Avusturya siber güvenlik risk yönetimi gereksinimlerini ve önemli olayların kriterlerini belirliyor
Avusturya Siber Güvenlik Kurumu (Cybersicherheitsbehörde), siber güvenlik risklarını yönetmek için gerekli tedbirleri belirleyen bir yönetmelik (NISV 2026) yayınladı ve bir siber olayın ne zaman "önemli" sayılacağını tanımladı.
Ne değişti
Yönetmelik, kritik öneme sahip tesisler (wesentliche und wichtige Einrichtungen) için somut risk yönetimi gereksinimlerini belirler, AB uygulama kurallarını Avusturya kuruluşlarına uygulanır ve bir siber olayı otomatik olarak önemli olarak sınıflandıran dokuz kriteri tanımlar – bunlara 500 000 EUR'den fazla finansal kayıplar, ticari sırların ifşası, ölüm veya ciddi sağlık zararı, 100 000+ kullanıcı veya kullanıcıların %10'u (hangisi daha düşükse) için 24 saatten fazla hizmet kesintileri veya en az bir Avusturya eyaletinde 24 saatten fazla coğrafi kesintiler dahildir.
Kime etkisi var
Kritik altyapı operatörleri, çevrimiçi platformlar, bulut hizmet sağlayıcıları, veri merkezleri, DNS sağlayıcıları ve güven hizmetleri sağlayıcıları gibi kritik öneme sahip tesisler, Avusturya'nın 2026 Ağ ve Bilgi Sistemleri Güvenliği Yasası'nın (NISG 2026) siber güvenlik kurallarına uymalıdır.
Nelere dikkat edilmeli
Tesisler dört risk kategorisini dikkate almalıdır: teknolojik riskler, insan riskleri, BİT tedarik zinciri riskleri ve ağlar ile bilgi sistemleri için konum tabanlı riskler. Kurum büyüklüğü veya geçici nedenlerle bir gereksinime uyamazsenız, telafi edici tedbirler (Kompensierende Maßnahmen) uygulamalı, bunları açıklama ile belgelemelisiniz ve etkinliklerini en az yıllık kontrol etmelisiniz. Planlı bakım ve planlı kesintiler önemli olaylar olarak sayılmaz; ancak altı ay içinde aynı nedenden kaynaklanan ve toplu olarak finansal veya etki kriterlerini karşılayan tekrar eden olaylar bir önemli olay olarak sayılır.