1. die Zahl der von dem Sicherheitsvorfall betroffenen Nutzer,

2. die Dauer des Sicherheitsvorfalls,

3. die geografische Ausdehnung des von dem Sicherheitsvorfall betroffenen Gebiets,

4. das Ausmaß der Beeinträchtigung des Netzes oder Dienstes,

5. das Ausmaß der Auswirkungen auf wirtschaftliche und gesellschaftliche Tätigkeiten.

(6) Die Regulierungsbehörde hat eine erfolgte Mitteilung nach Abs. 5 unverzüglich an den Bundesminister für Inneres weiterzuleiten. Dieser hat die darin enthaltenen Informationen in das gemäß § 5 Z 3 Netz- und Informationssystemsicherheitsgesetz (NISG), BGBl. I Nr. 111/2018, zu erstellende Lagebild aufzunehmen, das im Rahmen der Koordinierungsstrukturen (§ 7 NISG) zu erörtern ist.

(7) Die Regulierungsbehörde kann Regulierungsbehörden anderer Mitgliedstaaten oder die Europäische Agentur für Netz- und Informationssicherheit (ENISA) über eine erfolgte Mitteilung nach Abs. 5 informieren. In diesen Fällen hat die Regulierungsbehörde auch den Betreiber oder Anbieter, von dem die Meldung stammt, hievon unverzüglich und formlos in Kenntnis zu setzen.

(8) Liegt die Bekanntgabe des Sicherheitsvorfalls im öffentlichen Interesse, kann die Regulierungsbehörde die Öffentlichkeit selbst in geeigneter Weise darüber informieren oder die betroffenen Betreiber und Anbieter zur Information der Öffentlichkeit auffordern.

(9) Bis 31. März des Folgejahres hat die Regulierungsbehörde der Europäischen Kommission und der ENISA einen zusammenfassenden Bericht über die nach Abs. 5 eingegangenen Mitteilungen und die ergriffenen Maßnahmen vorzulegen.

(10) Die Regulierungsbehörde kann im Einvernehmen mit der Bundesministerin für Landwirtschaft, Regionen und Tourismus, mit dem Bundeskanzler und mit dem Bundesminister für Inneres unter Bedachtnahme auf die relevanten internationalen Vorschriften, auf die Art des Netzes oder des Dienstes, auf die technischen Möglichkeiten, auf den Schutz personenbezogener Daten und auf sonstige schutzwürdige Interessen von Nutzern mit Verordnung die näheren Bestimmungen zur Umsetzung dieser Bestimmung über

(11) Eine Verordnung gemäß Abs. 10 ist in Bezug auf Rundfunknetze und die Übertragung von Rundfunksignalen von der KommAustria zu erlassen.

(12) Die Regulierungsbehörde hat sich in jenen Fällen, in denen auch die Zuständigkeit der Datenschutzbehörde berührt ist, mit der Datenschutzbehörde abzustimmen und die gewonnenen Informationen auszutauschen. Personenbezogene Daten dürfen im Rahmen dieses Informationsaustauschs nicht verarbeitet werden.

(13) Zur Erfüllung ihrer Aufgaben nach dieser Bestimmung kann die Regulierungsbehörde die Unterstützung eines gemäß § 14 Abs. 1 NISG eingerichteten Computer-Notfallteams zu Fragen, die zu dessen Aufgaben gemäß § 14 Abs. 2 NISG gehören, in Anspruch nehmen. In jenen Fällen, in denen auch die Zuständigkeit der in §§ 4 bis 7 NISG angeführten Behörden berührt ist, hat sich die Regulierungsbehörde mit den genannten Behörden abzustimmen und die gewonnenen Informationen auszutauschen.

(14) In der Verordnung nach Abs. 10 kann auch angeordnet werden, dass Betreiber von öffentlichen Kommunikationsnetzen oder öffentlichen Kommunikationsdiensten, die ihre Netze oder Dienste in Österreich betreiben und über keinen Aufenthalt oder Sitz in der Europäischen Union verfügen, eine inländische Zustelladresse bekannt geben müssen, an die in Verfahren nach diesem Bundesgesetz rechtskräftig zugestellt werden kann. Dies kann auch für Hersteller von Komponenten eines Netzes für elektronische Kommunikation oder für Bereitsteller von Dienstleistungen für solche Netze angeordnet werden, sofern sie ihre Waren oder Dienstleistungen in Österreich anbieten oder nach Österreich importiert werden und sie über keinen Aufenthalt oder Sitz in der Europäischen Union verfügen.