„Wer Unternehmen zur Cybersicherheit verpflichtet, muss für seine eigenen Behörden mindestens denselben Maßstab anlegen. Sensible Verwaltungsdaten dürfen nicht schlechter geschützt sein als Daten in einem Unternehmen, nur weil sie auf einem anderen Schreibtisch liegen“, so Pohlmann. 

Besonders deutlich wird das am Schutz kritischer Infrastruktur. Ein Wasserversorger kann seine eigenen Systeme umfassend absichern – und trotzdem können sensible Informationen über die Infrastruktur einer Behörde kompromittiert werden. „Cybersicherheit endet nicht an Organisationsgrenzen. Wenn Behörden Informationen über kritische Infrastruktur verwalten, müssen auch dort entsprechende Sicherheitsstandards gelten und umgesetzt werden“, sagt Pohlmann. 

Unternehmen, die unter das NIS-2-Umsetzungsgesetz fallen, müssen Cyberrisiken systematisch bewerten, Schutzmaßnahmen umsetzen und deren Einhaltung dokumentieren. Dazu zählen unter anderem Datensicherungen, Vorkehrungen zur Wiederherstellung nach Sicherheitsvorfällen, Zugriffskontrollen und regelmäßige Schulungen. Erhebliche Sicherheitsvorfälle müssen innerhalb klar definierter Fristen gemeldet werden. Auch die Geschäftsleitungen tragen Verantwortung für die Umsetzung und Überwachung der Sicherheitsmaßnahmen. 

Für Landes- und Kommunalverwaltungen gilt ein vergleichbarer bundesgesetzlicher Pflichtenkatalog bislang nicht unmittelbar. Die Umsetzung der europäischen Vorgaben in kritischen Teilen der Landesverwaltungen liegt damit in der Verantwortung der Länder. 
„Berlin ist ein Weckruf: Cybersicherheit darf im föderalen Zuständigkeitsdschungel nicht zur Verantwortungsfrage werden. Für Angreifer spielt es keine Rolle, ob eine Sicherheitslücke beim Bund, einem Land oder einer Kommune liegt. Entscheidend ist allein, ob sie existiert und umgesetzt werden“, sagt Pohlmann. 

eco fordert deshalb einen gemeinsamen Notfallplan von Bund, Ländern und Kommunen. Dieser muss festlegen, wie gefährdete Systeme kurzfristig überprüft, kompromittierte Zugänge gesperrt und betroffene Behörden und Einrichtungen informiert werden. Für weitere Angriffe braucht es klare Meldewege, festgelegte Verantwortlichkeiten und regelmäßig erprobte Abläufe. 

Darüber hinaus fordert eco einheitlich hohe Sicherheitsstandards für Landes- und Kommunalbehörden, verbindliche Umsetzungsfristen und unabhängige Kontrollen. Die dafür notwendigen Mittel für Fachpersonal, sichere Technik und verpflichtende Schulungen müssen bereitgestellt werden. 

Auch bei der alltäglichen Arbeit sieht eco Handlungsbedarf. Sichere Cybersicherheit beginnt nicht erst beim nächsten Angriff, sondern bei den Prozessen im Verwaltungsalltag. 

„Beschäftigte brauchen sichere Verfahren für den Umgang mit vertraulichen Dokumenten und Zugangsdaten, die im Arbeitsalltag funktionieren. Die Behördenleitungen müssen diese Verfahren bereitstellen, ihre Anwendung schulen und die Einhaltung kontrollieren. Die Verantwortung für sichere Verwaltungsdaten lässt sich nicht auf einzelne Beschäftigte abschieben“, sagt Pohlmann.