§ 8 Risikomanagementmaßnahmen

Permalink zu Abs. 1recht.nulegal.eu/gesetze/InfoSiG%20NRW/8#abs-1 Kopieren ⧉(1) Die wichtigen Behörden müssen sicherstellen, dass geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergriffen werden, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die diese Behörden für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen und die Auswirkungen von Sicherheitsvorfällen auf die Empfängerinnen und Empfänger ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten. Die in Satz 1 genannten Maßnahmen müssen unter Berücksichtigung des Stands der Technik und gegebenenfalls der einschlägigen internationalen, europäischen und nationalen Normen sowie der Kosten der Umsetzung ein Sicherheitsniveau der Netz- und Informationssysteme gewährleisten, das dem bestehenden Risiko angemessen ist. Bei der Bewertung der Verhältnismäßigkeit dieser Maßnahmen sind das Ausmaß der Risikoexposition der wichtigen Behörde, die Größe der wichtigen Behörde und die Wahrscheinlichkeit des Eintretens von Sicherheitsvorfällen und deren Schwere, einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen, gebührend zu berücksichtigen.

Permalink zu Abs. 2recht.nulegal.eu/gesetze/InfoSiG%20NRW/8#abs-2 Kopieren ⧉(2) Die in Absatz 1 genannten Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen, der darauf abzielt, die Netz- und Informationssysteme und die physische Umwelt dieser Systeme vor Sicherheitsvorfällen zu schützen, und zumindest Folgendes umfassen:

1. Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme,

2. die Bewältigung von Sicherheitsvorfällen,

3. die Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement,

4. die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Behörden und ihren unmittelbaren Anbieterinnen und Anbietern oder Diensteanbietern,

5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen,

6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Netz- und Informationssicherheit,

7. grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Netz- und Informationssicherheit,

8. Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung,

9. die Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen und

10. die Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der wichtigen Behörde.

Permalink zu Abs. 3recht.nulegal.eu/gesetze/InfoSiG%20NRW/8#abs-3 Kopieren ⧉(3) Die wichtigen Behörden haben bei der Erwägung geeigneter Maßnahmen nach Absatz 2 Nummer 4 die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieterinnen oder Anbieter und Diensteanbieter sowie die Gesamtqualität der Produkte und der Sicherheitspraxis ihrer Anbieterinnen oder Anbieter und Diensteanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse, zu berücksichtigen. Sie müssen bei der Erwägung geeigneter Maßnahmen nach Absatz 2 Nummer 4 die Ergebnisse der durchgeführten koordinierten Risikobewertungen in Bezug auf die Sicherheit kritischer Lieferketten berücksichtigen.

Permalink zu Abs. 4recht.nulegal.eu/gesetze/InfoSiG%20NRW/8#abs-4 Kopieren ⧉(4) Sofern eine wichtige Behörde feststellt, dass sie den in Absatz 1 genannten Maßnahmen nicht nachkommt, hat sie unverzüglich alle erforderlichen, angemessenen und verhältnismäßigen Korrekturmaßnahmen zu ergreifen.

Permalink zu Abs. 5recht.nulegal.eu/gesetze/InfoSiG%20NRW/8#abs-5 Kopieren ⧉(5) Sofern die Europäische Kommission Durchführungsrechtsakte zur Festlegung der technischen und methodischen Anforderungen an die in Absatz 2 genannten Maßnahmen erlässt, sind diese zu beachten.

Permalink zu Abs. 6recht.nulegal.eu/gesetze/InfoSiG%20NRW/8#abs-6 Kopieren ⧉(6) Die Leitungsorgane der wichtigen Behörden haben die nach Absatz 2 ergriffenen Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen. Die für die wichtigen Behörden geltenden Haftungsregelungen bleiben, wie die Haftung von öffentlichen Bediensteten und gewählten oder ernannten Amtsträgerinnen und -trägern, unberührt. Die Leitungsorgane nach Satz 1 müssen an Schulungen teilnehmen und bieten ihren Beschäftigten regelmäßig entsprechende Schulungen an, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken sowie Managementpraktiken im Bereich der Netz- und Informationssicherheit und deren Auswirkungen auf die von der wichtigen Behörde erbrachten Dienste zu erwerben.