RKEG-Leitfaden - Einfach erklärt Teil 2: Allgemeine Grundlagen und Anwendung
Allgemeine Grundlagen (Z 0)
Das Resilienz kritischer Einrichtungen-Gesetz (RKEG, BGBl. I Nr. 60/2025) setzt die EU-Richtlinie (EU) 2022/2557 in österreichisches Recht um und zielt darauf ab, die Widerstandsfähigkeit kritischer Einrichtungen zu stärken, um die Kontinuität wesentlicher Dienste – wie Energie, Verkehr, Gesundheit oder digitale Infrastruktur – zu sichern. Der Fokus liegt auf der Aufrechterhaltung dieser Dienste und nicht auf dem Schutz der Einrichtung als Unternehmen.
Ein Sicherheitsvorfall im Sinne des RKEG ist ein Ereignis, das die Erbringung des wesentlichen Dienstes erheblich stören oder unterbrechen könnte. Präventive Maßnahmen setzen bereits bei der Vermeidung von Ursachen und Wirkungsketten an, die zu solchen Vorfällen führen können. Auch Beinahe-Sicherheitsvorfälle sind zu berücksichtigen, da sie wertvolle Erkenntnisse für die Resilienz liefern.
Risikoanalyse und rechtlicher Rahmen
Die Resilienz kritischer Einrichtungen-Verordnung (RKEV, BGBl. II Nr. 91/2026) konkretisiert die Meldeschwellen für Sicherheitsvorfälle. Diese variieren je nach Sektor und basieren auf Dauer, Ausmaß oder kombinierten Messgrößen wie Nutzerstunden. Kritische Einrichtungen müssen ihre einrichtungsinterne Risikoanalyse auf der nationalen Risikoanalyse des Bundesministeriums für Inneres aufbauen. Beide Analysen bilden die Grundlage für die Art, den Umfang und die Priorisierung der Resilienzmaßnahmen.
Das RKEG berührt nicht den Anwendungsbereich der NIS-2-Richtlinie, da Cybersicherheit aus dem RKEG ausgenommen ist. Dennoch ist eine koordinierte Umsetzung beider Regelwerke erforderlich, um Synergien zu nutzen und Doppelgleisigkeiten zu vermeiden.
Drei Säulen des Anforderungsrahmens
Die Anforderungen an Resilienzmaßnahmen basieren auf:
- RKEG als gesetzliche Grundlage,
- EU-Guidelines als inhaltliche Konkretisierung,
- Europäische und nationale Normen als technischer Umsetzungsrahmen.
Die Leitfäden übersetzen diese Säulen in einen praktischen Anforderungsrahmen für kritische Einrichtungen.
Geeignetheit und Verhältnismäßigkeit
Resilienzmaßnahmen müssen geeignet und verhältnismäßig sein. Geeignetheit bedeutet, dass Maßnahmen risikobasiert sind und die Resilienz der Einrichtung bei der Erbringung des wesentlichen Dienstes sichern. Verhältnismäßigkeit erfordert, dass Maßnahmen notwendig und hinreichend, aber nicht übermäßig sind. Die Beurteilung erfolgt auf Basis der nationalen und einrichtungsinternen Risikoanalyse.
Aufbau der Leitfäden
Die Leitfäden zu § 15 Abs. 2 RKEG bestehen aus sieben Teilen:
- Z 0: Allgemeine Grundlagen (rechtlicher Rahmen, Geeignetheit und Verhältnismäßigkeit, Konformitätsvermutung).
- Z 1–Z 6: Einzelleitfäden zu den Maßnahmenbereichen (z. B. Verhinderung von Sicherheitsvorfällen, physischer Schutz, Abwehr und Bewältigung von Vorfällen).
Die Leitfäden bilden ein zusammenhängendes System, das den gesamten Resilienzkreislauf abdeckt. Resilienz entsteht erst durch das Zusammenspiel aller Maßnahmen.
Allgemeine Grundsätze für Resilienzmaßnahmen
- Resilienz als Führungsaufgabe: Resilienz ist eine Verantwortung der Führungsebene. Kritische Einrichtungen sollen Resilienzziele festlegen, Strategien beschließen und regelmäßig überprüfen.
- Resilienzplan und Dokumentation: Alle Maßnahmen sind in einem Resilienzplan zu dokumentieren, der als zentrales Steuerungsinstrument dient.
- Zusammenarbeit mit Behörden: Kritische Einrichtungen sollen die Zusammenarbeit mit Behörden und Einsatzorganisationen formalisieren, um Informationsaustausch und Koordination zu sichern.
- Kohärenz im Maßnahmenbereich: Bestehende Maßnahmen sollen integriert und nicht parallel aufgebaut werden.
- Ganzheitlicher Ansatz: Resilienzmaßnahmen müssen sektorübergreifend und unter Berücksichtigung von Interdependenzen (z. B. Lieferketten, Cyberbedrohungen) geplant werden.