Öffentliche Verwaltung
Verwaltungs-IT ist heterogen und die Zuständigkeit ist es ebenfalls: Ein Verfahren wird betrieben vom Dienstleister, verantwortet vom Amt und beaufsichtigt nach Landesrecht. Die erste Frage ist deshalb nicht, wie NIS2 umgesetzt wird, sondern welche Einheit worunter fällt.
Zwei Fälle, die den deutschen Verwaltungsalltag geprägt haben
Im Juli 2021 rief ein Landkreis in Sachsen-Anhalt nach einem Verschlüsselungsangriff den Katastrophenfall aus. Es war der erste Katastrophenfall in Deutschland wegen eines Cyberangriffs. Sozialleistungen konnten wochenlang nicht regulär ausgezahlt werden, die Wiederherstellung zog sich über Monate.
Im Oktober 2023 traf es einen kommunalen IT-Dienstleister in Südwestfalen. Betroffen waren rund siebzig Verwaltungen auf einmal: Bürgerportale offline, Fachverfahren nicht erreichbar, Zulassungsstellen und Bürgerbüros im Notbetrieb. Der Weg hinein führte über einen Fernzugang.
Der zweite Fall ist der lehrreichere. In einer Verbundstruktur ist die eigene Sicherheitslage nicht die eigene allein. Wer im Verbund arbeitet, muss wissen, was vom Dienstleisternetz aus erreichbar ist und was umgekehrt.
Einordnen, prüfen, erkennen
In dieser Reihenfolge, weil ohne die Einordnung nicht feststeht, welche Nachweise überhaupt gefordert sind.
Betroffenheit klären
Welche Ihrer Einheiten fällt worunter. Für Stadtwerke und Eigenbetriebe fällt die Antwort oft anders aus als für die Kernverwaltung und daraus ergeben sich unterschiedliche Nachweispflichten.
Portale und Verfahren prüfen
Bürger- und Antragsportale mit Authentisierung, Berechtigungen und Datenabfluss über Schnittstellen, Fachverfahren und ihre Anbindung an zentrale Verzeichnisdienste und die Verbundstruktur selbst.
Menschen einbeziehen
Phishing-Widerstandsfähigkeit und Meldeverhalten der Beschäftigten, mit der Personalvertretung abgestimmt und ohne jemanden vorzuführen. Gemessen wird die Meldequote, nicht die Klickquote allein.
Wo eine Prüfung in der Verwaltung ansetzt
Am Portal, weil es öffentlich erreichbar ist und weil dort Authentisierung, Berechtigungsprüfung und Schnittstellen zusammenkommen. Danach am Fachverfahren und an seiner Anbindung an den Verzeichnisdienst, denn ein übernommenes Dienstkonto wirkt über Verfahrensgrenzen hinweg.
Ein Punkt, der regelmäßig übersehen wird, ist die Gebäude- und Betriebstechnik. Zutrittsanlagen, Heizung und Lüftung hängen häufig am selben Netz wie die Verwaltungsverfahren, sind aber weder inventarisiert noch überwacht.
Und schließlich die Verbundfrage: Was ist vom Dienstleisternetz aus erreichbar und was von Ihnen aus dort. Diese Richtung wird selten geprüft, obwohl sie im Ernstfall über die Reichweite entscheidet.
Monitoring im Verbund
Im Verbund liegen Betrieb und Verantwortung auseinander. Genau deshalb muss vorher geklärt sein, wer welche Ereignisse sieht, wer sie bewertet und wer im Ernstfall handelt.
Wir bauen die Datenquellen zusammen und entwickeln Use Cases für die Wege aus beiden Vorfällen. Danach legen wir die Meldeketten fest. Dazu Playbooks für den Fall, dass nicht Ihr Haus betroffen ist, sondern Ihr Dienstleister.
Phishing-Simulation ohne Blamieren
Eine Kampagne, die realistisch ist, aber nicht demütigend. Ausgewertet wird anonymisiert und auf Gruppenebene, abgestimmt mit der Personalvertretung.
Interessanter als die Klickquote ist die Meldequote. Ein Haus, in dem verdächtige Nachrichten schnell gemeldet werden, gewinnt Zeit und Zeit ist bei einem Verschlüsselungsangriff die einzige Ressource, die zählt.
Was für Sie gilt und was ausdrücklich nicht
Dieser Punkt wird häufig zu weit dargestellt, deshalb hier präzise: Deutschland hat von der Möglichkeit, den Anwendungsbereich der NIS-2-Richtlinie auf Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene zu erstrecken, keinen Gebrauch gemacht. Die Länder regeln die Umsetzung für ihren Bereich selbst und was für eine Landesbehörde gilt, ergibt sich aus dem jeweiligen Landesrecht.
Praktisch heißt das: Die erste Frage ist nicht, wie NIS2 umgesetzt wird, sondern welche Ihrer Einheiten worunter fällt. Für Stadtwerke und Eigenbetriebe fällt die Antwort regelmäßig anders aus als für die Kernverwaltung.
Der IT-Grundschutz bleibt davon unberührt und ist der etablierte Rahmen: Strukturanalyse, Schutzbedarfsfeststellung, Modellierung, Basis-Sicherheitscheck. Eine Sicherheitsprüfung liefert darin den Wirksamkeitsnachweis zu dem, was modelliert wurde.
Was Ämter, Eigenbetriebe und Dienstleister fragen
Für die kommunale Ebene hat Deutschland den Anwendungsbereich nicht erweitert. Für Landesbehörden entscheidet das Landesrecht, für Stadtwerke und Eigenbetriebe häufig ihre wirtschaftliche Tätigkeit. Die Einordnung machen wir am Anfang, nicht am Ende.
Der Grundschutz beschreibt, was umgesetzt sein soll. Eine Prüfung zeigt, ob es wirkt. Beides zusammen ergibt den Nachweis, einzeln keines von beiden.
Das lässt sich klären und wir tun es vor Beginn. Wichtig ist, dass der Prüfumfang die Schnittstelle in beide Richtungen abdeckt, sonst bleibt genau der Weg ungeprüft, der in der Praxis genutzt wurde.
Ja, wenn sie von vornherein anonymisiert und auf Gruppenebene ausgewertet wird. Wir stimmen das Vorgehen vorher ab. Ziel ist eine höhere Meldequote, nicht eine Liste von Namen.
