Австрия устанавливает требования к управлению киберугрозами и критерии значительных инцидентов
Австрийский орган кибербезопасности (Cybersicherheitsbehörde) издал постановление (NISV 2026), которое устанавливает конкретные требования к управлению рисками кибербезопасности для критически важных объектов и определяет, когда киберинцидент считается значительным.
Что изменилось
Постановление устанавливает конкретные требования к управлению рисками для критически важных объектов (wesentliche und wichtige Einrichtungen), применяет нормы ЕС к австрийским организациям и определяет девять критериев, которые автоматически классифицируют киберинцидент как значительный – включая финансовые убытки более 500 000 евро, утечку коммерческих тайн, смерть или серьёзный ущерб здоровью, сбой услуг для 100 000+ пользователей или 10% пользователей (в зависимости от того, какая цифра ниже) на более чем 24 часа, или территориальные сбои в минимум одной федеральной земле на более чем 24 часа.
Кого касается
Критически важные объекты (wesentliche und wichtige Einrichtungen), такие как операторы критической инфраструктуры, онлайн-платформы, поставщики облачных услуг, центры обработки данных, поставщики услуг DNS и поставщики услуг доверия, должны соблюдать правила кибербезопасности согласно австрийскому Закону о безопасности сетей и информационных систем 2026 (NISG 2026).
На что обратить внимание
Объекты должны учитывать четыре категории рисков: технологические риски, человеческие риски, риски в цепи поставок ИКТ и территориальные риски для сетей и информационных систем. Если вы не можете выполнить требование из-за размера организации или временно, вы должны внедрить компенсирующие меры (Kompensierende Maßnahmen), документировать их с обоснованием и проверять их эффективность как минимум ежегодно. Запланированное техническое обслуживание и плановые остановки не считаются значительными инцидентами; однако повторяющиеся инциденты с одной и той же причиной в течение шести месяцев, которые в совокупности соответствуют финансовым или критериям воздействия, считаются одним значительным инцидентом.