Am 29.12.2018 ist das auf der NIS-Richtlinie basierende Bundesgesetz zur Gewährleistung eines hohen Sicherheitsniveaus von Netz- und Informationssystemen („NISG“) in Kraft getreten. Damit werden vorrangig erweiterte Sicherheitsvorkehrungen und Meldepflichten für Betreiber von für das Gemeinwohl wichtigen Diensten festgelegt, aber auch weitere Strategien für die Sicherheit von Netz- und Informationssystemen, samt Computer-Notfallteams, eingerichtet.
[lindepaywall tokens=“dsaktuell-media“]
Anwendungsbereich
Mit dem NISG werden Maßnahmen festgelegt, mit denen ein hohes Sicherheitsniveau von Netz- und Informationssystemen von Betreibern wesentlicher Dienste sowie von Anbietern digitaler Dienste und Einrichtungen der öffentlichen Verwaltung erreicht werden soll. „Betreiber wesentlicher Dienste“ sind solche, die in den Sektoren Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasserversorgung und digitale Infrastruktur tätig sind. „Anbieter digitaler Dienste“ sind Betreiber von Online-Marktplätzen, Online-Suchmaschinen oder Cloud-Computing-Dienste, sofern sie nicht als Kleinstunternehmen oder kleines Unternehmen gelten (Unternehmen mit weniger als 50 Mitarbeitern und einem Jahresumsatz bzw. einer Jahresbilanz von unter EUR 10 Mio.). „Einrichtungen der öffentlichen Verwaltung“ umfassen primär bestimmte Einrichtungen des Bundes, aber auch einzelner Länder, sofern diese die Anwendbarkeit auf ihre Einrichtungen freiwillig erklärt haben.
Das NISG umfasst daher für das Funktionieren des Gemeinwesens wichtige Anbieter, Betreiber und Einrichtungen, da durch einen Sicherheitsvorfall (also eine erhebliche Störung) insbesondere bei diesen Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit zu befürchten wären oder die Funktionsfähigkeit von staatlichen Einrichtungen sowie die Aufrechterhaltung kritischer gesellschaftlicher bzw. wirtschaftlicher Tätigkeiten gefährdet wäre.
Neben dem NISG als Durchführungsgesetz zur NIS-Richtlinie, die eine Mindestharmonisierung der Cybersicherheit und eine Zusammenarbeit der Mitgliedsstaaten auf diesem Gebiet vorsieht, wird auch das Telekommunikationsgesetz novelliert und werden in der Folge Verordnungen zum NISG erlassen. Die wichtigste derartige Verordnung wird Regelungen zu den einzelnen Sektoren enthalten, aufgrund derer die Betreiber wesentlicher Dienste im Einzelnen ermittelt werden (z.B. aufgrund von Nutzerzahlen, Marktanteil, geographischer Ausbreitung oder Auswirkungen von Sicherheitsvorfällen). In der Folge werden die einzelnen Betreiber wesentlicher Dienste vom Bundeskanzler ermittelt und mit Bescheid festgestellt. Diesem Bescheid kommt für die Eigenschaft als Betreiber wesentlicher Dienste konstitutive Wirkung zu: Erst mit Zustellung des Bescheides ist ein Betreiber vom Anwendungsbereich des NISG erfasst. Die ersten diesbezüglichen Bescheide werden im April 2019 erwartet. Binnen zwei Wochen nach Zustellung des Bescheides hat der betroffene Betreiber eine Kontaktstelle für die Kommunikation im Notfall zu benennen.
Pflichten für Betreiber wesentlicher Dienste (§§ 17-20 NISG)
Betreiber wesentlicher Dienste haben Sicherheitsvorkehrungen technischer und organisatorischer Art zu treffen, um die für den Sektor bzw. den Dienst spezifische Netz- und Informationssicherheit zu gewährleisten. Diese Maßnahmen müssen Sicherheitsvorfällen vorbeugen, diese erkennen, abwehren und beseitigen können. Auf Basis eines „risikobasierten Ansatzes“ sollen die Vorkehrungen ermittelt werden, die geeignet und verhältnismäßig sind, den Stand der Technik berücksichtigen und dem möglichen Risiko angemessen sind. Die Erfüllung dieser Anforderungen ist dem Bundesminister für Inneres („BMI“) mindestens alle drei Jahre mittels Vorlage einer Aufstellung der Sicherheitsvorkehrungen durch den Nachweis von Zertifizierungen oder durchgeführten Überprüfungen von „qualifizierten Stellen“, die durch den BMI akkreditiert werden, nachzuweisen.
Der BMI kann jederzeit, auch ohne Anlassfall, Einschau in die notwendigen Unterlagen und Systeme nehmen sowie zu diesem Zweck, nach vorangegangener Verständigung, auch die Örtlichkeiten betreten, in denen die Systeme gelegen sind. Bei Mängeln kann der BMI Handlungsempfehlungen aussprechen. Wird diesen nicht innerhalb der zu setzenden Frist nachgekommen, ist die Befolgung unter Androhung von Sanktionen bescheidmäßig anzuordnen.
Betreiber wesentlicher Dienste haben weiters Sicherheitsvorfälle, die einen von ihnen bereitgestellten wesentlichen Dienst betreffen, unverzüglich an das zuständige Computer-Notfallteam zu melden, das die Meldung wiederrum unverzüglich an den BMI weiterleitet. Zuständig ist das sektorenspezifische Notfallteam, subsidiär das nationale Notfallteam und das Notfallteam der öffentlichen Verwaltung. Die Meldung muss alle relevanten Angaben enthalten, die notwendig sind, um die Lage der betroffenen Einrichtung, die Erheblichkeit des Vorfalls und die weiteren Auswirkungen bewerten zu können (technische Rahmenbedingungen, vermutete oder tatsächliche Ursache, betroffene Systeme, usw.). Weitere Informationen sind nachzumelden und schlussendlich ist eine umfassende Abschlussmeldung zu erstatten. Ziel ist es daher, so schnell wie möglich zumindest eine Erstmeldung zu erstatten, um mögliche weitere Auswirkungen vermeiden und entsprechend reagieren zu können.
Ausnahmen von der Anwendbarkeit der Vorschriften über Sicherheitsvorkehrungen und der Meldepflicht bestehen für Betreiber wesentlicher Dienste, die gesetzlichen Bestimmungen unterliegen, die zumindest ein gleichwertiges Sicherheitsniveau gewährleisten und mittels Verordnung als gleichwertig festgelegt wurden. Darunter fallen etwa Meldungen nach dem Zahlungsdienstegesetz 2018, die – um ein einheitliches Lagebild erstellen zu können – von der Finanzmarktaufsicht auch unverzüglich an den BMI weiterzuleiten sind. Die Meldeverpflichtung gemäß Art 33 DSGVO ist keine gleichwertige Bestimmung und besteht daher parallel zu der des NISG.
Vorfälle bei einem Anbieter eines digitalen Dienstes, die zu erheblichen Auswirkungen bei einem Anbieter eines wesentlichen Dienstes führen, sind (auch) vom Anbieter wesentlicher Dienste zu melden.
Pflichten für Anbieter digitaler Dienste (§ 21 NISG)
Viele Anbieter wesentlicher Dienste nutzen bei der Erbringung ihrer Leistungen die Dienste von Anbietern digitaler Dienste. Störungen dieser Dienste könnten sich daher auch auf die Bereitstellung wesentlicher Dienste auswirken. Anbieter digitaler Dienste unterliegen aus diesem Grund einem ähnlichen, jedoch leicht abgeschwächten Regelungsregime wie Anbieter wesentlicher Dienste.
Anbieter digitaler Dienste haben geeignete und verhältnismäßige technische und organisatorische Sicherheitsvorkehrungen zu treffen. Anhand eines risikobasierten Ansatzes ist auch hier der vernünftige Aufwand festzustellen, wobei die Sicherheit der Systeme und Anlagen, die Bewältigung von Sicherheitsvorfällen, das Betriebskontinuitätsmanagement, die Überwachung, Überprüfung und Erprobung sowie die Einhaltung internationaler Normen zu berücksichtigen sind.
Entgegen den Vorschriften betreffend Anbieter wesentlicher Dienste kann der BMI nur bei Bekanntwerden nachweislicher Umstände, dass der Anbieter die ihn treffenden Pflichten nicht einhält, Einschau in die Systeme und Unterlagen eines Anbieters digitaler Dienste nehmen. Bei Mängeln kann der BMI aber auch hier Handlungsempfehlungen aussprechen. Wird diesen nicht innerhalb der zu setzenden Frist nachgekommen, ist die Befolgung unter Androhung von Sanktionen ebenfalls bescheidmäßig anzuordnen.
Anbieter digitaler Dienste unterliegen auch prinzipiell der Meldepflicht von Sicherheitsvorfällen, die bei ihnen auftreten. Diese Pflicht ist jedoch insofern eingeschränkt, als sie nur dann gilt, wenn der Anbieter Zugang zu Informationen hat, die benötigt werden, um die Auswirkung eines Sicherheitsvorfalles zu bewerten (etwa die Anzahl betroffener Nutzer, Dauer, geographische Ausbreitung, Ausmaß der Unterbrechung oder Auswirkungen auf andere Dienste). Zuständig ist hier grundsätzlich das nationale Computer-Notfallteam.
Pflichten für Einrichtungen der öffentlichen Verwaltung (§ 22 NISG)
Für Stellen der öffentlichen Verwaltung im Anwendungsbereich des NISG gelten dieselben Pflichten hinsichtlich Sicherheitsvorschriften und Meldungen wie für Betreiber wesentlicher Dienste und Anbieter digitaler Dienste betreffend Systeme, die sie für die Bereitstellung wichtiger Dienste nutzen. Mangels regelmäßiger oder einzelfallbezogener Überprüfungsmöglichkeit haben die jeweiligen Einrichtungen aber eigenverantwortlich für die Einhaltung der Sicherheitsvorkehrungen zu sorgen. Sicherheitsvorfälle sind an das Computernotfallteam der öffentlichen Verwaltung zu melden.
Freiwillige Meldungen (§ 23 NISG)
Auch Anbieter oder Betreiber nicht wesentlicher Dienste oder digitaler Dienste im Sinne des NISG, haben die Möglichkeit freiwillig Risiken und Vorfälle an das zuständige Computer-Notfallteam zu melden. Entgegen der verpflichtenden kann die freiwillige Meldung auch ohne Angabe des Melders erfolgen und muss auch nicht sämtliche oben genannte Informationen enthalten, obwohl dies zur Gewährleistung eines hohen Sicherheitsniveaus natürlich zu empfehlen ist.
Computer-Notfallteams (§ 14 NISG)
Zur Gewährleistung von Prävention, Erkennung, Reaktion und Folgenminderung bei Risiken und Vorfällen werden Computer-Notfallteams (CERTs – Computer Emergency Response Teams oder CSIRTs – Computer Security Incident Response Teams) eingerichtet. Deren Hauptaufgabe ist die Entgegennahme von Meldungen und deren Weiterleitung. Zusätzlich nehmen sie aber auch technische Aufgaben wahr, wie die laufende Analyse und Beobachtung und die Ausgabe von Warnungen und Informationen über Risiken und Vorfälle sowie die erste allgemeine technische Unterstützung bei der Reaktion auf einen Sicherheitsvorfall.
Neben dem bereits bestehenden (allgemeinzuständigen) nationalen Computer-Notfallteam (CERT.at) können für einzelne Sektoren von den Betreibern wesentlicher Dienste auch sektorenspezifische CERTs eingerichtet werden. Darüber hinaus ist für Einrichtungen der öffentlichen Verwaltung ein eigenes GovCERT eingerichtet.
Sanktionen (§ 26 NISG)
Bei Verstößen gegen die Bestimmungen des NISG, insbesondere bei Unterlassen der verpflichtenden Meldungen und Nachweise oder der Verweigerung der Einschau, drohen Verwaltungsstrafen von bis zu EUR 50.000, im Wiederholungsfall bis zu EUR 100.000.
Zusammenfassung
Die im NISG festgelegten Maßnahmen sollen das Funktionieren kritischer Infrastruktur sicherstellen, Angriffe oder Risiken generell minimieren und im Falle von Sicherheitsvorfällen eine rasche und adäquate Reaktion ermöglichen. Das führt einerseits zu gesetzlichen Vorgaben bei Sicherheitsvorkehrungen, die in vielen Fällen Unternehmen vor neue Herausforderungen stellen werden. Eine genauere Beschreibung der zu setzenden Maßnahmen fehlt aber wie bereits in der DSGVO auch im NISG. Die verpflichtende Meldung ist im Hinblick auf die hohe Dunkelziffer bei Cyberangriffen durchaus sinnvoll und kann möglicherweise in vielen Fällen einen weiteren Angriff verhindern bzw. Eindämmen. Auch für eine umfassende Cybersicherheitsstrategie ist ein Überblick und die Dokumentation von Angriffen und anderen Vorfällen wesentlich.
[/lindepaywall]
Am 29.12.2018 ist das auf der NIS-Richtlinie basierende Bundesgesetz zur Gewährleistung eines hohen Sicherheitsniveaus von Netz- und Informationssystemen („NISG“) in Kraft getreten. Damit werden vorrangig erweiterte Sicherheitsvorkehrungen und Meldepflichten für Betreiber von für das Gemeinwohl wichtigen Diensten festgelegt, aber auch weitere Strategien für die Sicherheit von Netz- und Informationssystemen, samt Computer-Notfallteams, eingerichtet.
[lindepaywall tokens=“dsaktuell-media“]
Anwendungsbereich
Mit dem NISG werden Maßnahmen festgelegt, mit denen ein hohes Sicherheitsniveau von Netz- und Informationssystemen von Betreibern wesentlicher Dienste sowie von Anbietern digitaler Dienste und Einrichtungen der öffentlichen Verwaltung erreicht werden soll. „Betreiber wesentlicher Dienste“ sind solche, die in den Sektoren Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasserversorgung und digitale Infrastruktur tätig sind. „Anbieter digitaler Dienste“ sind Betreiber von Online-Marktplätzen, Online-Suchmaschinen oder Cloud-Computing-Dienste, sofern sie nicht als Kleinstunternehmen oder kleines Unternehmen gelten (Unternehmen mit weniger als 50 Mitarbeitern und einem Jahresumsatz bzw. einer Jahresbilanz von unter EUR 10 Mio.). „Einrichtungen der öffentlichen Verwaltung“ umfassen primär bestimmte Einrichtungen des Bundes, aber auch einzelner Länder, sofern diese die Anwendbarkeit auf ihre Einrichtungen freiwillig erklärt haben.
Das NISG umfasst daher für das Funktionieren des Gemeinwesens wichtige Anbieter, Betreiber und Einrichtungen, da durch einen Sicherheitsvorfall (also eine erhebliche Störung) insbesondere bei diesen Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit zu befürchten wären oder die Funktionsfähigkeit von staatlichen Einrichtungen sowie die Aufrechterhaltung kritischer gesellschaftlicher bzw. wirtschaftlicher Tätigkeiten gefährdet wäre.
Neben dem NISG als Durchführungsgesetz zur NIS-Richtlinie, die eine Mindestharmonisierung der Cybersicherheit und eine Zusammenarbeit der Mitgliedsstaaten auf diesem Gebiet vorsieht, wird auch das Telekommunikationsgesetz novelliert und werden in der Folge Verordnungen zum NISG erlassen. Die wichtigste derartige Verordnung wird Regelungen zu den einzelnen Sektoren enthalten, aufgrund derer die Betreiber wesentlicher Dienste im Einzelnen ermittelt werden (z.B. aufgrund von Nutzerzahlen, Marktanteil, geographischer Ausbreitung oder Auswirkungen von Sicherheitsvorfällen). In der Folge werden die einzelnen Betreiber wesentlicher Dienste vom Bundeskanzler ermittelt und mit Bescheid festgestellt. Diesem Bescheid kommt für die Eigenschaft als Betreiber wesentlicher Dienste konstitutive Wirkung zu: Erst mit Zustellung des Bescheides ist ein Betreiber vom Anwendungsbereich des NISG erfasst. Die ersten diesbezüglichen Bescheide werden im April 2019 erwartet. Binnen zwei Wochen nach Zustellung des Bescheides hat der betroffene Betreiber eine Kontaktstelle für die Kommunikation im Notfall zu benennen.
Pflichten für Betreiber wesentlicher Dienste (§§ 17-20 NISG)
Betreiber wesentlicher Dienste haben Sicherheitsvorkehrungen technischer und organisatorischer Art zu treffen, um die für den Sektor bzw. den Dienst spezifische Netz- und Informationssicherheit zu gewährleisten. Diese Maßnahmen müssen Sicherheitsvorfällen vorbeugen, diese erkennen, abwehren und beseitigen können. Auf Basis eines „risikobasierten Ansatzes“ sollen die Vorkehrungen ermittelt werden, die geeignet und verhältnismäßig sind, den Stand der Technik berücksichtigen und dem möglichen Risiko angemessen sind. Die Erfüllung dieser Anforderungen ist dem Bundesminister für Inneres („BMI“) mindestens alle drei Jahre mittels Vorlage einer Aufstellung der Sicherheitsvorkehrungen durch den Nachweis von Zertifizierungen oder durchgeführten Überprüfungen von „qualifizierten Stellen“, die durch den BMI akkreditiert werden, nachzuweisen.
Der BMI kann jederzeit, auch ohne Anlassfall, Einschau in die notwendigen Unterlagen und Systeme nehmen sowie zu diesem Zweck, nach vorangegangener Verständigung, auch die Örtlichkeiten betreten, in denen die Systeme gelegen sind. Bei Mängeln kann der BMI Handlungsempfehlungen aussprechen. Wird diesen nicht innerhalb der zu setzenden Frist nachgekommen, ist die Befolgung unter Androhung von Sanktionen bescheidmäßig anzuordnen.
Betreiber wesentlicher Dienste haben weiters Sicherheitsvorfälle, die einen von ihnen bereitgestellten wesentlichen Dienst betreffen, unverzüglich an das zuständige Computer-Notfallteam zu melden, das die Meldung wiederrum unverzüglich an den BMI weiterleitet. Zuständig ist das sektorenspezifische Notfallteam, subsidiär das nationale Notfallteam und das Notfallteam der öffentlichen Verwaltung. Die Meldung muss alle relevanten Angaben enthalten, die notwendig sind, um die Lage der betroffenen Einrichtung, die Erheblichkeit des Vorfalls und die weiteren Auswirkungen bewerten zu können (technische Rahmenbedingungen, vermutete oder tatsächliche Ursache, betroffene Systeme, usw.). Weitere Informationen sind nachzumelden und schlussendlich ist eine umfassende Abschlussmeldung zu erstatten. Ziel ist es daher, so schnell wie möglich zumindest eine Erstmeldung zu erstatten, um mögliche weitere Auswirkungen vermeiden und entsprechend reagieren zu können.
Ausnahmen von der Anwendbarkeit der Vorschriften über Sicherheitsvorkehrungen und der Meldepflicht bestehen für Betreiber wesentlicher Dienste, die gesetzlichen Bestimmungen unterliegen, die zumindest ein gleichwertiges Sicherheitsniveau gewährleisten und mittels Verordnung als gleichwertig festgelegt wurden. Darunter fallen etwa Meldungen nach dem Zahlungsdienstegesetz 2018, die – um ein einheitliches Lagebild erstellen zu können – von der Finanzmarktaufsicht auch unverzüglich an den BMI weiterzuleiten sind. Die Meldeverpflichtung gemäß Art 33 DSGVO ist keine gleichwertige Bestimmung und besteht daher parallel zu der des NISG.
Vorfälle bei einem Anbieter eines digitalen Dienstes, die zu erheblichen Auswirkungen bei einem Anbieter eines wesentlichen Dienstes führen, sind (auch) vom Anbieter wesentlicher Dienste zu melden.
Pflichten für Anbieter digitaler Dienste (§ 21 NISG)
Viele Anbieter wesentlicher Dienste nutzen bei der Erbringung ihrer Leistungen die Dienste von Anbietern digitaler Dienste. Störungen dieser Dienste könnten sich daher auch auf die Bereitstellung wesentlicher Dienste auswirken. Anbieter digitaler Dienste unterliegen aus diesem Grund einem ähnlichen, jedoch leicht abgeschwächten Regelungsregime wie Anbieter wesentlicher Dienste.
Anbieter digitaler Dienste haben geeignete und verhältnismäßige technische und organisatorische Sicherheitsvorkehrungen zu treffen. Anhand eines risikobasierten Ansatzes ist auch hier der vernünftige Aufwand festzustellen, wobei die Sicherheit der Systeme und Anlagen, die Bewältigung von Sicherheitsvorfällen, das Betriebskontinuitätsmanagement, die Überwachung, Überprüfung und Erprobung sowie die Einhaltung internationaler Normen zu berücksichtigen sind.
Entgegen den Vorschriften betreffend Anbieter wesentlicher Dienste kann der BMI nur bei Bekanntwerden nachweislicher Umstände, dass der Anbieter die ihn treffenden Pflichten nicht einhält, Einschau in die Systeme und Unterlagen eines Anbieters digitaler Dienste nehmen. Bei Mängeln kann der BMI aber auch hier Handlungsempfehlungen aussprechen. Wird diesen nicht innerhalb der zu setzenden Frist nachgekommen, ist die Befolgung unter Androhung von Sanktionen ebenfalls bescheidmäßig anzuordnen.
Anbieter digitaler Dienste unterliegen auch prinzipiell der Meldepflicht von Sicherheitsvorfällen, die bei ihnen auftreten. Diese Pflicht ist jedoch insofern eingeschränkt, als sie nur dann gilt, wenn der Anbieter Zugang zu Informationen hat, die benötigt werden, um die Auswirkung eines Sicherheitsvorfalles zu bewerten (etwa die Anzahl betroffener Nutzer, Dauer, geographische Ausbreitung, Ausmaß der Unterbrechung oder Auswirkungen auf andere Dienste). Zuständig ist hier grundsätzlich das nationale Computer-Notfallteam.
Pflichten für Einrichtungen der öffentlichen Verwaltung (§ 22 NISG)
Für Stellen der öffentlichen Verwaltung im Anwendungsbereich des NISG gelten dieselben Pflichten hinsichtlich Sicherheitsvorschriften und Meldungen wie für Betreiber wesentlicher Dienste und Anbieter digitaler Dienste betreffend Systeme, die sie für die Bereitstellung wichtiger Dienste nutzen. Mangels regelmäßiger oder einzelfallbezogener Überprüfungsmöglichkeit haben die jeweiligen Einrichtungen aber eigenverantwortlich für die Einhaltung der Sicherheitsvorkehrungen zu sorgen. Sicherheitsvorfälle sind an das Computernotfallteam der öffentlichen Verwaltung zu melden.
Freiwillige Meldungen (§ 23 NISG)
Auch Anbieter oder Betreiber nicht wesentlicher Dienste oder digitaler Dienste im Sinne des NISG, haben die Möglichkeit freiwillig Risiken und Vorfälle an das zuständige Computer-Notfallteam zu melden. Entgegen der verpflichtenden kann die freiwillige Meldung auch ohne Angabe des Melders erfolgen und muss auch nicht sämtliche oben genannte Informationen enthalten, obwohl dies zur Gewährleistung eines hohen Sicherheitsniveaus natürlich zu empfehlen ist.
Computer-Notfallteams (§ 14 NISG)
Zur Gewährleistung von Prävention, Erkennung, Reaktion und Folgenminderung bei Risiken und Vorfällen werden Computer-Notfallteams (CERTs – Computer Emergency Response Teams oder CSIRTs – Computer Security Incident Response Teams) eingerichtet. Deren Hauptaufgabe ist die Entgegennahme von Meldungen und deren Weiterleitung. Zusätzlich nehmen sie aber auch technische Aufgaben wahr, wie die laufende Analyse und Beobachtung und die Ausgabe von Warnungen und Informationen über Risiken und Vorfälle sowie die erste allgemeine technische Unterstützung bei der Reaktion auf einen Sicherheitsvorfall.
Neben dem bereits bestehenden (allgemeinzuständigen) nationalen Computer-Notfallteam (CERT.at) können für einzelne Sektoren von den Betreibern wesentlicher Dienste auch sektorenspezifische CERTs eingerichtet werden. Darüber hinaus ist für Einrichtungen der öffentlichen Verwaltung ein eigenes GovCERT eingerichtet.
Sanktionen (§ 26 NISG)
Bei Verstößen gegen die Bestimmungen des NISG, insbesondere bei Unterlassen der verpflichtenden Meldungen und Nachweise oder der Verweigerung der Einschau, drohen Verwaltungsstrafen von bis zu EUR 50.000, im Wiederholungsfall bis zu EUR 100.000.
Zusammenfassung
Die im NISG festgelegten Maßnahmen sollen das Funktionieren kritischer Infrastruktur sicherstellen, Angriffe oder Risiken generell minimieren und im Falle von Sicherheitsvorfällen eine rasche und adäquate Reaktion ermöglichen. Das führt einerseits zu gesetzlichen Vorgaben bei Sicherheitsvorkehrungen, die in vielen Fällen Unternehmen vor neue Herausforderungen stellen werden. Eine genauere Beschreibung der zu setzenden Maßnahmen fehlt aber wie bereits in der DSGVO auch im NISG. Die verpflichtende Meldung ist im Hinblick auf die hohe Dunkelziffer bei Cyberangriffen durchaus sinnvoll und kann möglicherweise in vielen Fällen einen weiteren Angriff verhindern bzw. Eindämmen. Auch für eine umfassende Cybersicherheitsstrategie ist ein Überblick und die Dokumentation von Angriffen und anderen Vorfällen wesentlich.
[/lindepaywall]