Ermittlung kritischer Einrichtungen

§ 11.

(1) Der Bundesminister für Inneres hat auf Grundlage der gemäß § 9 erstellten Strategie sowie der gemäß § 10 durchgeführten Risikoanalyse in den im Anhang der RKE‑RL angeführten Kategorien von Einrichtungen der gelisteten Sektoren und Teilsektoren Einrichtungen bescheidmäßig als kritisch einzustufen, wenn

1. 1. sie im Inland tätig sind,
2. 2. sich deren kritische Infrastruktur im Inland befindet,
3. 3. sie einen wesentlichen Dienst (§ 3 Z 6) erbringen und
4. 4. bei Erbringung dieses wesentlichen Dienstes ein Sicherheitsvorfall eintreten kann.

• Einrichtungen haben an der Feststellung des für die Einstufung maßgeblichen Sachverhalts mitzuwirken.

(2) Der Bundesminister für Inneres ist verpflichtet, durch Verordnung festzulegen, ob gemäß Abs. 1 Z 4 ein Sicherheitsvorfall eintreten kann. Dabei sind folgende Parameter zu berücksichtigen:

1. 1. die Zahl der Nutzer, die den von der jeweiligen Einrichtung erbrachten wesentlichen Dienst gemäß Abs. 1 Z 3 in Anspruch nehmen;
2. 2. das Ausmaß der Abhängigkeit anderer im Anhang der RKERL gelisteter Sektoren sowie Teilsektoren von dem von der Einrichtung erbrachten wesentlichen Dienst;
3. 3. die möglichen Auswirkungen von Sicherheitsvorfällen auf wirtschaftliche und gesellschaftliche Tätigkeiten, die Umwelt, die öffentliche Ordnung oder Sicherheit oder die Gesundheit der Bevölkerung;
4. 4. der Marktanteil der jeweiligen Einrichtung auf dem Markt für wesentliche Dienste oder für die betreffenden wesentlichen Dienste;
5. 5. das geografische Gebiet, das von einem Sicherheitsvorfall betroffen sein könnte, einschließlich allfälliger grenzüberschreitender Auswirkungen;
6. 6. die Bedeutung der Einrichtung für die Aufrechterhaltung des wesentlichen Dienstes in ausreichendem Umfang, unter Berücksichtigung der Verfügbarkeit von alternativen Mitteln für die Erbringung des jeweiligen wesentlichen Dienstes.

(3) In dem gemäß Abs. 1 erlassenen Bescheid sind kritische Einrichtungen über ihre Verpflichtungen gemäß den Abs. 5 bis 7 und 9 zweiter Satz sowie den §§ 14, 15, 17 und 19 Abs. 1 zu informieren.

(4) In dem gemäß Abs. 1 erlassenen Bescheid sind kritische Einrichtungen in den im Anhang der RKE‑RL gelisteten Sektoren digitale Infrastruktur, Bankwesen und Finanzmarktinfrastrukturen darüber zu informieren, dass die Verpflichtungen gemäß den Abs. 5 bis 7 sowie den §§ 14, 15, 17 und 19 auf sie keine Anwendung finden.

(5) Kritische Einrichtungen haben dem Bundesminister für Inneres innerhalb von vier Wochen nach bescheidmäßiger Einstufung gemäß Abs. 1 eine zentrale Kontaktstelle sowie mindestens eine Ansprechperson zu benennen und sind diesbezügliche Änderungen unverzüglich, längstens jedoch binnen zwei Wochen bekanntzugeben, wobei die Erreichbarkeit der zentralen Kontaktstelle jedenfalls für jenen Zeitraum sicherzustellen ist, in dem kritische Einrichtungen ihre wesentlichen Dienste erbringen.

(6) Kritische Einrichtungen, die über keine Abgabestelle im Inland verfügen, haben dem Bundesminister für Inneres einen Zustellungsbevollmächtigten gemäß § 9 des Zustellgesetzes (ZustG), BGBl. Nr. 200/1982, namhaft zu machen.

(7) Zudem haben kritische Einrichtungen ohne Niederlassung im Inland für die Einhaltung der Verwaltungsvorschriften nach diesem Bundesgesetz dem Bundesminister für Inneres einen verantwortlichen Beauftragten gemäß § 9 des Verwaltungsstrafgesetzes 1991 (VStG), BGBl. Nr. 52/1991, namhaft zu machen.

(8) Fallen die Voraussetzungen für die Erlassung des Bescheids gemäß Abs. 1 nachträglich weg, ist der Bescheid unverzüglich nach Kenntnis des Wegfalls aufzuheben.

(9) Der Bundesminister für Inneres hat eine Liste mit den ermittelten kritischen Einrichtungen zu erstellen, diese in regelmäßigen Abständen, längstens jedoch alle vier Jahre zu überprüfen und gegebenenfalls anzupassen. Kritische Einrichtungen haben dem Bundesminister für Inneres Änderungen des für die Einstufung maßgeblichen Sachverhalts unverzüglich bekanntzugeben.

(10) Der Bundesminister für Inneres ist verpflichtet, jenen Behörden, die in Umsetzung des Art. 8 Abs. 1 NIS‑2-RL als zuständige Behörden benannt oder eingerichtet wurden, innerhalb eines Monats nach bescheidmäßiger Einstufung die Identität der ermittelten kritischen Einrichtungen einschließlich des Sektors sowie des Teilsektors, in dem diese Einrichtungen ihren wesentlichen Dienst erbringen, bekanntzugeben.

Zuletzt aktualisiert am

16.10.2025

Gesetzesnummer

20012981

Dokumentnummer

NOR40272129