projekte
LVwG-S-331/001-2025•LVwG N LVwG-S-331/001-2025
LVwG-S-331/001-2025Landesverwaltungsgericht27.03.2025
Infrastruktur und Technik; Netz- und Informationssysteme; Verwaltungsstrafe; Sicherheitsvorkehrungen; <br/>Nachweis;<br/>
IM NAMEN DER REPUBLIK
Das Landesverwaltungsgericht Niederösterreich erkennt durch den Richter Mag. Schnabl über die Beschwerde des Herrn A, ***, ***, vertreten durch B, Rechtsanwalt in ***, ***, gegen das Straferkenntnis des Bürgermeisters der Stadt *** vom 17.01.2025, GZ. ***, betreffend Bestrafungen nach dem Netz- und Informationssystemsicherheitsgesetz (NISG),
zu Recht:
1. Der Beschwerde wird gemäß § 50 Verwaltungsgerichtsverfahrensgesetz (VwGVG) Folge gegeben, das angefochtene Straferkenntnis aufgehoben und das Verwaltungsstrafverfahren gemäß § 45 Abs. 1 Z. 1 Verwaltungsstrafgesetz 1991 (VStG) eingestellt.
2. Gegen dieses Erkenntnis ist gemäß § 25a Verwaltungsgerichtshofgesetz 1985 (VwGG) eine ordentliche Revision an den Verwaltungsgerichtshof nach Art. 133 Abs. 4 Bundes-Verfassungsgesetz (B-VG) nicht zulässig.
Entscheidungsgründe:
1. Zum verwaltungsbehördlichen Verfahren:
Mit dem Straferkenntnis des Bürgermeisters der Stadt *** vom 17.01.2025, GZ. ***, wurde dem Beschwerdeführer Folgendes zur Last gelegt:
„Sie haben folgende Verwaltungsübertretungen begangen:
Zeit: 05.06.2024
Ort: Bundesminister für Inneres bei Bundesministerium für Inneres, ***, ***
Tatbeschreibung:
1. Als Geschäftsführer der C GmbH (FN ***) haben Sie es zu verantworten, dass nicht fristgerecht eine Dokumentation oder Vorgaben für erlaubte Kommunikation und Schnittstellen zwischen den Netzwerksegmenten unterschiedlicher Schutzklassen umgesetzt und es keine dokumentierte Verfahren die Zugriff auf Netzwerke, die Überwachung derselben oder auch Datenaustausuch über entsprechende Netzwerksegmente hinweg definieren, erstellt wurden und wurde dies gegenüber dem Bundesminister für Inneres nicht nach § 17 Abs. 1 u. 3 NISG fristgerecht nachgewiesen.
2. Als Geschäftsführer der C GmbH (FN ***) haben Sie es zu verantworten, dass der Netzwerkverkehr innerhalb des Netzwerks weitgehend ungefiltert ist, da der Verkehr zwischen Netzwerksegmenten nicht über Firewalls funktioniert und daher wurde eine Filterung des Verkehrs auch zwischen Netzwerksegmenten, dem Stand der Technik angemessen, nicht fristgerecht umgesetzt.
3. Als Geschäftsführer der C GmbH (FN ***) haben Sie es zu verantworten, dass kein implementiertes System, das auf Basis von Protokolldaten in der Lage ist, sicherheitsrelevante Vorfälle zu erkennen und kein Prozess oder Informationssystem, dass es ermöglichen würde Protokolldaten zu korrrelieren, analysieren und in Folge auch Vorfallsbearbeitung damit abzuhandeln, existiert.
Sie haben dadurch folgende Rechtsvorschriften verletzt:
zu 1. Bescheid des Bundeskanzlers vom 31.05.2021 (GZ: ***) iVm § 17 Abs. 1 u. 3 Netz- und Informationssystemsicherheitsgesetz (NISG) BGBl. I Nr. 111/2018 iVm 3.3. der Anlage 1 der Verordnung des Bundesministers für EU, Kunst, Kultur und Medien zur Festlegung von Sicherheitsvorkehrungen und näheren Regelungen zu den Sektoren sowie zu Sicherheitsvorfällen nach dem Netz- und Informationssystemsicherheitsgesetz (Netz- und Informationssystemsicherheitsverordung – NISV) BGBl. II Nr. 215/2019
zu 2. Bescheid des Bundeskanzlers vom 31.05.2021 (GZ: ***) iVm § 17 Abs. 1 u. 3 Netz- und Informationssystemsicherheitsgesetz (NISG) BGBl. I Nr. 111/2018 iVm 3.4. der Anlage 1 der Verordnung des Bundesministers für EU, Kunst, Kultur und Medien zur Festlegung von Sicherheitsvorkehrungen und näheren Regelungen zu den Sektoren sowie zu Sicherheitsvorfällen nach dem Netz- und Informationssystemsicherheitsgesetz (Netz- und Informationssystemsicherheitsverordung – NISV) BGBl. II Nr. 215/2019
zu 3. Bescheid des Bundeskanzlers vom 31.05.2021 (GZ: ***) iVm § 17 Abs. 1 u. 3 Netz- und Informationssystemsicherheitsgesetz (NISG) BGBl. I Nr. 111/2018 iVm 8.3. der Anlage 1 der Verordnung des Bundesministers für EU, Kunst, Kultur und Medien zur Festlegung von Sicherheitsvorkehrungen und näheren Regelungen zu den Sektoren sowie zu Sicherheitsvorfällen nach dem Netz- und Informationssystemsicherheitsgesetz (Netz- und Informationssystemsicherheitsverordung – NISV) BGBl. II Nr. 215/2019
Wegen dieser Verwaltungsübertretungen werden über Sie folgende Strafen verhängt:
Geldstrafen vonfalls diese uneinbringlich ist, Gemäß
Ersatzfreiheitsstrafen von
zu 1. € 10.000,00 67 Stunden § 26 Abs. 1 Z 2 Netz- und
Informationssystemsicherheitsgesetz
(NISG) BGBl. I Nr. 111/2018
zu 2. € 10.000,00 67 Stunden § 26 Abs. 1 Z 2 Netz- und
Informationssystemsicherheitsgesetz
(NISG) BGBl. I Nr. 111/2018
zu 3. € 10.000,00 67 Stunden § 26 Abs. 1 Z 2 Netz- und
Informationssystemsicherheitsgesetz
(NISG) BGBl. I Nr. 111/2018
Vorgeschriebener Kostenbeitrag gemäß § 64 Abs.2 Verwaltungsstrafge-
setz 1991 (VStG), das sind 10% der Strafe, mindestens jedoch 10 Euro € 3.000,00
Gesamtbetrag: € 33.000,00“
Begründend führte dazu der Bürgermeister der Stadt *** zusammengefasst aus, dass die C GmbH, deren Geschäftsführer der Beschwerdeführer sei, mit Bescheid des Bundeskanzlers vom 31.05.2021 gemäß § 4 Abs. 1 Z 6 iVm § 16 Abs. 1 und 4 Z 1 NISG rechtskräftig als Betreiber wesentlicher Dienste im Sektor Gesundheitswesen ermittelt worden sei. Der von der C GmbH betriebene Dienst sei das Betreiben einer Leitstelle, die Durchführung von Notfallrettungstransporten unterstütze.
Gemäß § 17 Abs. 1 NISG hätten generell Betreiber wesentlicher Dienste im Hinblick auf die Netz- und Informationssysteme, die sie für die Bereitstellung des wesentlichen Dienstes nutzen würden, geeignete und verhältnismäßig technische und organisatorische Sicherheitsvorkehrungen zu treffen, welche den Stand der Technik berücksichtigen würden und dem Risiko, das mit vernünftigem Aufwand feststellbar sei, angemessen zu sein habe. Dementsprechend habe die C GmbH als Betreiber wesentlicher Dienste gemäß § 17 Abs. 3 erster Satz NISG mindestens alle drei Jahre nach Zustellung des Bescheides die Erfüllung der Anforderungen nach Abs. 1 gegenüber dem Bundesminister für Inneres nachzuweisen.
Am 05.06.2024 seien seitens der C GmbH Unterlagen übermittelt worden, welche nach Überprüfung der qualifizierten Stelle ergeben habe, dass eklatante Mängel bestehen würden. So gebe es zwar eine Aufteilung der Systeme in unterschiedlichen Netzsegmente, jedoch ohne eine dem Stand der Technik entsprechende einschränkende Wirkung auf die mögliche Netzwerkkommunikation über unterschiedliche Schutzbedarfszonen hinweg. Um die Sicherheit innerhalb von Netzwerken zu gewährleisten, gehe man nach dem Stand der Technik davon aus, dass der Netzwerksverkehr innerhalb des Segments auf das zur Erfüllung der Aufgaben Wesentliche zu begrenzen sei, was üblicher Weise mittels Filterung des erlaubten Netzwerkverkehrs zumeist auf dem Einsatz von sogenannten Firewalls erreicht werde. § 17 Abs. 1 NISG eröffne zudem den Betreibern wesentlicher Dienste durch den verankerten sogenannten „risikobasierten Ansatz“ grundsätzlich zwar einen gewissen individuellen Spielraum beim Treffen von Sicherheitsvorkehrungen bzw. der Umsetzung von Sicherheitsmaßnahmen, gegenständlich existiere jedoch kein implementiertes System, das auf Basis von Protokolldaten in der Lage sei, sicherheitsrelevante Vorfälle zu erkennen. Es existiere kein Prozess oder Informationssystem, das es ermöglichen würde, Protokolldaten zu korrelieren, analysieren und in Folge auch die Vorfallsbearbeitung damit abzuhandeln.
Die Feststellungen der qualifizierten Stelle und die Stellungnahmen der C GmbH hätten ergeben, dass die C GmbH die grundlegenden, umzusetzenden Vorgaben der NISV schon nicht erfüllt, bzw. deren Erfüllung nicht rechtzeitig nachgewiesen habe. Diese Tatbestände seien am 05.06.2024 als vollendet eingetreten. Zu diesem Zeitpunkt sei der Beschwerdeführer verantwortlicher Geschäftsführer gewesen.
Nicht zuletzt sei dem Beschwerdeführer auch nicht der Entlastungsbeweis gemäß § 5 Abs. 1 VStG in subjektiver Hinsicht gelungen.
Im Rahmen der Strafbemessung wurde vom Bürgermeister der Stadt *** erwogen, dass mildernd das Vorliegen keiner Vormerkungen und erschwerend zu werten sei, dass jede Abweichung ein Verstoß gegen die Vorgaben der NISV sei, da überhaupt keine oder keine geeignete Umsetzung der jeweiligen Sicherheitsmaßnahme erkennbar sei bzw. nachgewiesen worden sei. Dementsprechend seien die Abweichungen in ihrer Gesamtheit als umso eklatanter zu würdigen. Auch unter Berücksichtigung der sonstigen Grundsätze des § 19 VStG seien die verhängten Geldstrafen angemessen, sowohl aus spezial- als auch generalpräventiven Gründen.
In seiner fristgerecht durch seinen Rechtsvertreter mit Schriftsatz vom 17.02.2025 erhobenen Beschwerde beantragte der Beschwerdeführer, das Verwaltungsgericht möge der Beschwerde Folge geben, das angefochtene Straferkenntnis ersatzlos beheben und das Verwaltungsstrafverfahren einstellen, in eventu das angefochtene Straferkenntnis beheben und zur neuerlichen Ermittlung und Entscheidung an die belangte Behörde zurückverweisen, in eventu eine mündliche Beschwerdeverhandlung anberaumen und das Verwaltungsstrafverfahren im Anschluss hieran einzustellen, in eventu die verhängte Strafe schuldangemessen herabzusetzen.
Begründend führte dazu der Beschwerdeführer zusammengefasst aus, dass seitens des Bundesministeriums für Inneres in seiner Sachverhaltsdarstellung ausdrücklich festgehalten worden sei, dass seitens der C GmbH fristgerecht Unterlagen übermittelt worden seien, welche als Aufstellung vorhandener Sicherheitsvorkehrungen gemäß § 17 Abs. 3 NISG interpretiert worden wären. Damit werde die fristgerechte Überreichung und Übermittlung der vorhandenen Sicherheitsvorkehrungen gemäß § 17 Abs. 3 NISG entgegen des dem Beschwerdeführer zur Last gelegten Tatvorwurfes bestätigt.
Weiters habe das Bundesministerium für Inneres in seiner Stellungnahme auch ausdrücklich festgehalten, dass die übermittelte Aufstellung zwar nach Ansicht der Behörde gravierende Mängel in der geforderten Umsetzung von technischen und organisatorischen Sicherheitsvorkehrungen aufweise. Keinesfalls habe das Bundesministerium für Inneres allerdings ausgesprochen, dass keine Dokumentationen oder Vorgaben etc. oder auch, dass der Netzwerksverkehr innerhalb des Netzwerkes weitgehend ungefiltert sei oder auch, dass es kein System gebe, das sicherheitsrelevante Vorfälle erkennen könne, und kein Prozess oder Informationssystem vorhanden sei, das es ermöglichen würde, Protokolldaten zu korrelieren, analysieren und infolge auch Vorfallsbearbeitungen damit abzuhandeln. Nach Ansicht der Behörde seien die Maßnahmen lediglich nicht ausreichend. Demzufolge werde in der Stellungnahme des Bundesministeriums für Inneres vom 29.10.2024 auch im Sinne des § 17 Abs. 5 NISG eine Reihe von in einem näher definierten Maßnahmen bis zum 30.04.2025 bzw. 30.11.2025 empfohlen. Das Straferkenntnis leide demnach insgesamt an einer krassen Aktenwidrigkeit.
Sämtliche Tathandlungen seien vom Beschwerdeführer auch nicht gesetzt worden, insbesondere sei nicht der angeführte Bescheid des Bundeskanzlers vom 21.05.2021 verletzt worden. Vielmehr zeige die Gegenüberstellung der Tatvorwürfe und des Gesetzestextes, dass die vorgeworfene Tat unter eine falsche Norm subsumiert worden wäre. § 17 Abs. 1 NISG verweise ja gerade nicht auf die Anlage 1 der Verordnung des Bundesministers für EU, Kunst, Kultur und Medien, zur Festlegung von Sicherheitsvorkehrungen etc. und somit auch nicht auf den Standard des Standes der Technik. Demzufolge sei es schlichtweg falsch, dass selbst die Tatsache eines z.B. wie vorgeworfen nicht implementierten System von der belangten Behörde unter § 17 Abs. 1 NISG subsumiert werde. Auch die Subsumierung der Tat unter der Vorschrift des § 17 Abs. 3 NISG sei eben nicht möglich, weil die Anforderungen gegenüber dem Bundesministerium für Inneres nachweislich innerhalb der Frist nachgewiesen worden wären. Die Sicherheitsvorkehrungen gemäß § 11 NISV und deren Anlage 1 seien auch bloße Leitlinien und keine verbindlichen, wortwörtlich umzusetzenden Vorgaben.
Darüber hinaus übersehe die belangte Behörde und beurteile vollkommen falsch die Anwendbarkeit des § 26 Abs. 1 Z 2 NISG. So könnten sich die Empfehlungen nur auf einzelne Sicherheitsmaßnahmen beziehen, zu denen entweder kein Nachweis erbracht worden sei oder bei denen im Rahmen der Überprüfung durch die qualifizierte Stelle Sicherheitsmängel aufgedeckt worden wären. Komme der Betreiber diesen Empfehlungen bzw. dem Nachweis darüber nicht innerhalb der gesetzten Frist nach, werde die Befolgung unter Androhung einer Verwaltungsstrafe bescheidmäßig angeordnet. Erbringe der Betreiber den Nachweis nicht oder wirke er an der Einschau nicht mit, verwirkliche er eine Verwaltungsübertretung gemäß § 26 Abs. 1 Z 2 oder 3 NISG.
§ 26 Abs. 1 Z 2 NISG regle somit, dass eine Verwaltungsübertretung begehe, wer den Nachweis unter anderem nach § 17 Abs. 3 nicht erbringe. Unstrittig habe der Beschwerdeführer diesen Nachweis erbracht. § 26 Abs. 1 Z 2 NISG spreche aber eben nur von „Nicht“-Erbringen, jedoch nicht davon, dass die Strafbestimmung auch gelte, wenn Teile des Nachweises vom Bundesministerium für Inneres als mangelhaft betrachtet werden würden. Genau für diese Konstellation hat der Gesetzgeber § 17 Abs. 5 NISG und § 26 Abs. 1 Z 3 NISG vorgesehen.
Die belangte Behörde habe insgesamt auch tatsächlich keinen relevanten Sachverhalt festgestellt, da andernfalls sie hätte rechtlich feststellen müssen, dass die Vorgaben des § 17 Abs. 1 und 3 NISG erfüllt seien und kein verwaltungsstrafrechtliches Verhalten des Beschwerdeführers vorliege.
Auch habe die belangte Behörde die Fakten und Daten zur Umsetzung der Vorgaben des NISG vom 14.01.2025 nicht gewürdigt, andernfalls sie zum Ergebnis kommen hätte müssen, dass der Beschwerdeführer erst im November 2023 die Geschäftsführung übernommen habe, die sofort mit der qualifizierten Stelle die Erstellung des Audits übernommen und begleitet habe, ein neues Einsatzleitsystem zur Unterstützung der Netzwerksegmentierung angeschafft habe, etc. Ein allfälliges Verschulden des Beschwerdeführers sei deshalb allenfalls nur geringfügig.
Die Strafen seien zudem auch unverhältnismäßig hoch festgesetzt worden und würden weder dem Verschulden noch den persönlichen Einkommens- und Vermögensverhältnissen des Beschwerdeführers noch dem gesetzlichen Strafrahmen entsprechen. Der Beschwerdeführer werde auch dreimal für denselben Verstoß bestraft. Wenn überhaupt könne er nur einmal gegen § 17 Abs. 1 erster Satz NISG verstoßen haben.
3. Zum durchgeführten Ermittlungsverfahren:
Der Bürgermeister der Stadt *** legte mit Schreiben vom 18.02.2025 dem Landesverwaltungsgericht Niederösterreich den Verwaltungsstrafakt zur GZ. *** mit dem Ersuchen um Entscheidung über die Beschwerde vor, dies mit den Mitteilungen, dass von der Möglichkeit einer Beschwerdevorentscheidung kein Gebrauch gemacht und auf die Durchführung einer mündlichen Verhandlung verzichtet werde.
Das Landesverwaltungsgericht Niederösterreich hat Beweis aufgenommen durch Einsichtnahme in diesen vom Bürgermeister der Stadt *** vorgelegten Verwaltungsstrafakt.
Der Beschwerdeführer A, geboren am , ist seit 10.11.2023 gemeinsam mit D handelsrechtlicher Geschäftsführer der C GmbH zur Firmenbuchnummer FN mit Sitz in ***, ***.
Mit rechtskräftigem Bescheid des Bundeskanzlers vom 31.05.2021, GZ. ***, wurde die C GmbH gemäß § 4 Abs. 1 Z. 6 iVm § 16 Abs. 1 und 4 Z. 1 Netz- und Informationssystemsicherheitsgesetz (NISG) als Betreiber wesentlicher Dienste im Sektor Gesundheitswesen ermittelt. Der von der C GmbH betriebene wesentliche Dienst gemäß § 8 Abs. 1 Z 2 der Netz- und Informationssystemsicherheitsverordnung (NISV) ist das Betreiben einer Leitstelle, die die Durchführung von Nofallrettungstransporten unterstützt.
Beginnend mit 08.06.2021 befasste sich die C GmbH im Rahmen regelmäßiger Besprechungen und der Anstellung eigener Mitarbeiter damit, die für sie damit verbundenen rechtlichen Vorgaben in technischer Hinsicht umzusetzen. Unter anderem wurde auch das „E“ als qualifizierte Stelle damit beauftragt, ein Voraudit und ein Audit zu erstellen, um auf deren Basis die notwendigen technischen Sicherheitsvorkehrungen zu schaffen. So wurde etwa im Herbst 2023 eine neue Firewall eingerichtet. Nach Bestellung der beiden nunmehrigen neuen Geschäftsführer im November 2023 erfolgte ein weiteres Audit durch die beigezogene qualifizierte Stelle und im April 2024 die Anschaffung eines neuen Einsatzleitsystems, um die geforderte Netzwerkssegmentierung zu unterstützen.
Am 04.06.2024 übermittelte die C GmbH dem Bundesministerium für Inneres den vom „E“ erstellten NIS-Prüfbericht mit Stand 27.05.2024 und ein Prüfzeitraum vom 16.12.2023 bis 12.04.2024 im Sinne des § 17 Abs. 3 NISG, wobei in eben diesem Prüfbericht auch auf aufgedeckte Sicherheitsmängel und die Konzepte deren Behebung Bezug genommen wurde.
Eben diese Stellungnahme wurde seitens des Bundesministeriums für Inneres einer Überprüfung unterzogen und wurden der C GmbH mit Schreiben des Bundesministeriums für Inneres vom 21.10.2024 als Konsequenz daraus gemäß § 17 Abs. 5 NISG verschiedenste Empfehlungen mitgeteilt, zumal nach Ansicht des Bundesministeriums für Inneres die ihr übermittelte Aufstellung der C GmbH Mängel in der geforderten Umsetzung von technischen und organisatorischen Sicherheitsvorkehrungen darlegt. Seitens des Bundesministeriums für Inneres wurde der C GmbH gleichzeitig mitgeteilt, diese Empfehlungen bis 31.01.2025, 30.04.2025 bzw. 30.11.2025 umzusetzen, andernfalls die Befolgung gemäß § 17 Abs. 5 NISG bescheidmäßig angeordnet werden würde.
Der Sachverhalt ist im festgestellten Rahmen als unstrittig zu beurteilen und ergibt sich auch vollinhaltlich aus dem unbedenklichen Inhalt des vorliegenden Verwaltungsstrafaktes, insbesondere aus dem Bescheid des Bundeskanzlers vom 31.05.2021, aus dem vorliegenden Firmenbuchauszug, aus dem NIS-Prüfbericht des „E“ vom 27.05.2024 und aus der Stellungnahme des Bundesministeriums für Inneres vom 21.10.2024.
Von eben diesem Sachverhalt gingen erkennbar auch der Bürgermeister der Stadt *** in dessen Straferkenntnis und der Beschwerdeführer in dessen Beschwerde aus.
Folgende gesetzlichen Bestimmungen sind im gegenständlichen Beschwerdeverfahren von Relevanz:
§ 2 Netz- und Informationssystemsicherheitsgesetz (NISG):
„Mit diesem Bundesgesetz werden Maßnahmen festgelegt, mit denen ein hohes Sicherheitsniveau von Netz- und Informationssystemen von Betreibern wesentlicher Dienste in den Sektoren
4. Finanzmarktinfrastrukturen,
sowie von Anbietern digitaler Dienste sowie Einrichtungen der öffentlichen Verwaltung erreicht werden soll.“
§ 3 Z 9, 10 und 11 NISG:
„Im Sinne dieses Bundesgesetzes bedeutet
(…)
9. „wesentlicher Dienst“ einen Dienst, der in einem der in § 2 genannten Sektoren erbracht wird und der eine wesentliche Bedeutung insbesondere für die Aufrechterhaltung des öffentlichen Gesundheitsdienstes, der öffentlichen Versorgung mit Wasser, Energie sowie lebenswichtigen Gütern, des öffentlichen Verkehrs oder die Funktionsfähigkeit öffentlicher Informations- und Kommunikationstechnologie hat und dessen Verfügbarkeit abhängig von Netz- und Informationssystemen ist;
10. „Betreiber wesentlicher Dienste“ eine Einrichtung mit Niederlassung in Österreich, die einen wesentlichen Dienst erbringt;
11. „qualifizierte Stelle“ eine Einrichtung mit Niederlassung in Österreich, deren Eignung zur Überprüfung der Sicherheitsvorkehrungen von Betreibern wesentlicher Dienste vom Bundesminister für Inneres gemäß § 18 Abs. 1 festgestellt wurde;
(…)“
§ 16 Abs. 1 und 4 Z 1 NISG:
„(1) Nach Befassung des Bundesministers für Inneres und des zuständigen Bundesministers ermittelt der Bundeskanzler für jeden in § 2 genannten Sektor jene Betreiber wesentlicher Dienste mit einer Niederlassung in Österreich, die einen wesentlichen Dienst erbringen.
(…)
(4) Für die Zwecke des Abs. 1 erfüllt der Bundeskanzler folgende Aufgaben:
1. Erlassung eines Bescheids, mit dem ein Betreiber wesentlicher Dienste gemäß Abs. 1 ermittelt wird. Fallen die Voraussetzungen für den Bescheid, mit dem festgestellt wurde, dass eine bestimmte Einrichtung Betreiber wesentlicher Dienste ist, nachträglich weg oder stellt sich heraus, dass sie von vornherein nicht vorgelegen sind, so ist dies ebenfalls mit Bescheid auszusprechen;
(…)“
§ 17 Abs. 1, 3, 4 und 5 NISG:
„(1) Zur Gewährleistung der NIS haben Betreiber wesentlicher Dienste in Hinblick auf die Netz- und Informationssysteme, die sie für die Bereitstellung des wesentlichen Dienstes nutzen, geeignete und verhältnismäßige technische und organisatorische Sicherheitsvorkehrungen zu treffen. Diese haben den Stand der Technik zu berücksichtigen und dem Risiko, das mit vernünftigem Aufwand feststellbar ist, angemessen zu sein.
(…)
(3) Die Betreiber wesentlicher Dienste haben mindestens alle drei Jahre nach Zustellung des Bescheides gemäß § 16 Abs. 4 Z 1 die Erfüllung der Anforderungen nach Abs. 1 gegenüber dem Bundesminister für Inneres nachzuweisen. Zu diesem Zweck übermitteln sie eine Aufstellung der vorhandenen Sicherheitsvorkehrungen durch den Nachweis von Zertifizierungen oder durchgeführten Überprüfungen durch qualifizierte Stellen, einschließlich der dabei aufgedeckten Sicherheitsmängel an den Bundesminister für Inneres.
(4) Der Bundesminister für Inneres kann zur Kontrolle der Einhaltung der Anforderungen gemäß Abs. 1 Einschau in die Netz- und Informationssysteme, die für die Bereitstellung des wesentlichen Dienstes genutzt werden, und diesbezügliche Unterlagen nehmen. Zum Zweck der Einschau ist der Bundesminister für Inneres nach vorangegangener Verständigung berechtigt, Örtlichkeiten, in welchen Netz- und Informationssysteme gelegen sind, zu betreten. Die Ausübung der Einschau hat in dem unbedingt erforderlichen Ausmaß zu erfolgen und ist unter möglichster Schonung der Rechte der betroffenen Einrichtung und Dritter sowie des Betriebs auszuüben.
(5) Zur Herstellung der Anforderungen nach Abs. 1 ist der Bundesminister für Inneres ermächtigt, Empfehlungen auszusprechen, für deren Befolgung und entsprechenden Nachweis erforderlichenfalls eine angemessene Frist zu setzen ist, widrigenfalls die Befolgung bescheidmäßig angeordnet wird.“
§ 26 Abs. 1 Z 2 und Z 4, Abs. 2, 3 und 4 NISG:
„(1) Eine Verwaltungsübertretung begeht, wer
(…)
(…)
(…)
(2) Zuständig sind die Bezirksverwaltungsbehörden. Die örtliche Zuständigkeit für Verwaltungsübertretungen nach Abs. 1 richtet sich nach der Hauptniederlassung des Betreibers wesentlicher Dienste oder des Anbieters digitaler Dienste, in Ermangelung einer solchen im Inland nach dem Sitz des Vertreters.
(3) Eine Verwaltungsübertretung gemäß Abs. 1 liegt nicht vor, wenn die Tat den Tatbestand einer in die Zuständigkeit der ordentlichen Gerichte fallenden strafbaren Handlung bildet oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist.
(4) Die Bezirksverwaltungsbehörde kann Geldstrafen gegen eine juristische Person oder eingetragene Personengesellschaft verhängen, wenn Verwaltungsübertretungen gemäß Abs. 1 durch Personen begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person oder der eingetragenen Personengesellschaft gehandelt haben und eine Führungsposition aufgrund
Das Landesverwaltungsgericht Niederösterreich hat unter Zugrundelegung des festgestellten Sachverhaltes und der zitierten gesetzlichen Bestimmungen in rechtlicher Hinsicht wie folgt erwogen:
Aus dem festgestellten Sachverhalt ergibt sich und ist auch unbestritten, dass mit dem angesprochenen rechtskräftigen Bescheid des Bundeskanzlers vom 31.05.2021 unter Zugrundelegung des § 16 Abs. 4 Z 1 NISG die C GmbH als Betreiber wesentlicher Dienste gemäß Abs. 1 ermittelt wurde. Konkret betrifft dies den wesentlichen Dienst des Gesundheitswesens gemäß § 2 Z 5 NISG.
Gemäß § 26 Abs. 1 Z 2 NISG begeht eine Verwaltungsübertretung, wer unter anderem den Nachweis nach § 17 Abs. 3 erster Satz nicht erbringt. Gemäß § 17 Abs. 3 erster Satz NISG haben die Betreiber wesentlicher Dienste mindestens alle drei Jahre nach Zustellung des Bescheides gemäß § 16 Abs. 4 Z 1 die Erfüllung der Anforderungen nach Abs. 1 gegenüber dem Bundesminister für Inneres nachzuweisen. So haben gemäß § 17 Abs. 1 NISG Betreiber wesentlicher Dienste zur Gewährleistung der NISG im Hinblick auf die Netz- und Informationssysteme, die sie für die Bereitstellung des wesentlichen Dienstes nutzen, geeignete und verhältnismäßig technische und organisatorische Sicherheitsvorkehrungen zu treffen, wobei sie den Stand der Technik zu berücksichtigen haben und die Sicherheitsvorkehrungen dem Risiko, das mit vernünftigem Aufwand feststellbar ist, angemessen zu sein haben. Der Gesetzgeber gibt schließlich im § 17 Abs. 3 NISG auch vor, dass zum Zweck der Nachweiserbringung die Betreiber wesentlicher Dienste eine Aufstellung der vorhandenen Sicherheitsvorkehrungen durch den Nachweis von Zertifizierungen oder durchgeführten Überprüfungen durch qualifizierte Stellen, einschließlich der dabei aufgedeckten Sicherheitsmängel zu übermitteln haben.
Aus dem festgestellten Sachverhalt ergibt sich nun dazu, dass unter Berücksichtigung der Zustellung des angesprochenen Bescheides des Bundeskanzlers nachvollziehbar ist, dass seitens der C GmbH dieser Nachweis gemäß § 17 Abs. 3 NISG bis 05.06.2024 zu erbringen war.
Aus dem festgestellten Sachverhalt ergibt sich aber auch, dass seitens der C GmbH eine qualifizierte Stelle im Sinne des § 3 Z 11 NISG in Person des „E“ beigezogen wurde, um nicht nur im Rahmen der Entwicklung der notwendigen technischen Sicherheitsvorkehrungen, sondern auch zum Zwecke der durchgeführten Überprüfungen und Übermittlung des Nachweises nach § 17 Abs. 3 NISG die entsprechenden Schritte zu veranlassen, und wurde namens der C GmbH durch das „E“ auch wie festgestellt der NIS-Prüfbericht, datiert mit 27.05.2024, übermittelt, der unbestritten am 04.06.2024 und somit vor Fristende des 05.06.2024 beim Bundesministerium für Inneres eingelangt ist. Wie sich sowohl aus der Stellungnahme des Bundesministeriums für Inneres vom 21.10.2024 als auch aus der verfahrenseinleitenden Anzeige vom 25.10.2024 unmissverständlich ergibt, wurde eben dieser NIS-Prüfbericht zu Recht auch vom Bundesministerium für Inneres als Nachweis im Sinne des § 17 Abs. 3 NISG bewertet. Tatsächlich wird in eben diesem Prüfbericht auch vollinhaltlich auf sämtliche Sicherheitseinrichtungen der C GmbH im Sinne der NISV Bezug genommen, wobei insbesondere auch auf die bereits umgesetzten Maßnahmen, aber auch auf die noch umzusetzenden Maßnahmen verwiesen wurde.
Aus der Bestimmung des § 26 Abs. 1 Z. 4 iVm § 17 Abs. 5 NISG ergibt sich nun, dass der Gesetzgeber als eigene Verwaltungsübertretung die nicht fristgerechte Umsetzung bescheidmäßig ergangener Anordnungen unter anderem nach § 17 Abs. 5 vorsieht, wobei gemäß § 17 Abs. 5 NISG zur Herstellung von Anforderungen nach Abs. 1 der Bundesminister für Inneres ermächtigt ist, Empfehlungen auszusprechen, für deren Befolgung und entsprechenden Nachweis erforderlichenfalls eine angemessene Frist zu setzen ist, widrigenfalls die Befolgung bescheidmäßig angeordnet wird. Der Gesetzgeber trifft somit genau für solche Fälle, in denen der Bundesminister für Inneres die Herstellung der Anordnungen nach § 17 Abs. 1 NISG als nicht ausreichend erachtet, eine Regelung, wie sodann vorzugehen ist, indem er eben den Bundesminister für Inneres ermächtigt, Empfehlungen auszusprechen, die im Falle der Nichtbefolgung auch bescheidmäßig angeordnet werden können und die bei erneuter nicht fristgerechter Erfüllung eine Verwaltungsübertretung darstellen.
Blickt man nun diesbezüglich auf die Regierungsvorlage zu § 17 NISG (Erläuterungen zur XXVI.Gesetzgebungsperiode) so ist ebendort unter anderem Folgendes festgehalten:
„In Umsetzung des Art. 14 Abs. 1 NIS-RL wird den Betreibern wesentlicher Dienste vorgeschrieben, Sicherheitsvorkehrungen technischer und organisatorischer Art zu treffen. Diese sollen im Hinblick auf die betriebenen wesentlichen Dienste dazu dienen, die Netz- und Informationssystemsicherheit (NIS) zu gewährleisten (Absatz 1).
Betreiber wesentlicher Dienste haben demnach die Fähigkeit zu besitzen, Sicherheitsvorfälle (§ 3 Z. 6) vorzubeugen, diese zu erkennen, abzuwehren und zu beseitigen.
Sicherheitsvorkehrungen nach Abs. 1 haben geeignet und verhältnismäßig zu sein, den Stand der Technik zu berücksichtigen und dem Risiko, das mit vernünftigem Aufwand feststellbar ist, angemessen zu sein. Dadurch soll insbesondere der im Bereich der Netz- und Informationssicherheit praktizierte „risikobasierte Ansatz“ abgebildet werden. Jene Sicherheitsvorkehrungen, die jedenfalls zur Gewährleistung der Anforderungen nach Abs. 1 geeignet sind, können durch Verordnung des Bundeskanzlers im Einvernehmen mit dem Bundesminister für Inneres festgelegt werden. (…)
(…)
Die NIS-RL sieht vor, dass die Einhaltung der Sicherheitsvorkehrungen periodisch zu überprüfen ist. Dafür haben die Betreiber dem Bundesminister für Inneres die Erfüllung der Anforderungen mindestens alle 3 Jahre in geeigneter Weise nachzuweisen (Absatz 3). Hiefür wird die Aufstellung der vorhandenen Sicherheitsvorkehrungen mittels eines Nachweises von Zertifizierungen oder durchgeführten Überprüfungen durch qualifizierte Stellen einschließlich aufgedeckter Sicherheitsmängel dem Bundesminister für Inneres übermittelt.
Der Bundesminister für Inneres hat die Befugnis, Einschau in die notwendigen Unterlagen zu nehmen. Diese Unterlagen können auch allenfalls bereits vorhandene Nachweise über die Aufstellung der vorhandenen Sicherheitsvorkehrungen darstellen. Bei Bedarf kann der Bundesminister für Inneres auch in jenem Netz und in Informationssysteme, die für die Bereitstellung des wesentlichen Dienstes genutzt werden, Einschau nehmen und zu diesem Zweck – nach Verständigung – die Örtlichkeiten, in denen diese Netz- und Informationssysteme gelegen sind, betreten. Die Ausübung dieser Kontrollbefugnis hat im Einklang mit den Grundsätzen der Erforderlichkeit und Verhältnismäßigkeit zu erfolgen. Rechte der betroffenen Einrichtung, wie z.B. Geschäfts- und Betriebsgeheimnisse, und Rechte Dritter, wie z.B. Datenschutzrechte sowie auch der Betrieb, also etwa der Betriebsablauf und Sicherheitsregeln (wie z.B. Safety-Anforderungen), sind möglichst zu schonen bzw. zu beachten.
Wird festgestellt, dass die Anforderungen gemäß Abs. 1 nicht erfüllt werden, so kann der Bundesminister für Inneres Handlungsempfehlungen aussprechen und einen Nachweis für deren Befolgung verlangen. Dafür ist eine angemessene Frist zu setzen. Wird diesen Empfehlungen nicht innerhalb dieser Frist vom Betreiber wesentlicher Dienste nachgekommen, so ist deren Befolgung bescheidmäßig und unter Androhung einer Sanktion anzuordnen.“
Blickt man sohin auf den Gesetzestext in Verbindung mit den Erläuterungen der Regierungsvorlage, so ist zu erkennen, dass der Gesetzgeber im Rahmen der Verpflichtungen, die einen Betreiber wesentlicher Dienste im Sinne des § 17 NISG treffen und deren Nichtbefolgung Verwaltungsübertretungen nach § 26 Abs. 1 NISG darstellen, eine Unterscheidung trifft, ob der in § 17 Abs. 3 NISG geforderte Nachweis überhaupt nicht erbracht wird oder ob der (sehr wohl fristgerecht) erbrachte Nachweis nach Abs. 3 inhaltlich nicht den Anforderungen nach § 17 Abs. 1 NISG entspricht. Je nachdem liegt ein Fall des § 17 Abs. 3 iVm § 26 Abs. 1 Z 2 NISG oder ein Fall des § 17 Abs. 5 iVm § 26 Abs. 1 Z 4 NISG vor.
Wie vom Beschwerdeführer auch richtig festgehalten wurde, ist aus der Bestimmung des § 17 Abs. 3 iVm § 26 Abs. 1 Z 2 NISG schlicht nicht zu erschließen, dass auch dann, wenn der Nachweis zwar erbracht wurde, jedoch inhaltlich (nach Auffassung des Bundesministeriums für Inneres) mangelhaft ist, nach eben dieser Bestimmung vorzugehen ist. Hätte der Gesetzgeber gewollt, dass auch dann eine Strafbarkeit in der von der belangten Behörde hier vorgenommenen Form bei gegebenem Sachverhalt bestehen soll, hätte er zum Einen in der Strafnorm des § 26 Abs. 1 Z 2 NISG eine entsprechende Alternative zur „Nichterbringung“ festhalten müssen und wäre zum Anderen die Regelung des § 17 Abs. 3 NISG, die gerade die Fälle umfassen soll, in denen das Bundesministerium für Inneres Mängel in der Herstellung der Anforderungen nach Abs. 1 und demnach Mängel in der Erbringung des Nachweises erachtet, nicht nachvollziehbar. Im Übrigen könnte der Betreiber wesentlicher Dienste im Wesentlichen desselben Sachverhaltes wegen wegen zweier unterschiedlicher Strafnormen bestraft werden.
Aus dem festgestellten Sachverhalt ergibt sich nun eben, dass das Bundesministerium für Inneres selbst von einem fristgerechten Erbringen eines Nachweises im Sinne des § 17 Abs. 3 NISG ausgegangen ist. Dies erschließt sich nicht nur aus der bereits angesprochenen Wortwahl der verfahrenseinleitenden Anzeige und der angesprochenen Stellungnahme des Bundesministeriums für Inneres, sondern auch insbesondere daraus, dass seitens des Bundesministeriums für Inneres Empfehlungen gemäß § 17 Abs. 5 NISG in ihrer Stellungnahme vom 21.10.2024 unter Fristsetzung ausgesprochen wurden. Eben diese Empfehlungen stützen sich vollinhaltlich auf den eigenen von der C GmbH bzw. in deren Auftrag vorgelegten Prüfbericht. Berücksichtigt man nun des Weiteren, dass zum einen die vom Bundesministerium für Inneres der C GmbH gesetzten Nachfristen zum Zeitpunkt der Erlassung des Straferkenntnisses noch nicht abgelaufen waren und zum Teil auch nach wie vor nicht sind, und zum anderen, dass bis dato (zumindest nach der Aktenlage) keine bescheidmäßige Anordnung dieser Empfehlungen erfolgte, scheidet auch die Annahme einer Verwaltungsübertretung aus. Geht man wie gegenständlich das Bundesministerium für Inneres von einer fristgerechten Nachweiserbringung aus, die lediglich inhaltlich den Anforderungen des § 17 Abs. 1 NISG entspricht, sind lediglich die Voraussetzungen des § 17 Abs. 5 NISG erfüllt, von denen eben das Bundesministerium für Inneres ja auch sodann Gebrauch gemacht hat.
Im Ergebnis ist somit der Beschwerdeführer mit seinem Vorbringen im Recht, dass nicht nur die Annahme einer Verwaltungsübertretung wie vom Bürgermeister dem Stadt *** dem Beschwerdeführer angelastet nach § 17 Abs. 3 iVm § 26 Abs. 1 Z 2 NISG nicht vorliegt, sondern auch eine Verwaltungsübertretung nach § 17 Abs. 5 iVm § 26 Abs. 1 Z 4 NISG nicht vorliegen kann, die im Übrigen gegenständlich ohnehin dem Beschwerdeführer nicht angelastet wurde. Vielmehr stellt das dem Beschwerdeführer zur Last gelegte Verhalten überhaupt keine Verwaltungsübertretung dar, sodass spruchgemäß mit einer Aufhebung des Straferkenntnisses und einer Einstellung des Verwaltungsstrafverfahrens vorzugehen war, ohne auf das weitere Beschwerdevorbringen eingehen zu müssen.
Es war somit spruchgemäß zu entscheiden.
Die Durchführung einer öffentlichen mündlichen Verhandlung konnte gemäß § 24 Abs. 4 VwGVG ungeachtet des sich darauf richtenden Antrages des Beschwerdeführers unterbleiben, da der Sachverhalt – soweit er von rechtlicher Relevanz ist – im Wesentlichen unstrittig ist und die Akten erkennen ließen, dass die mündliche Erörterung eine weitere Klärung der Rechtssache nicht erwarten lässt. Es standen einem Entfall der Verhandlung auch weder Art. 6 Abs. 1 der Konvention zum Schutze der Menschenrechte und Grundfreiheiten nach Art. 47 der Charta der Grundrechte der europäischen Union entgegen.
8. Zur Unzulässigkeit der ordentlichen Revision:
Die ordentliche Revision ist nicht zulässig, da im gegenständlichen Verfahren keine Rechtsfrage zu lösen war, der im Sinne des Art. 133 Abs. 4 B-VG grundsätzliche Bedeutung zukommt, insbesondere weil die Entscheidung nicht von der Rechtsprechung des Verwaltungsgerichtshofes abweicht, eine solche Rechtsprechung fehlt oder die zu lösende Rechtsfrage in der bisherigen Rechtsprechung des Verwaltungsgerichtshofes nicht einheitlich beantwortet wird.
Soweit überblickbar gibt es zwar zu den Bestimmungen des § 17 NISG, insbesondere zu jenen des Abs. 3 und 5, noch keine Rechtsprechung des Verwaltungsgerichtshofes. Es wird jedoch – wie auch oben bereits im Detail ausgeführt – insbesondere auf den eindeutigen und klaren Gesetzeswortlaut verwiesen (z.B. VwGH 29.07.2015, Ra 2015/07/0095) und war überdies lediglich eine Einzelfall bezogene Beurteilung vorzunehmen, zu deren Überprüfung der Verwaltungsgerichtshof im Allgemeinen nicht berufen ist (vgl. z.B. VwGH 17.10.2016, Ro 2015/03/0035).
Verbinden Sie Omnilex, um den Rechtskorpus über Ihren KI-Assistenten zu durchsuchen.