes of goods per year;
  1. Ziffer 3
    im Teilsektor Straßenverkehr
  1. Ziffer 3
    in the subsector of road transport,
  1. Litera a
    der Betrieb der Verkehrssteuerungs- und Leitsysteme des Bundesstraßennetzes;
  1. Litera a
    the operation of the traffic control and guidance systems of the federal road network;
  1. Litera b
    der Betrieb der Verkehrssteuerungs- und Leitsysteme im kommunalen Straßenverkehr;
  1. Litera b
    the operation of traffic control and guidance systems in urban road transport;
  1. Litera c
    der Betrieb der Verkehrssteuerungs- und Leitsysteme in Tunneln nach dem Straßentunnel-Sicherheitsgesetz (STSG), Bundesgesetzblatt Teil eins, Nr. 54 aus 2006,.
  1. Litera c
    the operation of traffic control and guidance systems in tunnels under the Road Tunnel Safety Act (STSG, Straßentunnel-Sicherheitsgesetz), Federal Law Gazette römisch eins No 54/2006.
  1. Absatz 2,Im Sektor Verkehr liegt ein Sicherheitsvorfall im Sinne des Paragraph 3, Ziffer 6, NISG vor, wenn
  1. Absatz 2,In the transport sector, a security incident within the meaning of Paragraph 3, subpara 6 of the NIS Act occurs where
  1. Ziffer eins
    im Teilsektor Luftverkehr
  1. Ziffer eins
    in the subsector of air transport,
  1. Litera a
    der in Absatz eins, Ziffer eins, Litera a, genannte Dienst für mehr als drei Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Litera a
    the service referred to in para 1 subpara 1 (a) fails or the continuity thereof is restricted for more than three hours;
  1. Litera b
    im Bereich des Betriebes eines Flughafens innerhalb von 24 Stunden mehr als ein Drittel der Nutzer eines durchschnittlichen Tagesaufkommens, gemessen am Medianwert des vorangegangenen Kalenderjahres, von einem Ausfall oder der Einschränkung der Verfügbarkeit des in Absatz eins, Ziffer eins, Litera b, genannten Dienstes betroffen sind;
  1. Litera b
    in the area of the operation of an airport, more than one third of the average number of users per day, as compared to the median of the previous calendar year, is affected by a failure or restriction of continuity of the service referred to in para 1 subpara 1 (b) within a period of 24 hours;
  1. Litera c
    im Bereich der Flugsicherung der in Absatz eins, Ziffer eins, Litera c, Sub-Litera, a, a, oder bb genannte Dienst für mehr als drei Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Litera c
    in the area of air traffic control, the service referred to in para 1 subpara 1 (c) (aa) or (bb) fails or the continuity thereof is restricted for more than three hours;
  1. Ziffer 2
    im Teilsektor Schienenverkehr
  1. Ziffer 2
    in the subsector of rail transport,
  1. Litera a
    im Bereich der Infrastruktur
  1. Litera a
    in the area of infrastructure,
  1. Sub-Litera, a, a
    der in Absatz eins, Ziffer 2, Litera a, Sub-Litera, a, a, genannte Dienst für mehr als zwölf Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Sub-Litera, a, a
    the service referred to in para 1 subpara 2 (a) (aa) fails or the continuity thereof is restricted for more than twelve hours;
  1. Sub-Litera, b, b
    der in Absatz eins, Ziffer 2, Litera b, Sub-Litera, b, b, genannte Dienst für mehr als zwölf Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Sub-Litera, b, b
    the service referred to in para 1 subpara 2 (a) (bb) fails or the continuity thereof is restricted for more than twelve hours;
  1. Litera b
    im Bereich der Eisenbahnverkehrsdienste

              b) in the area of rail transport services,

  1. Sub-Litera, a, a
    der in Absatz eins, Ziffer 2, Litera b, Sub-Litera, a, a, genannte Dienst für mehr als drei Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Sub-Litera, a, a
    the service referred to in para 1 subpara 2 (b) (aa) fails or the continuity thereof is restricted for more than three hours;
  1. Sub-Litera, b, b
    der in Absatz eins, Ziffer 2, Litera b, Sub-Litera, b, b, genannte Dienst für mehr als 24 Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Sub-Litera, b, b
    the service referred to in para 1 subpara 2 (b) (bb) fails or the continuity thereof is restricted for more than 24 hours;
  1. Ziffer 3
    im Teilsektor Straßenverkehr
  1. Ziffer 3
    in the subsector of road transport,
  1. Litera a
    in Folge eines Ausfalls oder der eingeschränkten Verfügbarkeit des in Absatz eins, Ziffer 3, Litera a, genannten Dienstes eine zuständige Behörde für mehr als sechs Stunden angesetzte Verkehrsverbote oder Verkehrsbeschränkungen erlassen hat;
  1. Litera a
    as a result of a failure or restriction of continuity of the service referred to in para 1 subpara 3 (a), a competent authority has imposed traffic bans or traffic restrictions scheduled to last for a period of more than six hours;
  1. Litera b
    der in Absatz eins, Ziffer 3, Litera b, genannte Dienst für mehr als drei Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Litera b
    the service referred to in para 1 subpara 3 (b) fails or the continuity thereof is restricted for more than three hours;
  1. Litera c
    der in Absatz eins, Ziffer 3, Litera a, oder c genannte Dienst für mehr als sechs Stunden ausfällt oder nur eingeschränkt verfügbar ist.
  1. Litera c
    the service referred to in para 1 subpara 3 (a) or (c) fails or the continuity thereof is restricted for more than six hours.
  1. Absatz 3,Unbeschadet der Begriffsbestimmungen in Paragraph 2, gelten

(3) Without prejudice to the definitions in Paragraph 2,,

  1. Ziffer eins
    im Teilsektor Luftverkehr für die in Absatz eins, Ziffer eins, Litera a und b verwendeten Begriffe die Begriffsbestimmungen des LFG und für die in Absatz eins, Ziffer eins, Litera c, Sub-Litera, a, a und b, b verwendeten Begriffe die Begriffsbestimmungen der Verordnung (EG) Nr. 549/2004, ABl. L 96 vom 31.3.2004 Sitzung eins, ;
  1. Ziffer eins
    in the subsector of air transport, the definitions of the Aviation Act apply to the terms used in para 1 subpara 1 (a) and (b), and the definitions of Regulation (EC) No 549/2004, OJ L 96, 31.3.2004, p. 1, apply to the terms used in para 1 subpara 1 (c) (aa) and (bb);
  1. Ziffer 2
    im Teilsektor Schienenverkehr für die in Absatz eins, Ziffer 2, Litera a, Sub-Litera, a, a, verwendeten Begriffe die Begriffsbestimmungen des Eisenbahngesetzes 1957 (EisbG), Bundesgesetzblatt Nr. 60 aus 1957,;
  1. Ziffer 2
    in the subsector of rail transport, the definitions of the Railway Act 1957 (EisbG, Eisenbahngesetz 1957), Federal Law Gazette No 60/1957, apply to the terms used in para 1 subpara 2 (a) (aa);
  1. Ziffer 3
    im Teilsektor Straßenverkehr für die in Absatz eins, Ziffer 3, Litera a, verwendeten Begriffe die Begriffsbestimmungen des Bundesstraßengesetzes 1971 (BStG 1971), Bundesgesetzblatt Nr. 286 aus 1971,.
  1. Ziffer 3
    in the subsector of road transport, the definitions of the Federal Roads Act 1971 (BStG, Bundesstraßengesetz 1971), Federal Law Gazette No 286/1971, apply to the terms used in para 1 subpara 3 (a).

Sektor Bankwesen

Banking sector

Paragraph 6,

  1. Absatz eins,Wegen ihrer Bedeutung für die Aufrechterhaltung des Zahlungsverkehrs im Sinne des Paragraph 16, Absatz 2, NISG sind im Sektor Bankwesen wesentliche Dienste:

Paragraph 6,

  1. Absatz eins,Due to their importance for the maintenance of payment transactions within the meaning of Paragraph 16, para 2 of the NIS Act, the following are essential services in the banking sector:
  1. Ziffer eins
    der Betrieb von Systemen zur Erbringung von Diensten, mit denen Bareinzahlungen auf ein Zahlungskonto ermöglicht werden;
  1. Ziffer eins
    the operation of systems for the provision of services enabling cash payments into a payment account;
  1. Ziffer 2
    der Betrieb von Systemen zur Erbringung von Diensten, mit denen Barabhebungen von einem Zahlungskonto ermöglicht werden;
  1. Ziffer 2
    the operation of systems for the provision of services enabling cash withdrawals from a payment account;
  1. Ziffer 3
    der Betrieb von Systemen zur Ausführung von Zahlungsvorgängen einschließlich des Transfers von Geldbeträgen auf ein Zahlungskonto beim Zahlungsdienstleister des Zahlungsdienstnutzers oder bei einem anderen Zahlungsdienstleister;
  1. Ziffer 3
    the operation of systems for the execution of payment transactions including the transfer of funds into a payment account held by the payment service user’s payment service provider or another payment service provider;
  1. Ziffer 4
    der Betrieb von Systemen zur Ausführung von Zahlungsvorgängen, wenn die Beträge durch einen Kreditrahmen für einen Zahlungsdienstnutzer gedeckt sind.
  1. Ziffer 4
    the operation of systems for the execution of payment transactions if the funds are covered by a credit line for a payment service user.
  1. Absatz 2,Im Sektor Bankwesen liegt ein Sicherheitsvorfall im Sinne des Paragraph 3, Ziffer 6, NISG vor, wenn
  1. Absatz 2,In the banking sector, a security incident within the meaning of Paragraph 3, subpara 6 of the NIS Act occurs where
  1. Ziffer eins
    der Vorfall eine mögliche finanzielle Auswirkung von mehr als fünf Millionen Euro oder 0,1% des harten Kernkapitals hat;
  1. Ziffer eins
    the incident has a potential financial impact of more than five million euros or 0.1% of the Common Equity Tier 1 capital;
  1. Ziffer 2
    eine öffentliche Berichterstattung über den Vorfall stattfand;
  1. Ziffer 2
    the incident has been publicly reported;
  1. Ziffer 3
    eine Person in Leitungsfunktion über den Vorfall (Paragraph 3, Ziffer 7, NISG) unterrichtet wurde, sofern diese üblicherweise nicht über Risiken (Paragraph 3, Ziffer 8, NISG) oder Vorfälle unterrichtet wird und es sich nicht um eine regelmäßige oder routinemäßige Berichterstattung handelt;
  1. Ziffer 3
    a person in a leadership position has been informed about the incident (Paragraph 3, subpara 7 of the NIS Act) if that person is usually not informed about risks (Paragraph 3, subpara 8 of the NIS Act) or incidents and the information was not provided in the context of regular or routine reporting;
  1. Ziffer 4
    das Betriebskontinuitätsmanagement, Notfallmanagement oder ein anderer interner Krisenplan auf Ebene der Gruppe angewendet wird;
  1. Ziffer 4
    business continuity management, contingency planning or any other internal emergency plan is applied at the level of the group;
  1. Ziffer 5
    zur Deckung finanzieller Verluste eine Cyberversicherung herangezogen wird.
  1. Ziffer 5
    a claim under a cyber insurance policy is made to cover financial losses.
  1. Absatz 3,Im Sektor Bankwesen bestehen für Betreiber eines wesentlichen Dienstes im Sinne des Absatz eins, Ziffer eins bis 4 zu Sicherheitsvorkehrungen in Paragraph 85, des Zahlungsdienstegesetzes 2018 (ZaDiG 2018), Bundesgesetzblatt Teil eins, Nr. 17 aus 2018,, und zur Meldepflicht in Paragraph 86, ZaDiG 2018 Vorschriften, die zumindest ein gleichwertiges Sicherheitsniveau für Netz- und Informationssysteme gemäß Paragraph 20, NISG gewährleisten.
  1. Absatz 3,In the banking sector, operators of an essential service within the meaning of para 1 subparas 1 to 4 are subject to rules regarding security measures under Paragraph 85, of the Payment Services Act 2018 (ZaDiG, Zahlungsdienstegesetz 2018), Federal Law Gazette römisch eins No 17/2018, and rules regarding reporting requirements under Paragraph 86, of the Payment Services Act 2018, which ensure at least an equivalent level of security of network and information systems pursuant to Paragraph 20, of the NIS Act.
  1. Absatz 4,Als Betreiber wesentlicher Dienste im Sinne des Absatz eins, können nur CRR-Kreditinstitute, übergeordnete Kreditinstitute oder Zentralorganisationen von Kreditinstitute-Verbünden im Sinne des Bankwesengesetzes (BWG), Bundesgesetzblatt Nr. 532 aus 1993,, ermittelt werden, deren Gesamtwert der Aktiva 30 Milliarden Euro übersteigt. Bei übergeordneten Kreditinstituten ist der Gesamtwert der Aktiva der Kreditinstitutsgruppe gemäß Paragraph 30, BWG, bei Zentralorganisationen der Gesamtwert der Aktiva des Kreditinstitute-Verbunds gemäß Paragraph 30 a, BWG zu berücksichtigen.
  1. Absatz 4,The only entities that may be identified as operators of essential services within the meaning of para 1 are CRR credit institutions, superordinate credit institutions or central bodies of affiliations of credit institutions within the meaning of the Banking Act (BWG, Bankwesengesetz), Federal Law Gazette No 532/1993, whose total assets exceed 30 billion euros. In the case of superordinate credit institutions, regard must be had to the total assets of the group of credit institutions pursuant to Paragraph 30, of the Banking Act, and in the case of central bodies, regard must be had to the total assets of the affiliation of credit institutions pursuant to Paragraph 30 a, of the Banking Act.

Sektor Finanzmarktinfrastrukturen

Financial market infrastructures sector

Paragraph 7,

  1. Absatz eins,Wegen ihrer Bedeutung für die Aufrechterhaltung des Handelsplatzes sind im Sektor Finanzmarktinfrastrukturen wesentliche Dienste im Sinne des Paragraph 16, Absatz 2, NISG:

Paragraph 7,

  1. Absatz eins,Due to their importance for the maintenance of trading venues, the following are essential services in the financial market infrastructures sector within the meaning of Paragraph 16, para 2 of the NIS Act:
  1. Ziffer eins
    im Bereich der Handelsplätze (Paragraph eins, Ziffer 12, des Börsegesetzes 2018 (BörseG 2018), Bundesgesetzblatt Teil eins, Nr. 107 aus 2017,)
  1. Ziffer eins
    in the area of trading venues (Paragraph eins, subpara 12 of the Stock Exchange Act 2018 [BörseG, Börsegesetz 2018], Federal Law Gazette römisch eins No 107/2017),
  1. Litera a
    die technische Anbindung der Handels- und Clearingteilnehmer;

              a) the technical connection of the trading and clearing members;

  1. Litera b
    die Bereitstellung der elektronischen Handelsplattform;

              b) the provision of the electronic trading platform;

  1. Litera c
    die Marktsteuerung als technischer Dienst;

              c) market control as a technical service;

wenn pro Geschäftsjahr an diesem Handelsplatz mehr als zehn Millionen Transaktionen stattgefunden haben;
if more than ten million transactions have taken place on that trading venue in a financial year;
  1. Ziffer 2
    im Bereich der Abwicklung durch zentrale Gegenparteien (Artikel 2, Absatz eins, der Verordnung (EU) Nr. 648/2012, ABl. Nr. L 201 vom 27.7.2012 Sitzung eins, ) das Zurverfügungstellen eines Abwicklungssystems, wenn die zentrale Gegenpartei gemäß Paragraph 9, Absatz 3, BörseG 2018 als Abwicklungsstelle von einem Handelsplatz, an dem pro Geschäftsjahr mehr als zehn Millionen Transaktionen stattgefunden haben, beauftragt wurde;
  1. Ziffer 2
    in the area of settlement by central counterparties (Article 2(1) of Regulation (EU) No 648/2012, OJ L 201, 27.7.2012, p. 1), the provision of a settlement system if the central counterparty was contracted, pursuant to Paragraph 9, para 3 of the Stock Exchange Act 2018, to act as a settlement and clearing agent for a trading venue on which more than ten million transactions have taken place in a financial year;
  1. Ziffer 3
    im Bereich der Zentralverwahrer (Artikel 2, Absatz eins, Ziffer eins, der Verordnung (EU) Nr. 909/2014, ABl. Nr. L 257 vom 28.8.2014 Sitzung eins, )
  1. Ziffer 3
    in the area of central securities depositories (point (1) of Article 2(1) of Regulation (EU) No 909/2014, OJ L 257, 28.8.2014, p. 1),
  1. Litera a
    das Bereitstellen und Führen von Depotkonten auf oberster Ebene nach Abschnitt A Nr. 2 des Anhangs zur Verordnung (EU) Nr. 909/2014, wenn die Anzahl der stücknotierten Wertpapiere mehr als acht Milliarden im Geschäftsjahr beträgt;
  1. Litera a
    the provision and maintenance of securities accounts at the top tier level as referred to in point (2) of Section A of the Annex to Regulation (EU) No 909/2014 if the number of unit-quoted securities is more than eight billion in a financial year;
  1. Litera b
    der Betrieb eines Wertpapierliefer- und -abrechnungssystems nach Abschnitt A Nr. 3 des Anhangs zur Verordnung (EU) Nr. 909/2014, wenn die Anzahl der abgewickelten Transaktionen höher als eine Million im Geschäftsjahr ist.
  1. Litera b
    the operation of a securities settlement system as referred to in point (3) of Section A of the Annex to Regulation (EU) No 909/2014 if the number of transactions settled is more than one million in a financial year.
  1. Absatz 2,Im Sektor Finanzmarktinfrastrukturen liegt ein Sicherheitsvorfall im Sinne des Paragraph 3, Ziffer 6, NISG vor, wenn
  1. Absatz 2,In the financial market infrastructures sector, a security incident within the meaning of Paragraph 3, subpara 6 of the NIS Act occurs where
  1. Ziffer eins
    im Bereich der Handelsplätze der Handel aufgrund eines Ausfalls oder der eingeschränkten Verfügbarkeit eines in Absatz eins, Ziffer eins, Litera a bis c genannten Dienstes unterbrochen wird;
  1. Ziffer eins
    in the area of trading venues, trading is interrupted due to a failure or restriction of continuity of any service referred to in para 1 subpara 1 (a) to (c);
  1. Ziffer 2
    im Bereich der Abwicklung durch zentrale Gegenparteien das Awicklungssystem für mehr als zwölf Stunden ausfällt oder nur eingeschränkt zur Verfügung gestellt werden kann;
  1. Ziffer 2
    in the area of settlement by central counterparties, the settlement system fails or the continuity thereof is restricted for more than twelve hours;
  1. Ziffer 3
    im Bereich der Zentralverwahrer einer der in Absatz eins, Ziffer 3, Litera a und b genannten Dienste für mehr als zwölf Stunden ausfällt oder nur eingeschränkt verfügbar ist.
  1. Ziffer 3
    in the area of central securities depositories, any of the services referred to in para 1 subpara 3 (a) and (b) fails or the continuity thereof is restricted for more than twelve hours.
  1. Absatz 3,Im Sektor Finanzmarktinfrastrukturen bestehen für Einrichtungen, die einen wesentlichen Dienst erbringen im Sinne des
  1. Absatz 3,In the financial market infrastructures sector, entities providing an essential service within the meaning of
  1. Ziffer eins
    Absatz eins, Ziffer eins, zu Sicherheitsvorkehrungen in Paragraph 11, Absatz eins, BörseG 2018 in Verbindung mit Artikel 15, 16 und 23 Absatz eins und 2 der delegierten Verordnung (EU) 2017/584, ABl. Nr. L 87 vom 31.3.2017 Sitzung 350, ;
  1. Ziffer eins
    para 1 subpara 1 are subject to rules regarding security measures under Paragraph 11, para 1 of the Stock Exchange Act 2018 in connection with Article 15, Article 16 and Article 23(1) and (2) of Delegated Regulation (EU) 2017/584, OJ L 87, 31.3.2017, p. 350;
  1. Ziffer 2
    Absatz eins, Ziffer 2, zu Sicherheitsvorkehrungen in Artikel 26, Absatz eins, 3 und 6 und Artikel 34, der Verordnung (EU) Nr. 648/2012 in Verbindung mit Artikel 4 und 9 der delegierten Verordnung (EU) Nr. 153/2013, ABl. Nr. L 52 vom 23.2.2013 Sitzung 41, ;
  1. Ziffer 2
    para 1 subpara 2 are subject to rules regarding security measures under Article 26(1), (3) and (6) and Article 34 of Regulation (EU) No 648/2012 in connection with Articles 4 and 9 of Delegated Regulation (EU) No 153/2013, OJ L 52, 23.2.2013, p. 41;
  1. Ziffer 3
    Absatz eins, Ziffer 3, zu Sicherheitsvorkehrungen in Artikel 45, der Verordnung (EU) Nr. 909/2014 in Verbindung mit Artikel 75, der delegierten Verordnung (EU) 2017/392, ABl. Nr. L 65 vom 10.3.2017 Sitzung 48, ;
  1. Ziffer 3
    para 1 subpara 3 are subject to rules regarding security measures under Article 45 of Regulation (EU) No 909/2014 in connection with Article 75 of Delegated Regulation (EU) 2017/392, OJ L 65, 10.3.2017, p. 48;
Vorschriften, die zumindest ein gleichwertiges Sicherheitsniveau für Netz- und Informationssysteme gemäß Paragraph 20, NISG gewährleisten.
which ensure at least an equivalent level of security of network and information systems pursuant to Paragraph 20, of the NIS Act.

Sektor Gesundheitswesen

Health sector

Paragraph 8,

  1. Absatz eins,Wegen ihrer Bedeutung für die Aufrechterhaltung des öffentlichen Gesundheitsdienstes im Sinne des Paragraph 16, Absatz 2, NISG sind im Sektor Gesundheitswesen wesentliche Dienste:

Paragraph 8,

  1. Absatz eins,Due to their importance for the maintenance of the public health service within the meaning of Paragraph 16, para 2 of the NIS Act, the following are essential services in the health sector:
  1. Ziffer eins
    die medizinische Versorgung in den Bereichen Diagnose, Therapie und Pflege als
  1. Ziffer eins
    medical care in the areas of diagnosis, treatment and nursing in the form of
  1. Litera a
    akutstationäre Versorgung oder

              a) acute inpatient care or

  1. Litera b
    akutambulante ärztliche Versorgung (Paragraph 2, Ziffer 11,) in einer Spitalsambulanz
  1. Litera b
    acute outpatient medical care (Paragraph 2, subpara 11) in a hospital outpatient clinic
durch Krankenanstalten gemäß Absatz 3, Ziffer eins bis 5, wenn sie insgesamt drei Betten je 1 000 Einwohner pro Bundesland in zentral gelegenen Versorgungsregionen mit großem Einzugsgebiet (Paragraph 2, Ziffer 10,), oder zwei Betten je 1 000 Einwohner pro Bundesland in allen anderen Versorgungsregionen (Bettenrichtwerte) vorhalten;
by hospitals pursuant to para 3 subparas 1 to 5 if they have a total number of three beds available per 1,000 inhabitants per province in centrally located health care regions with a large catchment area (Paragraph 2, subpara 10) or a total number of two beds available per 1,000 inhabitants per province in all other health care regions (hospital beds benchmarks);
  1. Ziffer 2
    das Betreiben einer Leitstelle, die die Durchführung von Notfallrettungstransporten unterstützt.
  1. Ziffer 2
    the operation of an emergency services control centre in support of the execution of emergency rescue transports.
  1. Absatz 2,Im Sektor Gesundheit liegt ein Sicherheitsvorfall im Sinne des Paragraph 3, Ziffer 6, NISG vor, wenn
  1. Absatz 2,In the health sector, a security incident within the meaning of Paragraph 3, subpara 6 of the NIS Act occurs where
  1. Ziffer eins
    der in Absatz eins, Ziffer eins, genannte Dienst für mehr als drei Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Ziffer eins
    the service referred to in para 1 subpara 1 fails or the continuity thereof is restricted for more than three hours;
  1. Ziffer 2
    der in Absatz eins, Ziffer 2, genannte Dienste für mehr als drei Stunden ausfällt oder nur eingeschränkt verfügbar ist.
  1. Ziffer 2
    the service referred to in para 1 subpara 2 fails or the continuity thereof is restricted for more than three hours.
  1. Absatz 3,Zur Sicherstellung des Ziels, durch eine regional möglichst gleichmäßige Verteilung über das Bundesgebiet einen vielfältigen Versorgungsbedarf abzudecken, können Betreiber wesentlicher Dienste gemäß Absatz eins, Ziffer eins, nur folgende Krankenanstalten gemäß Paragraph 2, Ziffer 8, sein:
  1. Absatz 3,To achieve the objective of meeting diverse health care needs by ensuring the most even distribution possible across all regions of the federal territory, only the following hospitals pursuant to Paragraph 2, subpara 8 can act as operators of essential services pursuant to para 1 subpara 1:
  1. Ziffer eins
    Zentralkrankenanstalten gemäß Paragraph 2 a, Absatz eins, Litera c, KAKuG,
  1. Ziffer eins
    maximum care hospitals pursuant to Paragraph 2 a, para 1 (c) of the Hospitals and Sanatoriums Act;
  1. Ziffer 2
    Schwerpunktkrankenanstalten gemäß Paragraph 2 a, Absatz eins, Litera b, KAKuG, nämlich
  1. Ziffer 2
    extended care hospitals pursuant to Paragraph 2 a, para 1 (b) of the Hospitals and Sanatoriums Act, specifically
  1. Litera a
    jeweils eine pro Versorgungsregion,

              a) one for each health care region,

  1. Sub-Litera, a, a
    wenn es in der Versorgungsregion keine Krankenanstalt gemäß Ziffer eins, gibt, oder
  1. Sub-Litera, a, a
    if there is no hospital pursuant to subpara 1 in a particular health care region; or
  1. Sub-Litera, b, b
    zusätzlich zu einer Krankenanstalt gemäß Ziffer eins,, wenn in zentral gelegenen Versorgungsregionen mit großem Einzugsgebiet der Bettenrichtwert gemäß Absatz eins, Ziffer eins, nicht erreicht wird, oder
  1. Sub-Litera, b, b
    in addition to a hospital pursuant to subpara 1 if the hospital beds benchmark pursuant to para 1 subpara 1 is not reached in centrally located health care regions with a large catchment area; or
  1. Litera b
    mehrere pro Versorgungsregion in zentral gelegenen Versorgungsregionen mit großem Einzugsgebiet, wenn ansonsten der Bettenrichtwert gemäß Absatz eins, Ziffer eins, nicht erreicht wird, sowie
  1. Litera b
    more than one for each health care region in centrally located health care regions with a large catchment area if the hospital beds benchmark pursuant to para 1 subpara 1 would otherwise not be reached; and
  1. Ziffer 3
    Standardkrankenanstalten gemäß Paragraph 2 a, Absatz eins, Litera a, KAKuG, wenn es in der betreffenden Versorgungsregion keine Krankenanstalt gemäß Ziffer eins, oder 2 gibt und die nächstgelegene Krankenanstalt gemäß Ziffer eins, oder 2 für die mehrheitliche Bevölkerung nicht in zumutbarer Zeit erreichbar ist,
  1. Ziffer 3
    standard care hospitals pursuant to Paragraph 2 a, para 1 (a) of the Hospitals and Sanatoriums Act if there is no hospital pursuant to subpara 1 or 2 in the health care region concerned and the nearest hospital pursuant to subpara 1 or 2 cannot be reached within a reasonable time by the majority of the population;
die neben Einrichtungen für Anästhesiologie und Intensivmedizin jedenfalls die Fachrichtungen Chirurgie, Innere Medizin sowie Frauenheilkunde und Geburtshilfe vorhalten, sowie
which also cover at least the specialties of surgery, internal medicine, and gynaecology and obstetrics in addition to facilities for anaesthesiology and intensive care, and
  1. Ziffer 4
    Krankenanstalten gemäß Paragraph 2, Ziffer 8, Litera c,, sowie
  1. Ziffer 4
    hospitals pursuant to Paragraph 2, subpara 8 (c); and
  1. Ziffer 5
    Krankenanstalten, die nicht von Ziffer eins bis 3 erfasst sind und die die Fachrichtung Neurochirurgie vorhalten, im Umfang dieser Fachrichtung.
  1. Ziffer 5
    hospitals not covered by subparas 1 to 3 covering the specialty of neurosurgery, to the extent of that specialty.
  1. Absatz 4,Hat eine Krankenanstalt gemäß Absatz 3, Ziffer eins bis 3 mehrere Standorte, werden wesentliche Dienste gemäß Absatz eins, Ziffer eins, durch jene Standorte erbracht,
  1. Absatz 4,römisch eins f a hospital pursuant to para 3 subparas 1 to 3 has multiple sites, essential services pursuant to para 1 subpara 1 are provided by those sites which
  1. Ziffer eins
    die zu den in Absatz 3, genannten Fachrichtungen zusätzlich die oder die höhere Anzahl an den Fachrichtungen Kinder- und Jugendheilkunde oder Unfallchirurgie oder Orthopädie und Traumatologie vorhalten, oder
  1. Ziffer eins
    apart from the specialties referred to in para 3, cover the additional or the higher number of specialties of paediatrics and adolescent medicine or trauma surgery or orthopaedics and traumatology; or
  1. Ziffer 2
    wenn mehrere Standorte keine zusätzlichen oder gleich viele Fachrichtungen vorhalten, jene Standorte, die zur Erreichung der Bettenrichtwerte gemäß Absatz eins, mehr Betten je 1 000 Einwohner pro Bundesland vorhalten.
  1. Ziffer 2
    if multiple sites do not cover any additional or the same number of specialties, those sites offering a larger number of beds per 1,000 inhabitants per province to reach the hospital beds benchmarks pursuant to para 1.
  1. Absatz 5,Gibt es in einer Versorgungsregion mehr als eine Schwerpunktkrankenanstalt und sind für die Erreichung der Bettenrichtwerte gemäß Absatz eins, nicht alle erforderlich (Absatz 3, Ziffer 2, Litera a,), werden die wesentlichen Dienste gemäß Absatz eins, Ziffer eins, nur durch jene Krankenanstalt erbracht, die für die mehrheitliche Bevölkerung dieser Versorgungsregion und gegebenenfalls für peripher gelegene Nachbarregionen am besten erreichbar ist.
  1. Absatz 5,römisch eins f there is more than one extended care hospital in a particular health care region and if not all of them are necessary (para 3 subpara 2 (a)) to reach the hospital beds benchmarks pursuant to para 1, the essential services pursuant to para 1 subpara 1 are only provided by the hospital which can be most easily reached by the majority of the population of that health care region and, where appropriate, peripheral neighbouring regions.

Sektor Trinkwasserversorgung

Drinking water supply sector

Paragraph 9,

  1. Absatz eins,Wegen ihrer Bedeutung für die Aufrechterhaltung der öffentlichen Versorgung mit Trinkwasser im Sinne des Paragraph 16, Absatz 2, NISG sind im Sektor Trinkwasserversorgung wesentliche Dienste:

Paragraph 9,

  1. Absatz eins,Due to their importance for the maintenance of the public supply of drinking water within the meaning of Paragraph 16, para 2 of the NIS Act, the following are essential services in the drinking water supply sector:
  1. Ziffer eins
    die Wassergewinnung, wenn die gewonnene Wassermenge, die zur weiteren Versorgung bestimmt ist, 6 424 000 m3 im Jahr übersteigt;
  1. Ziffer eins
    water production if the amount of water produced which is intended for further supply purposes exceeds 6,424,000 m3 per year;
  1. Ziffer 2
    die Wasseraufbereitung, wenn die aufbereitete Wassermenge 6 424 000 m3 im Jahr übersteigt;
  1. Ziffer 2
    water treatment if the amount of water treated exceeds 6,424,000 m3 per year;
  1. Ziffer 3
    die leitungsgebundene Wasserverteilung, wenn die verteilte Wassermenge 6 424 000 m3 im Jahr übersteigt.
  1. Ziffer 3
    grid-bound water distribution if the amount of water distributed exceeds 6,424,000 m3 per year.
  1. Absatz 2,Im Sektor Trinkwasserversorgung liegt ein Sicherheitsvorfall im Sinne des Paragraph 3, Ziffer 6, NISG vor, wenn
  1. Absatz 2,In the drinking water supply sector, a security incident within the meaning of Paragraph 3, subpara 6 of the NIS Act occurs where
  1. Ziffer eins
    bei dem in Absatz eins, Ziffer eins, genannten Dienst um 17 600 m3 weniger als die durchschnittlich an einem Tag gewonnene Wassermenge gewonnen werden kann oder der Dienst für mehr als 2 112 000 Nutzerstunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Ziffer eins
    as regards the service referred to in para 1 subpara 1, the amount of water produced is 17,600 m3 short of the average amount of water produced per day, or the service fails or the continuity thereof is restricted for more than 2,112,000 user-hours;
  1. Ziffer 2
    bei dem in Absatz eins, Ziffer 2, genannten Dienst um 17 600 m3 weniger als die durchschnittlich an einem Tag aufbereitete Wassermenge aufbereitet werden kann oder der Dienst für mehr als 2 112 000 Nutzerstunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Ziffer 2
    as regards the service referred to in para 1 subpara 2, the amount of water treated is 17,600 m3 short of the average amount of water treated per day, or the service fails or the continuity thereof is restricted for more than 2,112,000 user-hours;
  1. Ziffer 3
    der in Absatz eins, Ziffer 3, genannte Dienst für mehr als 528 000 Nutzerstunden ausfällt oder nur eingeschränkt verfügbar ist.
  1. Ziffer 3
    the service referred to in para 1 subpara 3 fails or the continuity thereof is restricted for more than 528,000 user-hours.

Sektor Digitale Infrastruktur

Digital infrastructure sector

Paragraph 10,

  1. Absatz eins,Wegen ihrer Bedeutung für die Aufrechterhaltung der Funktionsfähigkeit öffentlicher Informations- und Kommunikationstechnologie im Sinne des Paragraph 16, Absatz 2, NISG sind im Sektor Digitale Infrastruktur wesentliche Dienste:

Paragraph 10,

  1. Absatz eins,Due to their importance for the maintenance of the functioning of public information and communication technology within the meaning of Paragraph 16, para 2 of the NIS Act, the following are essential services in the digital infrastructure sector:
  1. Ziffer eins
    im Bereich des Betriebs eines Internet-Knotens das Zurverfügungstellen von Infrastruktur zur multilateralen Zusammenschaltung, wenn die Anzahl der zusammengeschalteten autonomen Systeme 100 übersteigt;
  1. Ziffer eins
    in the area of the operation of internet exchange points, the provision of infrastructure for multilateral interconnection if the number of interconnected autonomous systems exceeds 100;
  1. Ziffer 2
    im Bereich des Betriebs von DNS-Diensten
  1. Ziffer 2
    in the area of the operation of DNS services,
  1. Litera a
    das Betreiben von DNS-Resolver (Paragraph 2, Ziffer 4,), die im Rahmen der Bereitstellung eines Kommunikationsdienstes betrieben werden, wenn die Anzahl der Teilnehmer (Paragraph 3, Ziffer 19, Telekommunikationsgesetz 2003 (TKG 2003), Bundesgesetzblatt Teil eins, Nr. 70 aus 2003,) 88 000 übersteigt;
  1. Litera a
    the operation of DNS resolvers (Paragraph 2, subpara 4) operated in the context of the provision of a communications service if the number of subscribers (Paragraph 3, subpara 19 of the Telecommunications Act 2003 [TKG, Telekommunikationsgesetz 2003], Federal Law Gazette römisch eins No 70/2003) exceeds 88,000;
  1. Litera b
    das Betreiben von autoritativen DNS-Servern, wenn die Anzahl der Domains, für die der Server autoritativ ist oder die aus der Zone delegiert werden, 50 000 übersteigt;
  1. Litera b
    the operation of authoritative DNS servers if the number of domains for which the server is authoritative or which are delegated from the zone exceeds 50,000;
  1. Litera c
    das Betreiben eines TLD-Name-Registry, wenn die Anzahl der registrierten Domains 50 000 übersteigt.
  1. Litera c
    the operation of a TLD name registry if the number of registered domains exceeds 50,000.
  1. Absatz 2,Im Sektor Digitale Infrastruktur liegt ein Sicherheitsvorfall im Sinne des Paragraph 3, Ziffer 6, NISG vor, wenn
  1. Absatz 2,In the digital infrastructure sector, a security incident within the meaning of Paragraph 3, subpara 6 of the NIS Act occurs where
  1. Litera a
    der in Absatz eins, Ziffer eins, genannte Dienst für mehr als zwölf Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Litera a
    the service referred to in para 1 subpara 1 fails or the continuity thereof is restricted for more than twelve hours;
  1. Litera b
    der in Absatz eins, Ziffer 2, Litera a, genannte Dienst für mehr als zwölf Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Litera b
    the service referred to in para 1 subpara 2 (a) fails or the continuity thereof is restricted for more than twelve hours;
  1. Litera c
    der in Absatz eins, Ziffer 2, Litera b, genannte Dienst für mehr als zwölf Stunden ausfällt oder nur eingeschränkt verfügbar ist;
  1. Litera c
    the service referred to in para 1 subpara 2 (b) fails or the continuity thereof is restricted for more than twelve hours;
  1. Litera d
    der in Absatz eins, Ziffer 2, Litera c, genannte Dienst für mehr als zwölf Stunden ausfällt oder nur eingeschränkt verfügbar ist.
  1. Litera d
    the service referred to in para 1 subpara 2 (c) fails or the continuity thereof is restricted for more than twelve hours.
  1. Absatz 3,Im Sektor Digitale Infrastruktur bestehen für Einrichtungen, die einen wesentlichen Dienst im Sinne des Absatz eins, Ziffer 2, Litera a, im Rahmen des Betriebs von Kommunikationsdiensten nach dem TKG 2003 erbringen, zu Sicherheitsvorkehrungen in Paragraph 16 a, Absatz 2, TKG 2003 und zur Meldepflicht in Paragraph 16 a, Absatz 5, TKG 2003 Vorschriften, die zumindest ein gleichwertiges Sicherheitsniveau für Netz- und Informationssysteme gemäß Paragraph 20, NISG gewährleisten.
  1. Absatz 3,In the digital infrastructure sector, entities providing an essential service within the meaning of para 1 subpara 2 (a) in the context of the operation of communications services under the Telecommunications Act 2003 are subject to rules regarding security measures under Paragraph 16 a, para 2 of the Telecommunications Act 2003 and rules regarding reporting requirements under Paragraph 16 a, para 5 of the Telecommunications Act 2003, which ensure at least an equivalent level of security of network and information systems pursuant to Paragraph 20, of the NIS Act.

3. Abschnitt

Section 3

Sicherheitsvorkehrungen

Security measures

Paragraph 11,

  1. Absatz eins,Sicherheitsvorkehrungen gemäß Paragraph 17, Absatz eins, NISG, die geeignet sind und den Stand der Technik berücksichtigen sowie zur Gewährleistung der Netz- und Informationssystemsicherheit (Paragraph 3, Ziffer 2, NISG) zu treffen sind, umfassen die

Paragraph 11,

  1. Absatz eins,Security measures pursuant to Paragraph 17, para 1 of the NIS Act which are appropriate and have regard to the state of the art and which must be taken to ensure the security of network and information systems (Paragraph 3, subpara 2 of the NIS Act) include
  1. Ziffer eins
    Sicherheitsmaßnahmen zur Kategorie Governance und Risikomanagement gemäß Ziffer eins Punkt eins bis eins Punkt 6 der Anlage 1 zu dieser Verordnung;
  1. Ziffer eins
    the security measures in the category of governance and risk management pursuant to numbers 1.1 to 1.6 of Annex 1 to this Ordinance;
  1. Ziffer 2
    Sicherheitsmaßnahmen zur Kategorie Umgang mit Dienstleistern, Lieferanten und Dritten gemäß Ziffer 2 Punkt eins bis 2 Punkt 2 der Anlage 1 zu dieser Verordnung;
  1. Ziffer 2
    the security measures in the category of dealings with service providers, suppliers and third parties pursuant to numbers 2.1 to 2.2 of Annex 1 to this Ordinance;
  1. Ziffer 3
    Sicherheitsmaßnahmen zur Kategorie Sicherheitsarchitektur gemäß Ziffer 3 Punkt eins bis 3 Punkt 5 der Anlage 1 zu dieser Verordnung;
  1. Ziffer 3
    the security measures in the category of security architecture pursuant to numbers 3.1 to 3.5 of Annex 1 to this Ordinance;
  1. Ziffer 4
    Sicherheitsmaßnahmen zur Kategorie Systemadministration gemäß Ziffer 4 Punkt eins bis 4 Punkt 2 der Anlage 1 zu dieser Verordnung;
  1. Ziffer 4
    the security measures in the category of system administration pursuant to numbers 4.1 to 4.2 of Annex 1 to this Ordinance;
  1. Ziffer 5
    Sicherheitsmaßnahmen zur Kategorie Identitäts- und Zugriffsmanagement gemäß Ziffer 5 Punkt eins bis 5 Punkt 2 der Anlage 1 zu dieser Verordnung;
  1. Ziffer 5
    the security measures in the category of identity and access management pursuant to numbers 5.1 to 5.2 of Annex 1 to this Ordinance;
  1. Ziffer 6
    Sicherheitsmaßnahmen zur Kategorie Systemwartung und Betrieb gemäß Ziffer 6 Punkt eins bis 6 Punkt 2 der Anlage 1 zu dieser Verordnung;
  1. Ziffer 6
    the security measures in the category of system maintenance and operation pursuant to numbers 6.1 to 6.2 of Annex 1 to this Ordinance;
  1. Ziffer 7
    Sicherheitsmaßnahme zur Kategorie Physische Sicherheit gemäß Ziffer 7 Punkt eins, der Anlage 1 zu dieser Verordnung;
  1. Ziffer 7
    the security measure in the category of physical security pursuant to number 7.1 of Annex 1 to this Ordinance;
  1. Ziffer 8
    Sicherheitsmaßnahmen zur Kategorie Erkennung von Vorfällen gemäß Ziffer 8 Punkt eins bis 8 Punkt 3 der Anlage 1 zu dieser Verordnung;
  1. Ziffer 8
    the security measures in the category of incident detection pursuant to numbers 8.1 to 8.3 of Annex 1 to this Ordinance;
  1. Ziffer 9
    Sicherheitsmaßnahmen zur Kategorie Bewältigung von Vorfällen gemäß Ziffer 9 Punkt eins bis 9 Punkt 3 der Anlage 1 zu dieser Verordnung;
  1. Ziffer 9
    the security measures in the category of incident handling pursuant to numbers 9.1 to 9.3 of Annex 1 to this Ordinance;
  1. Ziffer 10
    Sicherheitsmaßnahmen zur Kategorie Betriebskontinuität gemäß Ziffer 10 Punkt eins bis 10 Punkt 2 der Anlage 1 zu dieser Verordnung;
  1. Ziffer 10
    the security measures in the category of business continuity pursuant to numbers 10.1 to 10.2 of Annex 1 to this Ordinance;
  1. Ziffer 11
    Sicherheitsmaßnahme zur Kategorie Krisenmanagement gemäß Ziffer 11 Punkt eins, der Anlage 1 zu dieser Verordnung.
  1. Ziffer 11
    the security measure in the category of crisis management pursuant to number 11.1 of Annex 1 to this Ordinance.
  1. Absatz 2,Die Umsetzung jeder Sicherheitsmaßnahme hat, soweit möglich, in technischer und organisatorischer Hinsicht auf Basis der nach Ziffer eins Punkt eins, der Anlage 1 zu dieser Verordnung durchgeführten Risikoanalyse zu erfolgen.
  1. Absatz 2,Each security measure must be technically and organisationally implemented, wherever possible, on the basis of a risk analysis performed pursuant to number 1.1 of Annex 1 to this Ordinance.

4. Abschnitt

Section 4

Schlussbestimmungen

Final provisions

Personenbezogene Bezeichnungen

Gender-specific terms

Paragraph 12,

Alle in dieser Verordnung verwendeten personenbezogenen Bezeichnungen gelten gleichermaßen für alle Geschlechter.

Paragraph 12,

All gender-specific terms used in this Ordinance apply equally to all genders.

Verweisungen

References

Paragraph 13,

  1. Absatz eins,Für Verweise auf Bundesgesetze in dieser Verordnung gilt Folgendes:

Paragraph 13,

  1. Absatz eins,As regards references to federal acts in this Ordinance, the following applies:
  1. Ziffer eins
    Soweit auf Bestimmungen des Bundesgesetzes über Krankenanstalten- und Kuranstalten (KAKuG), Bundesgesetzblatt Nr. 1 aus 1957,, verwiesen wird, ist dieses in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 13 aus 2019, anzuwenden;
  1. Ziffer eins
    insofar as reference is made to provisions of the Federal Act on Hospitals and Sanatoriums (KAKuG), Federal Law Gazette No 1/1957, the latter applies as amended by the federal act promulgated in Federal Law Gazette römisch eins No 13/2019;
  1. Ziffer 2
    soweit auf Bestimmungen des Elektrizitätswirtschafts- und -organisationsgesetzes 2010 (ElWOG 2010), Bundesgesetzblatt Teil eins, Nr. 110 aus 2010,, verwiesen wird, ist dieses in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 108 aus 2017, anzuwenden;
  1. Ziffer 2
    insofar as reference is made to provisions of the Electricity Act 2010 (ElWOG 2010), Federal Law Gazette römisch eins No 110/2010, the latter applies as amended by the federal act promulgated in Federal Law Gazette römisch eins No 108/2017;
  1. Ziffer 3
    soweit auf Bestimmungen des Erdölbevorratungsgesetzes 2012 (EBG 2012), Bundesgesetzblatt Teil eins, Nr. 78 aus 2012,, verwiesen wird, ist dieses in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 163 aus 2015, anzuwenden;
  1. Ziffer 3
    insofar as reference is made to provisions of the Oil Stockholding Act 2012 (EBG 2012), Federal Law Gazette römisch eins No 78/2012, the latter applies as amended by the federal act promulgated in Federal Law Gazette römisch eins No 163/2015;
  1. Ziffer 4
    soweit auf Bestimmungen des Gaswirtschaftsgesetzes 2011 (GWG 2011), Bundesgesetzblatt Teil eins, Nr. 107 aus 2011,, verwiesen wird, ist dieses in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 108 aus 2017, anzuwenden;
  1. Ziffer 4
    insofar as reference is made to provisions of the Natural Gas Act 2011 (GWG 2011), Federal Law Gazette römisch eins No 107/2011, the latter applies as amended by the federal act promulgated in Federal Law Gazette römisch eins No 108/2017;
  1. Ziffer 5
    soweit auf Bestimmungen des Luftfahrtgesetzes (LFG), Bundesgesetzblatt Nr. 253 aus 1957,, verwiesen wird, ist dieses in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 92 aus 2017, anzuwenden;
  1. Ziffer 5
    insofar as reference is made to provisions of the Aviation Act (LFG), Federal Law Gazette No 253/1957, the latter applies as amended by the federal act promulgated in Federal Law Gazette römisch eins No 92/2017;
  1. Ziffer 6
    soweit auf Bestimmungen des Straßentunnel-Sicherheitsgesetzes (STSG), Bundesgesetzblatt Teil eins, Nr. 54 aus 2006,, verwiesen wird, ist dieses in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 96 aus 2013, anzuwenden;
  1. Ziffer 6
    insofar as reference is made to provisions of the Road Tunnel Safety Act (STSG), Federal Law Gazette römisch eins No 54/2006, the latter applies as amended by the federal act promulgated in Federal Law Gazette römisch eins No 96/2013;
  1. Ziffer 7
    soweit auf Bestimmungen des Eisenbahngesetzes 1957 (EisbG), Bundesgesetzblatt Nr. 60 aus 1957,, verwiesen wird, ist dieses in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 137 aus 2015, anzuwenden;
  1. Ziffer 7
    insofar as reference is made to provisions of the Railway Act 1957 (EisbG), Federal Law Gazette No 60/1957, the latter applies as amended by the federal act promulgated in Federal Law Gazette römisch eins No 137/2015;
  1. Ziffer 8
    soweit auf Bestimmungen des Bundesstraßengesetzes 1971 (BStG 1971), Bundesgesetzblatt Nr. 286 aus 1971,, verwiesen wird, ist dieses in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 7 aus 2017, anzuwenden;
  1. Ziffer 8
    insofar as reference is made to provisions of the Federal Roads Act 1971 (BStG 1971), Federal Law Gazette No 286/1971, the latter applies as amended by the federal act promulgated in Federal Law Gazette römisch eins No 7/2017;
  1. Ziffer 9
    soweit auf Bestimmungen des Zahlungsdienstegesetzes 2018 (ZaDiG 2018), Bundesgesetzblatt Teil eins, Nr. 17 aus 2018,, verwiesen wird, ist dieses in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 37 aus 2018, anzuwenden;
  1. Ziffer 9
    insofar as reference is made to provisions of the Payment Services Act 2018 (ZaDiG 2018), Federal Law Gazette römisch eins No 17/2018, the latter applies as amended by the federal act promulgated in Federal Law Gazette römisch eins No 37/2018;
  1. Ziffer 10
    soweit auf Bestimmungen des Bankwesengesetzes (BWG), Bundesgesetzblatt Nr. 532 aus 1993,, verwiesen wird, ist dieses in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 112 aus 2018, anzuwenden;
  1. Ziffer 10
    insofar as reference is made to provisions of the Banking Act (BWG), Federal Law Gazette No 532/1993, the latter applies as amended by the federal act promulgated in Federal Law Gazette römisch eins No 112/2018;
  1. Ziffer 11
    soweit auf Bestimmungen des Börsegesetzes 2018 (BörseG 2018), Bundesgesetzblatt Teil eins, Nr. 107 aus 2017,, verwiesen wird, ist dieses in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 37 aus 2018, anzuwenden;
  1. Ziffer 11
    insofar as reference is made to provisions of the Stock Exchange Act 2018 (BörseG 2018), Federal Law Gazette römisch eins No 107/2017, the latter applies as amended by the federal act promulgated in Federal Law Gazette römisch eins No 37/2018;
  1. Ziffer 12
    soweit auf Bestimmungen des Telekommunikationsgesetzes 2003 (TKG 2003), Bundesgesetzblatt Teil eins, Nr. 70 aus 2003,, verwiesen wird, ist dieses in der Fassung des Bundesgesetzes Bundesgesetzblatt Teil eins, Nr. 111 aus 2018, anzuwenden.
  1. Ziffer 12
    insofar as reference is made to provisions of the Telecommunications Act 2003 (TKG 2003), Federal Law Gazette römisch eins No 70/2003, the latter applies as amended by the federal act promulgated in Federal Law Gazette römisch eins No 111/2018.
  1. Absatz 2,Für Verweise auf Unionsrecht in dieser Verordnung gilt Folgendes:
  1. Absatz 2,As regards references to Union law in this Ordinance, the following applies:
  1. Ziffer eins
    Soweit auf Bestimmungen der Verordnung (EU) Nr. 1315/2013 verwiesen wird, so ist die Verordnung (EU) Nr. 1315/2013 über Leitlinien der Union für den Aufbau eines transeuropäischen Verkehrsnetzes und zur Aufhebung des Beschlusses Nr. 661/2010/EU, ABl. Nr. L 348 vom 20.12.2013 Sitzung eins, , zuletzt geändert durch die delegierte Verordnung (EU) Nr. 254/2019, ABl. Nr. L 43 vom 14.2.2019 Sitzung eins, , anzuwenden;
  1. Ziffer eins
    insofar as reference is made to provisions of Regulation (EU) No 1315/2013, Regulation (EU) No 1315/2013 on Union guidelines for the development of the trans-European transport network and repealing Decision No 661/2010/EU, OJ L 348, 20.12.2013, p. 1, last amended by Delegated Regulation (EU) No 254/2019, OJ L 43, 14.2.2019, p. 1, applies;
  1. Ziffer 2
    soweit auf Bestimmungen der Verordnung (EG) Nr. 549/2004 verwiesen wird, so ist die Verordnung (EG) Nr. 549/2004 zur Festlegung des Rahmens für die Schaffung eines einheitlichen europäischen Luftraums („Rahmenverordnung“), ABl. L 96 vom 31.3.2004 Sitzung eins, , zuletzt geändert durch die Verordnung (EU) Nr. 1070/2009, ABl. L 300 vom 14.11.2009 Sitzung 34, , anzuwenden;
  1. Ziffer 2
    insofar as reference is made to provisions of Regulation (EC) No 549/2004, Regulation (EC) No 549/2004 laying down the framework for the creation of the single European sky (the framework Regulation), OJ L 96, 31.3.2004, p. 1, last amended by Regulation (EU) No 1070/2009, OJ L 300, 14.11.2009, p. 34, applies;
  1. Ziffer 3
    soweit auf Bestimmungen der Verordnung (EU) Nr. 648/2012 verwiesen wird, so ist die Verordnung (EU) Nr. 648/2012 über OTC-Derivate, zentrale Gegenparteien und Transaktionsregister, ABl. Nr. L 201 vom 27.07.2012 Sitzung eins, , zuletzt geändert durch die Verordnung (EU) 2017/2402, ABl. Nr. L 347 vom 28.12.2017 Sitzung 35, , anzuwenden
  1. Ziffer 3
    insofar as reference is made to provisions of Regulation (EU) No 648/2012, Regulation (EU) No 648/2012 on OTC derivatives, central counterparties and trade repositories, OJ L 201, 27.7.2012, p. 1, last amended by Regulation (EU) 2017/2402, OJ L 347, 28.12.2017, p. 35, applies;
  1. Ziffer 4
    soweit auf Bestimmungen der Verordnung (EU) Nr. 909/2014 verwiesen wird, so ist die Verordnung (EU) Nr. 909/2014 zur Verbesserung der Wertpapierlieferungen und -abrechnungen in der Europäischen Union und über Zentralverwahrer sowie zur Änderung der Richtlinien 98/26/EG und 2014/65/EU und der Verordnung (EU) Nr. 236/2012, ABl. Nr. L 257 vom 28.8.2014 Sitzung eins, , zuletzt geändert durch die Verordnung (EU) 2016/1033, ABl. Nr. L 175 vom 30.06.2016 Sitzung eins, , anzuwenden;
  1. Ziffer 4
    insofar as reference is made to provisions of Regulation (EU) No 909/2014, Regulation (EU) No 909/2014 on improving securities settlement in the European Union and on central securities depositories and amending Directives 98/26/EC and 2014/65/EU and Regulation (EU) No 236/2012, OJ L 257, 28.8.2014, p. 1, last amended by Regulation (EU) 2016/1033, OJ L 175, 30.6.2016, p. 1, applies;
  1. Ziffer 5
    soweit auf Bestimmungen der delegierten Verordnung (EU) 2017/584 verwiesen wird, so ist die delegierte Verordnung (EU) 2017/584 zur Ergänzung der Richtlinie 2014/65/EU durch technische Regulierungsstandards zur Festlegung der organisatorischen Anforderungen an Handelsplätze, ABl. Nr. L 87 vom 31.3.2017 Sitzung 350, , anzuwenden;
  1. Ziffer 5
    insofar as reference is made to provisions of Delegated Regulation (EU) 2017/584, Delegated Regulation (EU) 2017/584 supplementing Directive 2014/65/EU with regard to regulatory technical standards specifying organisational requirements of trading venues, OJ L 87, 31.3.2017, p. 350, applies;
  1. Ziffer 6
    soweit auf Bestimmungen der delegierten Verordnung (EU) Nr. 153/2013 verwiesen wird, so ist die delegierte Verordnung (EU) Nr. 153/2013 zur Ergänzung der Verordnung (EU) Nr. 648/2012 in Bezug auf technische Regulierungsstandards für Anforderungen an zentrale Gegenparteien Text von Bedeutung für den EWR, ABl. Nr. L 52 vom 23.2.2013 Sitzung 41, , zuletzt geändert durch die delegierte Verordnung (EU) Nr. 822/2016, ABl. 137 vom 26.5.2016 Sitzung eins, , anzuwenden;
  1. Ziffer 6
    insofar as reference is made to provisions of Delegated Regulation (EU) No 153/2013, Delegated Regulation (EU) No 153/2013 supplementing Regulation (EU) No 648/2012 with regard to regulatory technical standards on requirements for central counterparties, OJ L 52, 23.2.2013, p. 41, last amended by Delegated Regulation (EU) No 822/2016, OJ 137, 26.5.2016, p. 1, applies;
  1. Ziffer 7
    soweit auf Bestimmungen der delegierten Verordnung (EU) 2017/392 verwiesen wird, so ist delegierte Verordnung (EU) 2017/392 zur Ergänzung der Verordnung (EU) Nr. 909/2014 durch technische Regulierungsstandards für die Zulassung von und für aufsichtliche und operationelle Anforderungen an Zentralverwahrer, ABl. Nr. L 65 vom 10.3.2017 Sitzung 48, , anzuwenden.
  1. Ziffer 7
    insofar as reference is made to provisions of Delegated Regulation (EU) 2017/392, Delegated Regulation (EU) 2017/392 supplementing Regulation (EU) No 909/2014 with regard to regulatory technical standards on authorisation, supervisory and operational requirements for central securities depositories, OJ L 65, 10.3.2017, p. 48, applies.

Inkrafttreten

Entry into force

Paragraph 14,

Diese Verordnung tritt mit Ablauf des Tages der Kundmachung in Kraft.

Paragraph 14,

This Ordinance enters into force after the end of the date of its promulgation.

Anlage 1

Annex 1

Sicherheitsmaßnahmen

Security measures

1.            Governance und Risikomanagement

1.            Governance and risk management

1.1         Risikoanalyse:, Eine Risikoanalyse der Netz- und Informationssysteme ist durchzuführen. Dabei sind spezifische Risiken auf Grundlage einer Analyse der betrieblichen Auswirkungen von Sicherheitsvorfällen zu ermitteln und hinsichtlich der hohen Bedeutung des Betreibers wesentlicher Dienste für das Funktionieren des Gemeinwesens zu bewerten.

1.1         Risk analysis:, A risk analysis of network and information systems must be performed. This involves identifying specific risks based on an analysis of the operational impact of security incidents and assessing such risks in view of the high importance of the operator of essential services for the functioning of the community.

1.2         Sicherheitsrichtlinie:, Eine Sicherheitsrichtlinie ist zu erstellen und periodisch zu aktualisieren.

1.2          Security policy:, A security policy must be developed and periodically updated.

1.3         Überprüfungsplan der Netz- und Informationssysteme:

               Die Durchführung der periodischen Überprüfung der Netz- und Informationssystemsicherheit ist zu planen und festzulegen.

1.3          Audit plan for network and information systems:, The performance of periodical audits of the security of network and information systems must be planned and scheduled.

1.4         Ressourcenmanagement:, Alle Ressourcen, die erforderlich sind, um die Funktionsfähigkeit der Netz- und Informationssysteme zu gewährleisten, sind im Hinblick auf kurz-, mittel- und langfristige Kapazitätsanforderungen einzuplanen und sicherzustellen.

1.4          Resource management:, All resources required to ensure the functioning of network and information systems must be planned and ensured in view of short-term, medium-term and long-term capacity requirements.

1.5          Informationssicherheitsmanagementsystemprüfung:, Die periodische Überprüfung des Informationssicherheitsmanagementsystems ist festzulegen und durchzuführen.

1.5          Audit of the information security management system:, Periodical audits of the information security management system must be scheduled and performed.

1.6          Personalwesen:, Sicherheitsrelevante Aspekte sind in den Prozessen des Personalwesens zu berücksichtigen und umzusetzen.

1.6          Human resources:, Security-related aspects must be taken into account and implemented in human resource processes.

2.            Umgang mit Dienstleistern, Lieferanten und Dritten

2.            Dealing with service providers, suppliers and third parties

2.1          Beziehungen mit Dienstleistern, Lieferanten und Dritten:

                Anforderungen an Dienstleistern, Lieferanten und Dritte für den Betrieb von, einen sicheren Zugang zu und Zugriff auf Netz- und Informationssysteme sind festzulegen und periodisch zu überprüfen.

2.1          Relations with service providers, suppliers and third parties:, Requirements for service providers, suppliers and third parties for the operation of and secure access to network and information systems must be defined and periodically reviewed.

2.2          Leistungsvereinbarungen mit Dienstleistern und Lieferanten:

                Die Leistungsvereinbarungen mit Dienstleistern und Lieferanten sind periodisch zu überprüfen und zu überwachen.

2.2          Service agreements with service providers and suppliers:, The service agreements with service providers and suppliers must be periodically reviewed and monitored.

3.            Sicherheitsarchitektur

3.            Security architecture

3.1          Systemkonfiguration:, Netz- und Informationssysteme sind sicher zu konfigurieren. Diese Konfiguratoin ist strukturiert zu dokumentieren. Die Dokumentation ist aktuell zu halten.

3.1          System configuration:, Network and information systems must be configured in a secure manner. This configuration must be documented in a structured manner. The documentation must be kept up to date.

3.2          Vermögenswerte:, Vermögenswerte, die im Zusammenhang mit Netz- und Informationssystemen stehen, sind strukturiert zu analysieren und zu dokumentieren.

3.2          Assets:, Assets in connection with network and information systems must be analysed and documented in a structured manner.

3.3          Netzwerksegmentierung:, Eine Segmentierung der Netzwerke ist innerhalb der Netz- und Informationssysteme abhängig vom Schutzbedarf vorzunehmen.

3.3          Network segmentation:, Network and information systems must be divided into separate network segments depending on the necessary level of protection.

3.4          Netzwerksicherheit:, Die Sicherheit innerhalb der Netzwerksegmente und der Schnittstellen zwischen den Netzwerksegmenten ist zu gewährleisten.

3.4          Network security:, The security within the network segments and of the interfaces between the network segments must be ensured.

3.5          Kryptographie:, Vertraulichkeit, Authentizität und Integrität von Informationen sind durch den angemessenen und wirksamen Einsatz kryptographischer Verfahren und Technologien sicherzustellen.

3.5          Cryptography:, The confidentiality, authenticity and integrity of information must be ensured through the adequate and effective use of cryptographic procedures and technologies.

4.            Systemadministration

4.            System administration

4.1          Administrative Zugangsrechte:, Administrative Zugangsrechte sind eingeschränkt nach dem Minimalrechtsprinzip zuzuweisen. Diese Zuweisungen sind periodisch zu überprüfen und gegebenenfalls anzupassen.

4.1          Administrative access rights:, Administrative access rights must be assigned on a limited basis according to the minimum rights principle. Such assignments must be periodically reviewed and, where appropriate, adjusted.

4.2         Systeme und Anwendungen zur Systemadministration:

                Systeme und Anwendungen zur Systemadministration sind ausschließlich für Tätigkeiten zum Zweck der Systemadministration zu verwenden. Die Sicherheit dieser Systeme und Anwendungen ist zu gewährleisten.

4.2          Systems and applications for system administration:, Systems and applications for system administration must be used exclusively for system administration activities. The security of these systems and applications must be ensured.

5.            Identitäts- und Zugriffsmanagement

5.            Identity and access management

5.1          Identifikation und Authentifikation:

                Es sind Verfahren umzusetzen und Technologien einzusetzen, die die Identifikation und Authentifikation von Benutzern und Diensten gewährleisten.

5.1          Identification and authentication:, Procedures must be implemented and technologies must be used to ensure identification and authentication of users and services.

5.2          Autorisierung:, Es sind Verfahren umzusetzen und Technologien einzusetzen, die unautorisierte Zugriffe auf Netz- und Informationssysteme unterbinden.

5.2          Authorisation:, Procedures must be implemented and technologies must be used to prevent unauthorised access to network and information systems.

6.            Systemwartung und Betrieb

6.            System maintenance and operation

6.1          Systemwartung und Betrieb:

                Abläufe und Vorgänge zur Gewährleistung eines sicheren Systembetriebs von Netz- und Informationssystemen sind einzuführen und periodisch zu überprüfen.

6.1          System maintenance and operation:, Procedures and processes to ensure secure system operation of network and information systems must be introduced and periodically reviewed.

6.2          Fernzugriff:, Fernzugriff ist eingeschränkt nach dem Minimalrechtsprinzip und zeitlich beschränkt zu vergeben. Die Fernzugriffsrechte sind periodisch zu überprüfen und gegebenenfalls anzupassen. Die Sicherheit des Fernzugriffs ist zu gewährleisten.

6.2          Remote access:, Remote access must be granted on a limited basis according to the minimum rights principle and for a limited period of time. Remote access rights must be periodically reviewed and, where appropriate, adjusted. The security of remote access must be ensured.

7.            Physische Sicherheit

7.            Physical security

7.1          Physische Sicherheit:

                Der physische Schutz der Netz- und Informationssysteme, insbesondere der physische Schutz vor unbefugtem Zutritt und Zugang, ist zu gewährleisten.

7.1          Physical security:, The physical protection of network and information systems, in particular physical protection against unauthorised entry and access, must be ensured.

8.            Erkennung von Vorfällen

8.            Incident detection

8.1          Erkennung:, Mechanismen zur Erkennung und Bewertung von Vorfällen sind umzusetzen.

8.1          Detection:, Mechanisms for incident detection and assessment must be implemented.

8.2          Protokollierung und Monitoring:

                Mechanismen zu Protokollierung und Monitoring, insbesondere von für die Erbringung des wesentlichen Dienstes essentiellen Tätigkeiten und Vorgängen, sind umzusetzen.

8.2          Logging and monitoring:, Mechanisms for logging and monitoring, in particular of activities and processes which are crucial for providing the essential service, must be implemented.

8.3          Korrelation und Analyse:

                Mechanismen zur Erkennung und adäquaten Bewertung von Vorfällen durch die Korrelation und Analyse der ermittelten Protokolldaten sind umzusetzen.

8.3          Correlation and analysis:, Mechanisms for incident detection and adequate incident assessment through correlation and analysis of the log data obtained must be implemented.

9.            Bewältigung von Vorfällen

9.            Incident handling

9.1          Vorfallsreaktion:, Prozesse zur Reaktion auf Vorfälle sind zu erstellen, aufrechtzuerhalten und zu erproben.

9.1          Incident response:, Processes for responding to incidents must be established, maintained and tested.

9.2          Vorfallsmeldung:, Prozesse zur internen und externen Meldung von Vorfällen sind zu erstellen, aufrechtzuerhalten und zu erproben.

9.2          Incident notification:, Processes for internal and external incident notification must be established, maintained and tested.

9.3          Vorfallsanalyse:, Prozesse zur Analyse und Bewertung von Vorfällen und zur Sammlung relevanter Informationen sind zu erstellen, aufrechtzuerhalten und zu erproben, um den kontinuierlichen Verbesserungsprozess zu fördern.

9.3          Incident analysis:, Processes for incident analysis and assessment and for the collection of relevant information must be established, maintained and tested to promote continuous improvement.

10.          Betriebskontinuität

10.          Business continuity

10.1        Betriebskontinuitätsmanagement:, Die Wiederherstellung der Erbringung des wesentlichen Dienstes auf einem zuvor festgelegten Qualitätsniveau nach einem Sicherheitsvorfall ist zu gewährleisten.

10.1        Business continuity management:, römisch eins t must be ensured that the provision of the essential service at a pre-defined level of quality is restored after a security incident.

10.2        Notfallmanagement:, Notfallpläne sind zu erstellen, anzuwenden, regelmäßig zu bewerten und zu erproben.

10.2        Contingency planning:, Contingency plans must be established, applied, regularly assessed and tested.

11.          Krisenmanagement

11.          Crisis management

11.1        Krisenmanagement:, Rahmenbedingungen und Prozessabläufe des Krisenmanagements sind für die Aufrechterhaltung des wesentlichen Dienstes vor und während eines Sicherheitsvorfalls zu definieren, umzusetzen und zu erproben.

11.1        Crisis management:, General conditions and processes of crisis management must be defined, implemented and tested to ensure the continuity of the essential service prior to and during a security incident.