Austrija utvrđuje zahtjeve za upravljanje kibernetičkim rizicima i kriterije za značajne incidente
Austriski Organ za kibernetičku sigurnost (Cybersicherheitsbehörde) izdao je uredbu (NISV 2026) koja uspostavljava konkretne zahtjeve za upravljanje rizicima kibernetičke sigurnosti i definiše kada se kibernetički incident smatra značajnim.
Što je promijenjeno
Uredba uspostavljava konkretne zahtjeve za upravljanje rizicima za važne ustanove (wesentliche und wichtige Einrichtungen), primjenjuje EU pravila na austrijske organizacije i definira devet kriterija koji automatski klasifikuju kibernetički incident kao značajan – uključujući finansijske gubitke veće od 500 000 EUR, curenje poslovnih tajni, smrt ili ozbiljna ozljeda zdravlja, prekid usluga za 100 000+ korisnika ili 10% korisnika (koje god je manje) duže od 24 sata, ili geografski prekidi u najmanje jednoj austrijskoj pokrajini duže od 24 sata.
Koga se to tiče
Važne ustanove (wesentliche und wichtige Einrichtungen), kao što su operteri kritične infrastrukture, internetske platforme, pružaoci usluga u oblaku, centri obrade podataka, DNS pružaoci i pružaoci usluga povjerenja, moraju se pridržavati pravila kibernetičke sigurnosti prema Austrijskom zakonu o sigurnosti mreža i informacijskih sistema 2026 (NISG 2026).
Na što treba paziti
Ustanove moraju uzeti u obzir četiri kategorije rizika: tehnološke rizike, ljudske rizike, rizike u ICT lancu nabave i lokacijske rizike za mreže i informacijske sisteme. Ako ne možete ispuniti zahtjev zbog veličine ili privremeno, morate uvesti kompenzirajuće mjere (Kompensierende Maßnahmen), dokumentirati ih s obrazloženjem i redovito, najmanje godišnje, provjeravati njihovu učinkovitost. Planirana održavanja i planirani prekidi se ne smatraju značajnim incidentima; međutim, ponovljeni incidenti s istim uzrokom unutar šest mjeseci koji zajedno ispunjavaju financijske ili kriterije utjecaja smatraju se jednim značajnim incidentom.