Öffentliche Verwaltung
Cybersicherheitspflichten für Bundesbehörden, Landesverwaltungen und Kommunen
Ist Ihr Unternehmen betroffen?
- Einrichtungen der Bundesverwaltung — sie sind im BSIG unmittelbar erfasst und unterliegen einem eigenen, teils strengeren Regime
- Landes- und Kommunalverwaltungen: Der Bundesgesetzgeber hat sie ausdrücklich den Ländern überlassen, maßgeblich ist das jeweilige Landesrecht
- Kommunale IT-Dienstleister und Rechenzentren, die für mehrere Verwaltungen Fachverfahren betreiben — häufig bereits als digitale Infrastruktur erfasst
- Eigenbetriebe und kommunale Gesellschaften in regulierten Sektoren wie Energie, Wasser oder Verkehr — sie fallen über ihren Sektor unter NIS2, nicht über die Verwaltung
- Anstalten des öffentlichen Rechts mit eigenständigem Geschäftsbetrieb oberhalb der Schwellenwerte
NIS2-Anforderungen nach Art. 21
- 01.
Klärung der eigenen Rechtsgrundlage vor allem anderen
Die häufigste Fehlannahme im kommunalen Bereich ist, das BSIG gelte unmittelbar. Für Länder und Kommunen gilt es nicht — dort entscheidet Landesrecht, dessen Umsetzungsstand sich zwischen den Ländern erheblich unterscheidet. Ohne diese Klärung wird gegen den falschen Maßstab gearbeitet.
- 02.
Absicherung ausgelagerter Fachverfahren
Melderegister, Kfz-Zulassung, Sozialleistungen und Finanzwesen laufen meist bei einem gemeinsamen Dienstleister. Fällt dieser aus, stehen alle angeschlossenen Verwaltungen gleichzeitig still. Die Abhängigkeit muss vertraglich geregelt und in der Notfallplanung abgebildet sein.
- 03.
Aufrechterhaltung der Bürgerdienste ohne IT
Fristgebundene Verfahren laufen weiter, auch wenn die Systeme stehen. Die Kontinuitätsplanung muss beschreiben, welche Leistungen mit welchem Aufwand analog erbracht werden und wie die Nacherfassung erfolgt, ohne die Aktenführung zu beschädigen.
- 04.
Schutz besonders sensibler Registerdaten
Verwaltungen verarbeiten Daten, die auf dem Schwarzmarkt unmittelbar verwertbar sind. Neben der Verfügbarkeit steht deshalb die Vertraulichkeit im Vordergrund — mit Zugriffskonzepten, die dem Prinzip der Erforderlichkeit folgen, und einer Protokollierung, die nachträgliche Prüfung erlaubt.
- 05.
Verzahnung von IT-Sicherheit und Datenschutz
Ein Vorfall in der Verwaltung ist fast immer zugleich eine Verletzung des Schutzes personenbezogener Daten. Die Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO läuft in 72 Stunden und damit parallel zur Sicherheitsmeldung. Beide Prozesse gehören zusammengeführt.
- 06.
Kontinuität trotz begrenzter Personalressourcen
Kleinere Verwaltungen können keine eigene Sicherheitsorganisation aufbauen. Realistisch sind benannte Zuständigkeiten, interkommunale Zusammenarbeit und ein externer Informationssicherheitsbeauftragter — wichtig ist, dass die Verantwortung ausdrücklich zugewiesen und nicht implizit angenommen wird.
- 07.
Übungen unter Beteiligung der Verwaltungsspitze
Entscheidungen über Notbetrieb, externe Kommunikation und Wiederanlaufreihenfolge sind keine IT-Entscheidungen. Sie müssen von der Behördenleitung getroffen werden, und das will geübt sein, bevor der Ernstfall eintritt.
Typische Bedrohungsszenarien
Ausrufung des Cyber-Katastrophenfalls in einem Landkreis
Ein Ransomware-Angriff legte die Verwaltung eines Landkreises so umfassend lahm, dass erstmals in Deutschland der Katastrophenfall wegen eines Cybervorfalls ausgerufen wurde. Leistungen wie Sozial- und Unterhaltszahlungen waren über Monate eingeschränkt.
Ransomware im Landkreis Anhalt-Bitterfeld (Deutschland, 2021)Ausfall über den gemeinsamen kommunalen Dienstleister
Ein Angriff auf einen kommunalen IT-Dienstleister traf schlagartig rund siebzig angeschlossene Kommunen. Bürgerdienste, Fachverfahren und Kommunikation fielen gleichzeitig aus — der Fall zeigt, wie stark geteilte Infrastruktur das Schadensausmaß multipliziert.
Angriff auf die Südwestfalen-IT (Deutschland, 2023)Vollständiger Neuaufbau nach Schadsoftwarebefall
Ein Emotet-Befall zwang eine große Justizbehörde dazu, ihr Netz vom Internet zu trennen und die Infrastruktur neu aufzubauen. Der Betrieb lief über lange Zeit ohne elektronische Aktenführung weiter.
Emotet-Befall im Berliner Kammergericht (Deutschland, 2019)Maßnahmen-Checkliste
- Schriftliche Feststellung, ob Bundesrecht oder das jeweilige Landesrecht maßgeblich ist, mit Datum und verantwortlicher Stelle
- Vertragliche Sicherheits- und Wiederanlaufzusagen gegenüber dem kommunalen IT-Dienstleister, mit belastbaren Fristen
- Notfallkonzept für die zehn wichtigsten Bürgerdienste mit beschriebenem Papierbetrieb und geregelter Nacherfassung
- Netztrennung zwischen Verwaltungsarbeitsplätzen, Fachverfahren und der Technik kommunaler Eigenbetriebe
- Rollenbasierte Zugriffsrechte auf Registerdaten nach dem Erforderlichkeitsprinzip, jährlich überprüft
- Protokollierung lesender Zugriffe auf besonders sensible Register, mit anlassbezogener Auswertung
- Zusammengeführter Meldeprozess für Sicherheitsvorfall und Datenschutzverletzung mit gemeinsamer Fristenübersicht
- Benannter Informationssicherheitsbeauftragter — intern, interkommunal geteilt oder extern beauftragt
- Offline gehaltene, regelmäßig zurückgespielte Sicherungen der Fachverfahren, getrennt vom produktiven Netz
- Krisenübung unter Leitung der Behördenspitze mit externer Kommunikation und Entscheidung über den Notbetrieb
Verwandte Inhalte
NIS2-Compliance für Öffentliche Verwaltung?
Kontaktieren Sie uns für eine branchenspezifische Erstberatung. Wir kennen die Anforderungen Ihres Sektors.
Beratung anfragen