Rechtsfragen und Rechtsprobleme in der Wirtschaftsinformatik - NIS-Richtlinie
EU NIS-Richtlinie
Als Antwort auf die zunehmende weltweite Bedrohung Kritischer Infrastrukturen durch Angriffe auf von diesen genutzte IKT-Systeme und IKT-Dienstleistungen wurde 2016 die NIS-Richtlinie verabschiedet (RICHTLINIE (EU) 2016/1148 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 6. Juli 2016 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv:OJ.L_.2016.194.01.0001.01.ENG).
Für Unternehmen, die als Betreiber Kritischer Infrastrukturen eingestuft werden, sind insb. die Regelungen zu Meldepflichten und zur Umsetzung von Sicherheitsmaßnahmen, die in den jeweiligen nationalen NIS-Gesetzen zu präzisieren sind. Darüber hinaus ist für Unternehmen vor allem die vorgesehene zentrale Rolle von CERTs von großer Bedeutung.
Strategische Zielsetzung der EU-Richtlinie ist die Schaffung einer resilienteren Infrastruktur (durch Schutzmaßnahmen, Lagebild und Frühwarnsystem durch Meldepflichten, Kompetenznetzwerke - getragen von CSIRTs/CERTs) die im Fall größerer Bedrohungen durch Cyber-Angriffe eine schnellere, gezieltere und konsolidierte gesamteuropäische Reaktion ermöglichen.
NIS-Gesetz
Ende 2018 wurde, der EU-Richtlinie folgend, auch in Österreich ein entsprechendes NIS-Gesetz verabschiedet, das Bundesgesetz zur Gewährleistung eines hohen Sicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz – NISG). Offizielle Version und Erklärungen sind zu finden unter https://www.nis.gv.at/. Für betroffene Unternehmen von größter Bedeutung sind die im Gesetz vorgesehenen Meldepflichten (NIS-G § 19) und die umzusetzenden Sicherheitsmaßnahmen (NIS-G § 17).
NIS-Verordnung
Die NIS-Verordnung (siehe ebenfalls https://www.nis.gv.at/) regelt primär den Anwendungsbereich des NIS-Gesetzes, i.e. unter welchen Voraussetzungen Unternehmen die Verpflichtungen aus dem NIS-Gesetz anzuwenden haben.
Zentrale Informationsseite von BKA und BMI: https://www.nis.gv.at/.
Übungsbeispiele
Sie betreiben eine Kritische Infrastruktur gemäß NIS-Verordnung.
- a) Welche Meldepflichten treffen Sie? Wo sind diese geregelt?
- b) An wen haben Sie welche Ereignisse zu melden?
- c) Welche Schutzmaßnahmen sind von Ihnen vorzusehen?
- d) Welche Rolle spielen CERTs?