NIS2-Checkliste Öffentliche Verwaltung

In der Verwaltung beginnt die Arbeit an einer ungewöhnlichen Stelle: mit der Frage, welches Gesetz überhaupt gilt. Für Länder und Kommunen greift nicht das Bundesrecht, sondern das jeweilige Landesrecht — und dessen Stand unterscheidet sich erheblich. Erst danach lohnt der Blick auf Technik und Abläufe, denn sonst wird gegen den falschen Maßstab gearbeitet.

Ihre NIS2-Checkliste für Öffentliche Verwaltung

1. 1

   Prüfen Sie schriftlich, welche Rechtsgrundlage für Sie gilt

   Halten Sie mit Datum und verantwortlicher Stelle fest, ob Bundes- oder Landesrecht maßgeblich ist. Diese eine Seite ist die Grundlage für alles Weitere.

2. 2

   Identifizieren Sie Ihre zehn wichtigsten Bürgerdienste

   Wählen Sie die Leistungen aus, deren Ausfall unmittelbar Menschen trifft oder Fristen verletzt. Diese Auswahl steuert Ihre gesamte Priorisierung.

3. 3

   Dokumentieren Sie Ihre Abhängigkeit vom gemeinsamen Dienstleister

   Halten Sie fest, welche Verfahren extern betrieben werden und was ohne sie noch möglich ist. Ein Ausfall dort trifft Sie gleichzeitig mit allen anderen Angeschlossenen.

4. 4

   Vereinbaren Sie belastbare Wiederanlaufzusagen mit diesem Dienstleister

   Fragen Sie nach zugesicherten Fristen und danach, in welcher Reihenfolge Kunden bedient werden. Eine unverbindliche Absichtserklärung hilft im Ernstfall nicht.

5. 5

   Entwickeln Sie einen Papierbetrieb für Ihre wichtigsten Leistungen

   Beschreiben Sie je Leistung, was ohne Systeme möglich bleibt und wie die Nacherfassung erfolgt. Achten Sie darauf, dass die Aktenführung dabei nicht bricht.

6. 6

   Prüfen Sie die Zugriffsrechte auf Ihre Register

   Kontrollieren Sie, wer auf Melde-, Sozial- und Finanzdaten zugreifen kann und ob das noch der Aufgabe entspricht. Historisch gewachsene Berechtigungen sind hier der Regelfall.

7. 7

   Etablieren Sie eine Protokollierung lesender Zugriffe

   Bei sensiblen Registern ist nicht nur die Änderung relevant, sondern auch die Einsichtnahme. Legen Sie fest, wer diese Protokolle anlassbezogen auswertet.

8. 8

   Führen Sie Sicherheits- und Datenschutzmeldung in einem Prozess zusammen

   Ein Vorfall in der Verwaltung ist fast immer beides zugleich, und beide Fristen laufen parallel. Eine gemeinsame Fristenübersicht verhindert, dass eine davon reißt.

9. 9

   Benennen Sie eine Person für die Informationssicherheit

   Ob eigene Stelle, interkommunal geteilt oder extern beauftragt, ist zweitrangig. Entscheidend ist, dass die Verantwortung ausdrücklich zugewiesen und nicht stillschweigend angenommen wird.

10. 10

    Sichern Sie Ihre Fachverfahren getrennt vom laufenden Netz

    Halten Sie eine Kopie vor, die ein Angreifer im Netz nicht erreichen kann. Spielen Sie sie regelmäßig zurück, sonst kennen Sie ihren Zustand nicht.

11. 11

    Testen Sie den Ernstfall unter Leitung der Behördenspitze

    Entscheidungen über Notbetrieb und öffentliche Kommunikation gehören nicht in die IT. Üben Sie sie mit denen, die sie später treffen müssen.

12. 12

    Dokumentieren Sie den Umsetzungsstand nachvollziehbar

    Halten Sie fest, was erledigt ist, was offen bleibt und wer bis wann zuständig ist. Diese Übersicht trägt auch gegenüber Rechnungsprüfung und Aufsicht.