Austria ustala wymogi zarządzania ryzykiem cyberbezpieczeństwa i kryteria poważnych incydentów
Austriacki organ cyberbezpieczeństwa (Cybersicherheitsbehörde) wydał rozporządzenie (NISV 2026), które ustanawia konkretne wymogi dla zarządzania ryzykiem cyberbezpieczeństwa i definiuje, gdy incydent cybernetyczny jest uważany za poważny.
Co się zmieniło
Rozporządzenie ustanawia konkretne wymogi zarządzania ryzykiem dla obiektów o istotnym znaczeniu (wesentliche und wichtige Einrichtungen), stosuje przepisy wdrażające UE do austriackich organizacji i określa dziewięć kryteriów, które automatycznie klasyfikują incydent cybernetyczny jako poważny – w tym straty finansowe powyżej 500 000 EUR, ujawnienie tajemnic handlowych, śmierć lub poważne uszkodzenie zdrowia, przerwy w usługach dla 100 000+ użytkowników lub 10% użytkowników (w zależności od tego, która liczba jest niższa) przez więcej niż 24 godziny, lub przerwy geograficzne w co najmniej jednym austriackim landzie przez więcej niż 24 godziny.
Kogo to dotyczy
Obiekty o istotnym znaczeniu (wesentliche und wichtige Einrichtungen), takie jak operatorzy infrastruktury krytycznej, platformy online, dostawcy usług w chmurze, centra danych, dostawcy usług DNS i dostawcy usług zaufania, muszą przestrzegać przepisów cyberbezpieczeństwa zgodnie z austriacką Ustawą o bezpieczeństwie sieci i systemów informacyjnych 2026 (NISG 2026).
Na co zwrócić uwagę
Obiekty muszą brać pod uwagę cztery kategorie ryzyka: ryzyka technologiczne, ryzyka związane z człowiekiem, ryzyka w łańcuchu dostaw ICT i ryzyka związane z lokalizacją sieci i systemów informacyjnych. Jeśli nie możesz spełnić wymogu ze względu na rozmiar lub czasowo, musisz wdrożyć środki kompensacyjne (Kompensierende Maßnahmen), dokumentować je z uzasadnieniem i regularnie, przynajmniej rocznie, sprawdzać ich skuteczność. Planowana konserwacja i zaplanowane przestoje nie są uważane za poważne incydenty; jednak powtarzające się incydenty o tej samej przyczynie w ciągu sześciu miesięcy, które łącznie spełniają kryteria finansowe lub wpływu, są uważane za jeden poważny incydent.