Informationssicherheitsgesetz

1. Abschnitt

Ziel und Anwendungsbereich des Gesetzes im Bereich der Dienststellen des Bundes

§ 1. (1) Ziel der Bestimmungen der §§ 1 bis 10 ist die Umsetzung völkerrechtlicher Verpflichtungen Österreichs zur sicheren Verwendung von klassifizierten Informationen, unabhängig von Darstellungsform und Datenträger, im Bereich der Dienststellen des Bundes.

(2) Die Voraussetzungen für den Zugang zu klassifizierten Informationen nach § 3 Abs. 1 gelten nicht für den Bundespräsidenten, den Bereich des Nationalrates und des Bundesrates, die Mitglieder der Bundesregierung, die Staatssekretäre, die Gerichtsbarkeit, den Verfassungsgerichtshof und den Verwaltungsgerichtshof, den Rechnungshof und die Volksanwaltschaft. Die Weitergabe von klassifizierten Informationen an diese Organe und Einrichtungen unterliegt keinen Berschränkungen nach diesem Bundesgesetz, jedoch völkerrechtlich vorgesehenen Einschränkungen.

(3) Dieses Bundesgesetz berührt nicht die den in Abs. 2 genannten Organen und Einrichtungen übertragenen Verpflichtungen und Aufgaben.

Beschränkung des Zugangs zu klassifizierten Informationen

§ 2. (1) Der Zugang zu klassifizierten Informationen, die Österreich im Einklang mit völkerrechtlichen Regelungen erhalten hat, ist in dem von den übermittelnden Stellen vorgesehenen Maß und für die von diesen vorgesehene Dauer zu beschränken, wenn dies gemäß § 6 Abs. 1 des Informationsfreiheitsgesetzes – IFG, BGBl. I Nr. 5/2024, geboten ist.

(2) Gemäß Abs. 1 erhaltene klassifizierte Informationen sind zur Wahrung des von den übermittelnden Stellen vorgesehenen Schutzes einer der folgenden Klassifizierungsstufen zuzuordnen:

(3) Solange Informationen klassifiziert sind, findet auf sie § 5 des Bundesarchivgesetzes, BGBl. I Nr. 162/1999, keine Anwendung.

Voraussetzungen für den Zugang zu klassifizierten Informationen

§ 3. (1) Unbeschadet des § 1 darf der Zugang zu klassifizierten Informationen nur unter folgenden Voraussetzungen gewährt werden:

(2) Ein Bediensteter einer Dienststelle des Bundes darf den Zugang zu klassifizierten Informationen nur unter den Voraussetzungen des Abs. 1 Z 1 suchen.

(Anm.: Abs. 3 aufgehoben durch Art. 3 Z 2, BGBl. I Nr. 32/2018)

Verschwiegenheitspflicht

§ 4. Jede Person, der auf Grund dieses Bundesgesetzes Zugang zu klassifizierten Informationen gewährt wird,

Amtshilfe

§ 5. Im Rahmen der Leistung von Amtshilfe dürfen klassifizierte Informationen nur weitergegeben werden, wenn das ersuchende Organ dies ausdrücklich begehrt und den erforderlichen Schutzstandard zu gewährleisten vermag. Im Begehren ist anzugeben, bis zu welcher Klassifizierungsstufe für einen ausreichenden Schutzstandard vorgesorgt ist.

Informationssicherheitsverordnung

§ 6. Die Bundesregierung hat für die Dienststellen des Bundes durch Verordnung Vorschriften über die Informationssicherheit zu erlassen. Diese haben jedenfalls zu regeln:

Informationssicherheitsbeauftragte

§ 7. (1) Jeder Bundesminister bestellt für seinen Wirkungsbereich einen Informationssicherheitsbeauftragten und dessen Stellvertreter.

(2) Dem Informationssicherheitsbeauftragten obliegt die Überwachung der Einhaltung der Bestimmungen dieses Bundesgesetzes, der Informationssicherheitsverordnung, der Übereinkommen gemäß § 14 und der sonstigen Informationssicherheitsvorschriften sowie die periodische Überprüfung der Sicherheitsvorkehrungen für den Schutz von klassifizierten Informationen und die Berichterstattung darüber an die Informationssicherheitskommission nach § 8. Im Falle der Wahrnehmung eines Mangels hat der Informationssicherheitsbeauftragte auf die unverzügliche Behebung des Mangels hinzuwirken.

(3) Der Informationssicherheitsbeauftragte trägt dafür Sorge, dass in seinem Ressortbereich alle Personen, auf die die Voraussetzungen des § 3 Abs. 1 Z 1 bis 2 zutreffen, sicherheitsüberprüft werden.

(4) Der Informationssicherheitsbeauftragte hat den zuständigen Bundesminister in Angelegenheiten der Informationssicherheit zu beraten und erforderlichenfalls Vorschläge zu deren Verbesserung zu erstatten.

Informationssicherheitskommission

§ 8. (1) Es wird eine Informationssicherheitskommission eingerichtet, der die Informationssicherheitsbeauftragten aller Bundesministerien angehören. Den Vorsitz führt der Informationssicherheitsbeauftragte des Bundeskanzleramtes. Die Informationssicherheitskommission hat

(2) Die Informationssicherheitskommission gibt sich durch einstimmigen Beschluss eine Geschäftsordnung, die jedenfalls Regelungen hinsichtlich der Einberufung und des Geschäftsgangs von Sitzungen, der Organisation der Arbeiten sowie hinsichtlich der Willensbildung enthält.

(3) Soweit es für die ordnungsgemäße Wahrnehmung ihrer Aufgaben erforderlich ist, kann die Informationssicherheitskommission ihren Sitzungen auch sonstige Experten beiziehen. Näheres bestimmt die Geschäftsordnung.

Gerichtlich strafbare Handlungen

§ 9. (1) Wer entgegen den Bestimmungen dieses Bundesgesetzes eine ihm ausschließlich auf Grund von § 3 Abs. 1 dieses Bundesgesetzes anvertraute oder zugänglich gewordene, als „VERTRAULICH“, „GEHEIM“ oder „STRENG GEHEIM“ klassifizierte Information offenbart oder verwertet, deren Offenbarung oder Verwertung geeignet ist, die öffentliche Sicherheit, die umfassende Landesverteidigung oder die auswärtigen Beziehungen zu beeinträchtigen, ist, sofern die Tat nicht nach anderen Bundesgesetzen mit strengerer Strafe bedroht ist, vom Gericht mit Freiheitsstrafe bis zu sechs Monaten oder mit Geldstrafe bis zu 360 Tagessätzen zu bestrafen.

(2) Wer die Tat begeht, um sich oder einem anderen einen Vermögensvorteil zuzuwenden oder einem anderen einen Nachteil zuzufügen, ist mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bis zu 360 Tagessätzen zu bestrafen.

(3) Offenbart der Täter Informationen, die verfassungsgefährdende Tatsachen (§ 252 Abs. 3 StGB) betreffen, so ist er nur zu bestrafen, wenn er in der Absicht handelt, private Interessen zu verletzen oder der Republik Österreich einen Nachteil zuzufügen. Die irrtümliche Annahme verfassungsgefährdender Tatsachen befreit den Täter nicht von Strafe.

Verwaltungsübertretung

§ 10. (1) Sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung erfüllt, begeht eine Verwaltungsübertretung,

(2) Verwaltungsübertretungen nach Abs. 1 sind von der Bezirksverwaltungsbehörde mit Geldstrafe bis 3 000 Euro zu bestrafen.

2. Abschnitt

Sicherheitsunbedenklichkeitsbescheinigungen für Unternehmen und Anlagen

Anwendungsbereich des 2. Abschnitts

§ 11. Die Bestimmungen der §§ 11 bis 13 regeln die Ausstellung von Sicherheitsunbedenklichkeitsbescheinigungen für Unternehmen, Einrichtungen und Anlagen, die auf Grund völkerrechtlicher Verpflichtungen in unmittelbar anwendbaren Staatsverträgen gemäß Art. 50 Abs. 1 B-VG und Übereinkommen gemäß § 14 zur sicheren Verwendung klassifizierter Informationen für die Teilnahme an industriellen Tätigkeiten und Forschungstätigkeiten sowie zur Erlangung von Aufträgen erforderlich sind.

Ausstellung und Widerruf von Sicherheitsunbedenklichkeitsbescheinigungen

§ 12. (1) Der Antrag auf Ausstellung von Sicherheitsunbedenklichkeitsbescheinigungen ist bei dem für die betreffende industrielle Tätigkeit oder Forschungstätigkeit oder für die Art des vorgesehenen Auftrages nach dem Bundesministeriengesetz 1986, BGBl. Nr. 76, sachlich zuständigen Bundesminister zu stellen.

(2) Vor Entscheidung über die Ausstellung einer Sicherheitsunbedenklichkeitsbescheinigung ist der Bundesminister für Inneres zu hören. Diesem obliegt die Mitwirkung an der Feststellung, ob eine Einrichtung den in der Informationssicherheitsverordnung (§ 6) vorgesehenen Schutz für klassifizierte Informationen der im Antrag bezeichneten Klassifizierungsstufe gewährleisten kann.

(3) Bei der Mitwirkung an der Entscheidung nach Abs. 2 sind auch alle Personen, die zur Erfüllung ihrer beruflichen Pflichten Zugang zu Informationen haben müssen, die als „VERTRAULICH“, „GEHEIM“ oder „STRENG GEHEIM“ klassifiziert wurden, einer Sicherheitsüberprüfung gemäß §§ 55 bis 55b des Sicherheitspolizeigesetzes, BGBl. Nr. 566/1991, zu unterziehen. Das Ergebnis ist dem zuständigen Bundesminister (Abs. 1) mitzuteilen.

(4) Die Voraussetzungen für die Ausstellung einer Sicherheitsunbedenklichkeitsbescheinigung sind gegeben, wenn die in der jeweiligen völkerrechtlichen Verpflichtung vorgesehenen Auflagen und Bedingungen vom Antragsteller erfüllt werden. Der zuständige Bundesminister hat durch Sicherheitsinspektionen die Einhaltung dieser Auflagen und Bedingungen regelmäßig zu überprüfen. Dabei ist der Bundesminister für Inneres zu hören. Die Sicherheitsunbedenklichkeitsbescheinigung ist zu widerrufen, wenn

(4a) Die Ausstellung und der Widerruf der Sicherheitsunbedenklichkeitsbescheinigung erfolgen auf Vorschlag des zuständigen Bundesministers (Abs. 1) durch die im jeweiligen völkerrechtlichen Übereinkommen vorgesehene nationale Zertifizierungsstelle. Diese ist, sofern nicht ausdrücklich eine andere vorgesehen ist, die Informationssicherheitskommission beim Bundeskanzleramt (§ 8). Für die Ausstellung von Sicherheitsunbedenklichkeitsbescheinigungen im Zusammenhang mit Vorhaben, die der Erfüllung von Aufgaben des Bundesheeres gemäß Art. 79 Abs. 1 B-VG dienen, ist die nationale Zertifizierungsstelle eine vom Bundesminister für Landesverteidigung für zuständig erklärte Dienststelle seines Wirkungsbereiches. Die Sicherheitsunbedenklichkeitsbescheinigung ist von der Zertifizierungsstelle der Einrichtung zu übermitteln, zu deren klassifizierten Informationen der Antragsteller Zugang haben möchte; dies gilt auch für den Widerruf. Der Antragsteller ist über die Ausstellung oder den Widerruf zu verständigen.

(4b) Wenn Personen im Ausland Zugang zu klassifizierten Informationen oder Zutritt zu Örtlichkeiten einer erhöhten Sicherheitsstufe erhalten sollen, dürfen im Rahmen des internationalen Besuchskontrollverfahrens die sie betreffenden personenbezogenen Daten mit ihrer Einwilligung der Einrichtung, die für die Sicherheit des Zugangs zu den betreffenden Informationen oder Örtlichkeiten zuständig ist, übermittelt werden. § 25 MBG bleibt unberührt.

(5) Kann eine Sicherheitsunbedenklichkeitsbescheinigung nicht ausgestellt werden, hat der zuständige Bundesminister (Abs. 1) den Antragsteller hiervon unverzüglich nach Kenntnis dieses Umstandes schriftlich zu informieren.

(6) Ist der Antrag im Sinne des Abs. 1 beim Bundesminister für Landesverteidigung zu stellen, so obliegt diesem die Feststellung, ob eine Einrichtung den in der Informationssicherheitsverordnung (§ 6) vorgesehenen Schutz für klassifizierte Informationen der im Antrag bezeichneten Klassifizierungsstufe gewährleisten kann. Abs. 3 ist mit der Maßgabe anzuwenden, dass an Stelle der Sicherheitsüberprüfung eine Verlässlichkeitsprüfung gemäß §§ 23 und 24 Militärbefugnisgesetz, BGBl. I Nr. 86/2000, durchzuführen ist. Der Bundesminister für Landesverteidigung ist ermächtigt, durch Verordnung eine dem Bundesministerium für Landesverteidigung nachgeordnete Dienststelle an seiner Stelle mit der Wahrnehmung dieser Aufgaben zu betrauen.

Kostenersatzpflicht

§ 13. Für die Ausstellung einer Sicherheitsunbedenklichkeitsbescheinigung gebührt dem Bund als Ersatz ein Pauschalbetrag, der durch Verordnung des sachlich zuständigen Bundesministers im Einvernehmen mit dem Bundesminister für Inneres entsprechend den tatsächlichen durchschnittlichen Kosten festgelegt wird. In den Fällen des § 12 Abs. 6 ist dieses Einvernehmen nicht erforderlich. Weiters hat der Antragsteller dem Bund die Barauslagen für Sachverständige zu ersetzen, auch wenn dem Antrag auf Ausstellung einer Sicherheitsunbedenklichkeitsbescheinigung nicht gefolgt wird.

3. Abschnitt

Gemeinsame Bestimmungen

Internationale Übereinkommen

§ 14. (1) Sofern die Bundesregierung oder die zuständigen Mitglieder der Bundesregierung zum Abschluss von Übereinkommen gemäß Art. 66 Abs. 2 B-VG ermächtigt sind, können sie völkerrechtliche Vereinbarungen schließen, um den gegenseitigen Austausch und den Schutz klassifizierter Informationen zu regeln. Hierbei ist vorzusehen, dass klassifizierte Informationen nur dann übermittelt werden dürfen, wenn beim Empfänger ein Schutzstandard gewährleistet ist, der dem der übermittelnden Stelle gleichwertig ist.

(2) Übereinkommen gemäß Abs. 1 können insbesondere Folgendes regeln:

Sprachliche Gleichbehandlung

§ 15. Die in diesem Bundesgesetz verwendeten personenbezogenen Ausdrücke betreffen, soweit es inhaltlich in Betracht kommt, Frauen und Männer gleichermaßen.

Verweisungen

§ 16. Verweisungen in diesem Bundesgesetz auf andere Bundesgesetze verweisen auf deren jeweils geltende Fassung.

Vollziehung

§ 17. Mit der Vollziehung dieses Bundesgesetzes ist die Bundesregierung, jedoch in Angelegenheiten, die nur den Wirkungsbereich eines Mitglieds der Bundesregierung betreffen, dieses betraut.

Inkrafttreten

§ 18. (1) § 3 Abs. 1 und § 12 Abs. 4b in der Fassung des Materien-Datenschutz-Anpassungsgesetzes 2018, BGBl. I Nr. 32/2018, treten mit 25. Mai 2018 in Kraft; gleichzeitig tritt § 3 Abs. 3 außer Kraft.

(2) § 2 Abs. 1 und 2 in der Fassung des Informationsfreiheits-Anpassungsgesetzes, BGBl. I Nr. 50/2025, tritt mit 1. September 2025 in Kraft.