Gastkommentar: Cybersicherheitsgesetz – vielgehacktes Österreich gegen gezielte Angriffe

Als wesentlicher Teil der Europäischen Cybersicherheitsstrategie wurde am 06.07.2016 eine Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union (NIS-RL) veröffentlicht, die bis zum 10.5.2018 von den Mitgliedsstaaten [...]

Als wesentlicher Teil der Europäischen Cybersicherheitsstrategie wurde am 06.07.2016 eine Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union (NIS-RL) veröffentlicht, die bis zum 10.5.2018 von den Mitgliedsstaaten umzusetzen ist. Ziel der Cybersicherheits-Richtlinie ist es, die Abwehrbereitschaft gegen Cyberattacken im Privatsektor zu stärken und ein EU-weites hohes Niveau an Netzwerk- und Informationssicherheit zu gewährleisten, um den Umgang mit Cyberkriminalität, wie etwa Cyber-Großangriffen, zu verbessern.
Betroffen sind Betreiber wesentlicher Dienste (kritische Infrastrukturen wie Energie, Verkehr, Bank- und Gesundheitswesen, digitale Infrastruktur) und Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, Cloud-Computing-Dienste). Angriffe auf oder Ausfälle dieser Dienste (sog. Sicherheitsvorfälle) stellen eine erhebliche Störung dar, sie sind für gesellschaftliche und/oder wirtschaftliche Tätigkeiten unerlässlich. 
Liegt ein solcher Sicherheitsvorfall vor, müssen betroffene österreichische Unternehmen im privaten und öffentlichen Sektor künftig den zuständigen Behörden oder dem Computer-Notfallteam unverzüglich Meldung erstatten. Des Weiteren besteht die Verpflichtung, angemessene IT-Sicherheitsmaßnahmen zur Vermeidung sowie Minimierung der Auswirkungen von IT-Vorfällen einzuführen.
Für betroffene Einrichtungen ist es nun notwendig, zu prüfen, ob als Anbieter kritischer Infrastrukturen Umsetzungsbedarf für notwendige Präventivmaßnahmen (Notfallpläne, Sicherheitsrücklagen) besteht. Ratsam ist die Einführung eines IT-Störungsmanagement Systems (sog. Incident-Management) zur Dokumentation von kritischen Sicherheitsvorfällen, Früherkennung der Gefährdung von Kernleistungen und Erstellung von Notfallplänen. Abzuwarten bleibt, wie die Meldepflicht bzw. ein möglicher freiwilliger Informationsaustausch und erlaubte Maßnahmen zur Ereignisbewältigung (z.B.: Hack-Back) konkret vom österreichischen Gesetzgeber gestaltet werden.
Andreas Schütz | Taylor Wessing