(1) Ein Resilienzauditor ist eine natürliche oder juristische Person oder eingetragene Personengesellschaft mit Niederlassung in Österreich oder in einem anderen EU Mitgliedstaat, der aufgrund eines begründeten schriftlichen Antrags bei Erfüllung der in der Verordnung gemäß Abs. 2 normierten Voraussetzungen aufgrund eines rechtskräftigen Bescheids des Bundesministers für Inneres zur Durchführung von Audits (§ 3 Z 13) berechtigt ist.

(2) Ein Resilienzauditor ist verpflichtet, Sicherheitsvorkehrungen zu treffen, geeignete technische und organisatorische Hilfsmittel zu verwenden sowie über ein System zur Qualitätssicherung zu verfügen, um in seinem Aufgabenbereich Audits durchführen zu können. Zudem darf das Audit lediglich durch sicherheitsüberprüfte Personen vorgenommen werden. Der Bundesminister für Inneres ist ermächtigt, mit Verordnung die Voraussetzungen, die Resilienzauditoren erfüllen müssen, sowie nähere verfahrensrechtliche Bestimmungen festzulegen. In dieser Verordnung können auch nähere Regelungen zu Form und Inhalt des Prüfberichts vorgesehen werden.

(3) Der Bundesminister für Inneres ist befugt, zur Kontrolle der Einhaltung der gemäß Abs. 2 normierten Voraussetzungen von Resilienzauditoren Auskünfte zu verlangen, Einschau in erforderliche Unterlagen zu nehmen sowie nach vorheriger Ankündigung Vor-Ort-Kontrollen durchzuführen. § 20 Abs. 3 zweiter bis vierter Satz sowie § 20 Abs. 4 gelten sinngemäß.

(4) Der Resilienzauditor ist verpflichtet, dem Bundesminister für Inneres unverzüglich Änderungen betreffend die Voraussetzungen gemäß Abs. 2 sowie deren Wegfall mitzuteilen.

(5) Bei Wegfall oder Nichteinhaltung der gemäß Abs. 2 normierten Voraussetzungen ist der Resilienzauditor vom Bundesminister für Inneres darauf hinzuweisen, dass er diese binnen einer angemessenen Frist nachweislich zu erfüllen hat. Wird dieser Nachweis nicht innerhalb der festgelegten Frist erbracht, hat der Bundesminister für Inneres die Erteilung der Berechtigung gemäß Abs. 1 mit Bescheid zu widerrufen.

(6) Der Bundesminister für Inneres ist verpflichtet, eine Liste mit den berechtigten Resilienzauditoren zu führen und den kritischen Einrichtungen eine aktuelle Liste zur Verfügung zu stellen.

(7) Resilienzauditoren sowie das von diesen eingesetzte Personal sind zur vertraulichen Behandlung der im Rahmen der Durchführung von Audits (§ 3 Z 13) bekanntgewordenen Informationen verpflichtet.