5. Abschnitt Verpflichtungen kritischer Einrichtungen

§ 15. Resilienzmaßnahmen kritischer Einrichtungen

(1) Kritische Einrichtungen haben auf Grundlage der seitens des Bundesministers für Inneres bereitgestellten Elemente der gemäß § 10 durchgeführten Risikoanalyse sowie der Ergebnisse der gemäß § 14 durchgeführten Risikoanalyse nach Ablauf von zehn Monaten nach bescheidmäßiger Einstufung gemäß § 11 Abs. 1 geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen in Bezug auf den von ihnen erbrachten wesentlichen Dienst gemäß § 11 Abs. 1 Z 4 zu treffen. Diese sind in einem Resilienzplan (§ 3 Z 12) darzulegen.

(2) Bei den Resilienzmaßnahmen handelt es sich insbesondere um solche, die erforderlich sind, um

1. das Auftreten von Sicherheitsvorfällen zu verhindern, unter Berücksichtigung von Maßnahmen zur Katastrophenvorsorge und zum Umgang mit dem Klimawandel,

2. einen angemessen physischen Schutz der kritischen Infrastruktur und der Räumlichkeiten der kritischen Einrichtungen zu gewährleisten,

3. Sicherheitsvorfälle abzuwehren, diese zu bewältigen und die Auswirkungen solcher Vorfälle gering zu halten, unter Berücksichtigung von Risiko- und Krisenmanagementmaßnahmen sowie Notfallplänen,

4. nach Sicherheitsvorfällen die Fortsetzung oder rasche Wiederaufnahme des wesentlichen Dienstes zu gewährleisten, unter Berücksichtigung alternativer Lieferketten,

5. angemessene personelle Sicherheitsvorkehrungen unter Berücksichtigung des Personals externer Dienstleister zu gewährleisten, insbesondere die Festlegung von Anforderungen an die Ausbildung sowie die Qualifikation des Personals und die Identifizierung von kritischen Funktionen samt Festlegung von Zugangsberechtigungen sowie Verpflichtungen zur Vornahme von Zuverlässigkeitsüberprüfungen von Personen, die die Anforderungen gemäß § 16 Abs. 1 Z 1 oder 2 erfüllen, sofern für diese Personen nicht bereits eine Sicherheitsüberprüfung gemäß den §§ 55 bis 55b SPG, Verlässlichkeitsprüfung gemäß den §§ 23 und 24 des Militärbefugnisgesetzes (MBG), BGBl. I Nr. 86/2000, oder Zuverlässigkeitsüberprüfung gemäß § 134a des Luftfahrtgesetzes (LFG), BGBl Nr. 253/1957, vorliegt, deren Durchführung jeweils nicht länger als drei Jahre zurückliegt, und keine Anhaltspunkte bestehen, wonach die Person nicht mehr zuverlässig sein sollte, und

6. Personal in kritischen Funktionen insbesondere im Rahmen der Bereitstellung von Schulungsmaßnahmen im Hinblick auf die Steigerung der Resilienz zu sensibilisieren.

(3) Der Anforderung gemäß Abs. 1 erster Satz wird insoweit entsprochen, als von der kritischen Einrichtung aufgrund anderer rechtlicher Verpflichtungen Resilienzmaßnahmen ergriffen wurden, die hinsichtlich der in Abs. 1 genannten technischen, sicherheitsbezogenen und organisatorischen Anforderungen zumindest gleichwertig sind.

Datenquelle: RIS — https://www.ris.bka.gv.at - Gesamte Rechtsvorschrift (RIS)