Am 9. Oktober 2024 wurden eine Reihe von cybersicherheitsbezogenen Vorschriften dem australischen Parlament vorgelegt. Diese Reihe wird als „Cyber Security Legislative Package“ bezeichnet und besteht aus:
- der “Cyber Security Bill 2024” (kurz: Cyber Security Bill),
- der “Security of Critical Infrastructure and Other Legislation Amendment (Enhanced Response and Prevention) Bill 2024” (kurz: SOCI Bill) und
- der “Intelligence Services and Other Legislation Amendment (Cyber Security) Bill 2024” (kurz: IS Bill).
Diese einzelnen Rechtsakte ähneln den bekannten Vorschriften, welche wir bereits in der EU mit dem Cyber Resilience Act (CRA), der NIS-2-Richtlinie (EU) 2022/2555 und in UK mit dem PSTI-Gesetz kennenlernen durften und bedienen sich dieser in unterschiedlicher Ausprägung.
Cyber Security Bill
Betroffene Produkte sind von ihrer Definition her den "verbindungsfähigen Produkten" wie im PSTI-Gesetz angelehnt. Die Cyber Security Bill definiert ebenfalls das “internet-connectable product” und das “network-connectable product“. Die Begrifflichkeit „Produkte mit digitalen Elementen“ wie wir es aus dem CRA kennen, wird hier nicht verwendet.
Wir können jedoch keine Einschränkungen bei der Zielgruppe ausmachen. Die Cyber Security Bill adressiert nicht nur Produkte für Verbraucher, sondern uneingeschränkt auch Produkte für professionelle Nutzer und unterscheidet sich damit maßgeblich von UK’s PSTI-Gesetz.
Das Konformitätsbewertungsverfahren wird mit einem „statement of compliance“ abgeschlossen, welches die Hersteller den "verbindungsfähigen Produkten" beifügen müssen. Hier wird sich wiederum an UK’s PSTI-Gesetz angelehnt.
Im Fall eines Sicherheitsvorfalls muss, wie üblich, an vorgeschriebene Behörden Bericht erstattet werden.
SOCI Bill
Die NIS-2-Richtlinie (EU) 2022/2555 unterscheidet die Anforderungen zwischen "essential entities" (wesentliche Einrichtungen) und "important entities" (wichtige Einrichtungen). Wesentliche Einrichtungen sind systemkritische Organisationen, während wichtige Einrichtungen solche mit weniger kritischen Funktionen sein können, die dennoch potenziell schwerwiegende Auswirkungen auf die Sicherheit haben können. „Essential entities“ unterliegen strikteren Anforderungen und stärkeren Sanktionen. „Important entities“ haben ebenfalls Verpflichtungen, jedoch etwas mildere Anforderungen.
Diese Unterscheidung macht die SOCI-Bill nicht und zielt auf Organisationen ab, die als Betreiber von kritischen Infrastrukturen definiert sind. Diese Sektoren sind unter anderem im „Security of Critical Infrastructure Act 2018“ beschrieben.
Ähnlich der NIS-2-Richtlinie (EU) 2022/2555 sind jedoch die verschärften Meldepflichten und die Pflicht eines umfassenden Risikomanagements.
Für Fragen oder weitere Unterstützung stehen wir Ihnen gern zur Verfügung. Mehr zum Thema Cybersecurity lesen Sie auch hier.
Autor
Benjamin Kerger (B. Eng.)
Product Compliance Consultant
