Verwaltung auf Deutschland-Stack und NOOTS vorbereiten: Cybersicherheit und digitale Souveränität im Bezirk stärken
Beschlussvorschlag:
Die Bezirksverordnetenversammlung wolle beschließen:
Das Bezirksamt wird ersucht,
1. Cybersicherheit als gesamtorganisatorische Aufgabe der Bezirksverwaltung systematisch zu verankern und entsprechende Schulungs- und Sensibilisierungsmaßnahmen für alle Beschäftigten regelmäßig durchzuführen sowie Übungen zur Reaktion auf IT-Sicherheitsvorfälle zu etablieren,
2. den IT-Grundschutz mindestens nach dem IT-Grundschutz-Profil „Basis-Absicherung Kommunalverwaltung“ gemäß BSI-Standard 200-2 fortlaufend sicherzustellen und dabei insbesondere die Funktion einer oder eines Informationssicherheitsbeauftragten dauerhaft und mit angemessenen Ressourcen ausgestattet zu etablieren,
3. im Zuge der Anbindung an das Nationale Once-Only-Technical-System (NOOTS), die Einhaltung der jeweils geltenden technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik (BSI TR-03190) sicherzustellen,
4. eine strategische Vorbereitung der Bezirksverwaltung auf die im Rahmen des Deutschland-Stacks vorgegebenen Standards sicherzustellen und hierfür bestehende Infrastrukturen und Prozesse frühzeitig auf Kompatibilität mit diesen Standards und Basiskompontenten auszurichten,
4. sich im Sinne der digitalen Souveränität für den Einsatz von souveränen – und im Idealfall nachnutzbaren – Lösungen, sowie im Einklang mit der Open-Source-Strategie des Landes Berlin für (freie) quelloffene Software einzusetzen.
Sachverhalt:
Aktuelle Vorhaben zur Verwaltungsdigitalisierung wie der Deutschland-Stack und die Registermodernisierung im Rahmen des Nationalen Once-Only-Technical-Systems (NOOTS) zielen darauf ab, die öffentliche Verwaltung effizienter, interoperabler und nutzerfreundlicher zu gestalten. Diese Projekte führen zu einer zunehmenden Standardisierung und verändern zugleich die Anforderungen an die IT-Sicherheit sowie an die organisatorische und technische Leistungsfähigkeit der Verwaltung. So gehen mit der Anbindung an das NOOTS etwa gemäß der technischen Richtlinie BSI TR-03190 gewisse IT-Sicherheitsanforderungen einher. Darüber hinaus gibt der Deutschland-Stack gewisse Standards vor. Für die Verwaltung ergibt sich hieraus die Notwendigkeit, bestehende IT-Infrastrukturen und Prozesse frühzeitig auf die Einhaltung dieser Standards und Basiskomponenten auszurichten, um künftige Umstellungen effizient und ohne erhebliche Reibungsverluste vollziehen zu können.
Parallel hierzu gewinnt die Frage der digitalen Souveränität in der öffentlichen Verwaltung zunehmend an Bedeutung. Vor dem Hintergrund der bislang verbreiteten Nutzung proprietärer Softwarelösungen besteht hier ein entsprechender Anpassungsbedarf. Das Land Berlin veröffentlichte bereits eine Open-Source-Strategie, deren Umsetzung auch auf Bezirksebene konsequent verfolgt werden muss.
Im Bereich der Cybersicherheit ist des Weiteren festzustellen, dass kommunale Verwaltungen bislang nicht unmittelbar in den Anwendungsbereich der NIS-2-Richtlinie fallen, obgleich sie in der Praxis zunehmend Ziel von Cyberangriffen werden und zugleich zentrale Träger der öffentlichen Daseinsvorsorge sind. Deshalb sind Standards wie die BSI-Standards 200-1 und 200-2 bzw. Normen wie ISO/IEC 27001 maßgeblich für den Aufbau eines angemessenen IT-Sicherheitsniveaus.
Die Praxis zeigt, dass Sicherheitsvorfälle häufig nicht allein auf technische Schwachstellen zurückzuführen sind, sondern maßgeblich durch organisatorische Defizite bzw. menschliche Fehlhandlungen begünstigt werden. Vor diesem Hintergrund ist Cybersicherheit als gesamtorganisatorische Aufgabe zu begreifen, die sowohl technische als auch personelle und prozessuale Aspekte umfasst.