(1) Kritische Einrichtungen haben auf Grundlage der seitens des Bundesministers für Inneres bereitgestellten Elemente der gemäß § 10 durchgeführten Risikoanalyse sowie der Ergebnisse der gemäß § 14 durchgeführten Risikoanalyse nach Ablauf von zehn Monaten nach bescheidmäßiger Einstufung gemäß § 11 Abs. 1 geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen in Bezug auf den von ihnen erbrachten wesentlichen Dienst gemäß § 11 Abs. 1 Z 4 zu treffen. Diese sind in einem Resilienzplan (§ 3 Z 12) darzulegen.
(2) Bei den Resilienzmaßnahmen handelt es sich insbesondere um solche, die erforderlich sind, um
1. das Auftreten von Sicherheitsvorfällen zu verhindern, unter Berücksichtigung von Maßnahmen zur Katastrophenvorsorge und zum Umgang mit dem Klimawandel,
2. einen angemessen physischen Schutz der kritischen Infrastruktur und der Räumlichkeiten der kritischen Einrichtungen zu gewährleisten,
3. Sicherheitsvorfälle abzuwehren, diese zu bewältigen und die Auswirkungen solcher Vorfälle gering zu halten, unter Berücksichtigung von Risiko- und Krisenmanagementmaßnahmen sowie Notfallplänen,
4. nach Sicherheitsvorfällen die Fortsetzung oder rasche Wiederaufnahme des wesentlichen Dienstes zu gewährleisten, unter Berücksichtigung alternativer Lieferketten,
5. angemessene personelle Sicherheitsvorkehrungen unter Berücksichtigung des Personals externer Dienstleister zu gewährleisten, insbesondere die Festlegung von Anforderungen an die Ausbildung sowie die Qualifikation des Personals und die Identifizierung von kritischen Funktionen samt Festlegung von Zugangsberechtigungen sowie Verpflichtungen zur Vornahme von Zuverlässigkeitsüberprüfungen von Personen, die die Anforderungen gemäß § 16 Abs. 1 Z 1 oder 2 erfüllen, sofern für diese Personen nicht bereits eine Sicherheitsüberprüfung gemäß den §§ 55 bis 55b SPG, Verlässlichkeitsprüfung gemäß den §§ 23 und 24 des Militärbefugnisgesetzes (MBG), BGBl. I Nr. 86/2000, oder Zuverlässigkeitsüberprüfung gemäß § 134a des Luftfahrtgesetzes (LFG), BGBl Nr. 253/1957, vorliegt, deren Durchführung jeweils nicht länger als drei Jahre zurückliegt, und keine Anhaltspunkte bestehen, wonach die Person nicht mehr zuverlässig sein sollte, und
6. Personal in kritischen Funktionen insbesondere im Rahmen der Bereitstellung von Schulungsmaßnahmen im Hinblick auf die Steigerung der Resilienz zu sensibilisieren.
(3) Der Anforderung gemäß Abs. 1 erster Satz wird insoweit entsprochen, als von der kritischen Einrichtung aufgrund anderer rechtlicher Verpflichtungen Resilienzmaßnahmen ergriffen wurden, die hinsichtlich der in Abs. 1 genannten technischen, sicherheitsbezogenen und organisatorischen Anforderungen zumindest gleichwertig sind.
RKEG · Resilienz kritischer Einrichtungen-Gesetz
§ 15 Resilienzmaßnahmen kritischer Einrichtungen
(1) Kritische Einrichtungen haben auf Grundlage der seitens des Bundesministers für Inneres bereitgestellten Elemente der gemäß § 10 durchgeführten Risikoanalyse sowie der Ergebnisse der gemäß § 14 durchgeführten Risikoanalyse nach Ablauf von zehn Monaten nach bescheidmäßiger Einstufung gemäß § 11 A…
§ 18 Ausnahmen von Verpflichtungen kritischer Einrichtungen
…1) Die Anforderungen gemäß § 15 sind insoweit nicht anwendbar, 1. als kritische Einrichtungen aufgrund sektorspezifischer unionsrechtlicher Bestimmungen verpflichtet sind, für die Erbringung eines wesentlichen Dienstes gleichwertige Maßnahmen zu ergreifen und…
§ 13 Unterstützungs- und Vorsorgemaßnahmen
…Resilienzmaßnahmen; 2. Beratung kritischer Einrichtungen bei der Beurteilung, ob bereits durchgeführte Risikoanalysen gemäß § 14 Abs. 3 oder ergriffene Resilienzmaßnahmen gemäß § 15 Abs. 3 zumindest gleichwertig sind; 3. Übermittlung von Frühwarnungen sowie von sonstigen sektorspezifischen Informationen an kritische Einrichtungen, sofern ein Risiko vorliegt; 4. Beratung der…
§ 16 Zuverlässigkeitsüberprüfungen
…1) Auf begründetes Ersuchen der kritischen Einrichtung ist zum Zweck der Bewertung eines potenziellen Sicherheitsrisikos für die kritische Einrichtung 1. Personal gemäß § 15 Abs. 2 Z 5, das über einen Zugang zu ihren Räumlichkeiten, Informationen oder Kontrollsystemen verfügt oder sonstige sensible Funktionen für die kritische Einrichtung…
Rückverweise