Австрія встановлює вимоги до управління кіберризиками та критерії для значних інцидентів
Австрійський орган кібербезпеки (Cybersicherheitsbehörde) видав постанову (NISV 2026), яка встановлює конкретні вимоги до управління ризиками кібербезпеки та визначає, коли кіберінцидент вважається значним.
Що змінилося
Постанова встановлює конкретні вимоги до управління ризиками для критично важливих установ (wesentliche und wichtige Einrichtungen), застосовує норми ЄС до австрійських організацій і визначає дев'ять критеріїв, які автоматично класифікують кіберінцидент як значний – включаючи фінансові збитки понад 500 000 EUR, витік комерційних таємниць, смерть або серйозні порушення здоров'я, перерви в обслуговуванні для 100 000+ користувачів або 10% користувачів (залежно від того, яка цифра менша) більш ніж на 24 години або географічні перерви щонайменше в одній австрійській землі більш ніж на 24 години.
Кого це стосується
Критично важливі установи (wesentliche und wichtige Einrichtungen), такі як оператори критичної інфраструктури, онлайн-платформи, постачальники хмарних послуг, центри обробки даних, постачальники послуг DNS та постачальники послуг довіри, повинні дотримуватися норм кібербезпеки згідно з Австрійським законом про безпеку мереж та інформаційних систем 2026 (NISG 2026).
На що звернути увагу
Установи повинні враховувати чотири категорії ризику: технологічні ризики, людські ризики, ризики в ланцюгу поставок ІКТ та географічні ризики для мереж та інформаційних систем. Якщо ви не можете виконати вимогу через розмір або тимчасово, ви повинні впровадити компенсаційні заходи (Kompensierende Maßnahmen), документувати їх з обґрунтуванням і регулярно, щонайменше щорічно, перевіряти їх ефективність. Планове технічне обслуговування та планові простої не вважаються значними інцидентами; однак повторювані інциденти з однією причиною протягом шести місяців, які в сукупності відповідають фінансовим або критеріям впливу, вважаються одним значним інцидентом.