Nordrhein-Westfalen:
Tipps für Kommunen


[17.11.2016] Um den Stand der IT-Sicherheit in nordrhein-westfälischen Kommunen im Kontext kritischer Infrastrukturen zu ermitteln, hat die Gemeindeprüfungsanstalt Nordrhein-Westfalen Prüfberichte ausgewertet und Empfehlungen herausgearbeitet.

Im Zuge überörtlicher Prüfungen bei den Gemeinden und Landkreisen untersucht die Gemeindeprüfungsanstalt Nordrhein-Westfalen (GPA NRW) den organisatorischen IT-Aufbau. Ein Teilaspekt ist die IT-Sicherheit. Auf diesen Aspekt hin hat die GPA im Arbeitskreis Kritische Infrastrukturen 32 bereits veröffentlichte Prüfberichte ausgewertet. Dazu wurden Schlagwörter aus den Berichten mithilfe einer quantitativen Inhaltsanalyse extrahiert, gezählt und in zwei Ranglisten dargestellt. Eine Rangliste enthält positive Bewertungen mit fortführenden Empfehlungen, die andere negative Bewertungen und unzureichende Sicherheitsvorkehrungen, die Handlungsbedarf erfordern. Synonyme und ähnliche Formulierungen wurden thematisch zusammengefasst. Die Ergebnisse werden den Anforderungen an Kommunen im Kontext der kritischen Infrastrukturen gegenübergestellt und mögliche Handlungsbedarfe identifiziert.
In der Untersuchung zeigte sich, dass in 37,5 Prozent der Berichte die Anforderungen an einen IT-Grundschutz laut GPA und in 25 Prozent der Berichte die wesentlichen Anforderungen erfüllt werden. Damit wird für rund 63 Prozent ein IT-Grundschutz angegeben. Keine Gefährdungen wurden in weiteren 28 Prozent der Berichte angegeben. Damit haben rund 90 Prozent der untersuchten Kommunen eine positive Bewertung durch die GPA erhalten. Empfehlung ist hier, die Arbeiten an IT-Sicherheitskonzepten fortzuführen sowie die bestehenden Konzepte zu bündeln und einheitlich zu dokumentieren. Rund drei Prozent der Kommunen arbeiten bereits an einer Zertifizierung durch das Bundesamt für Sicherheit in der Informationstechnik (BSI).
In über sechs Prozent der Berichte wurden konkrete Gefährdungen aufgezeigt und in weiteren sechs Prozent eine unzureichende Sicherheitsorganisation. Den Schwerpunkt bilden mit rund 41 Prozent aller Berichte fehlende oder unzureichende Vorgaben zur Notfallvorsorge trotz vorhandener IT-Grundschutzmaßnahmen. In über sechs Prozent wird die Erstellung einer Informationssicherheitsleitlinie empfohlen. Knapp 16 Prozent wird empfohlen, einen IT-Sicherheitsbeauftragten zu verankern.

Kritische Infrastrukturen in zwei Bereiche unterteilt

Das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) und das Gesetz zur Stärkung der Sicherheit in der Informationstechnik des Bundes nehmen keinen direkten Bezug auf Kommunen, sondern adressieren die kritischen Infrastrukturen (KRITIS) im Allgemeinen. Die kritischen Infrastrukturen wurden ausgehend vom Nationalen Plan zum Schutz der Informationsinfrastrukturen (NPSI) in zwei Teilbereiche geglie­dert: Den Bereich UP KRITIS als öffentlich-private Kooperation der Betreiber kritischer Infrastrukturen und den Bereich UP BUND für den Bereich Staat und Verwaltung. In diesem Umfeld wurden zahlreiche Dokumente und Leitfäden geschaffen, wobei der Bereich UP BUND noch keine gesetzlichen Anforderungen an Kommunen veröffentlicht hat.
Folgende vom BSI und vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe veröffentlichte Dokumente nehmen Bezug auf Kommunen: Im Jahr 2005 ist ein Dokument mit Empfehlungen für Unternehmen zum Schutz kritischer Infrastrukturen mit Blick auf Basisschutzkonzepte erschienen. 2007 erschien der Umsetzungsplan KRITIS des Nationalen Plans zum Schutz der Informationsstrukturen. Die Nationale Strategie zum Schutz kritischer Infrastrukturen, die so genannte KRITIS-Strategie, wurde im Jahr 2009 veröffentlicht. Im Jahr 2011 wurde zum einen die Cyber-Sicherheitsstrategie für Deutschland und zum anderen der Leitfaden für Unternehmen und Behörden zum Schutz kritischer Infrastrukturen mit Blick auf Risiko- und Krisen-Management herausgegeben. Die Abschätzung der Verwundbarkeit gegenüber Hochwasserereignissen auf kommunaler Ebene (Verwundbarkeitsassessment) und die Leitlinie für die Informationssicherheit in der öffentlichen Verwaltung datieren aus dem Jahr 2013. Im darauffolgenden Jahr schließlich erschien die Handreichung zur Ausgestaltung der Informationssicherheitsleitlinie in Kommunalverwaltungen und es wurde die UP KRITIS Öffentlich-Private Partnerschaft zum Schutz kritischer Infrastrukturen institutionalisiert.

Kommunen sind wichtige Bausteine in der KRITIS-Kette

Eine Auswertung der Dokumente zeigt, dass aktuell keine direkten verbindlichen Vorgaben für Kommunen vorliegen. Allerdings gibt es indirekte Verknüpfungen, die im Falle einer Verbindung mit einer Institution, die unter die gesetzlichen Anforderungen fällt, auch die Kommunen in diesen gesetzlichen Anforderungsrahmen rücken. So ist es in der Leitlinie für die Informationssicherheit in der öffentlichen Verwaltung der Fall. Die tägliche Arbeit über das Sicherheitsgateway mit Systemen der Landes- oder Bundesbehörden würde diese Verknüpfung beispielsweise herstellen.
Daneben zeigt die Analyse, dass Kommunen als Unterstützer zum Schutz kritischer Infrastrukturen gesehen werden und somit einen wichtigen Baustein in der KRITIS-Kette darstellen. Das BSI schreibt hierzu: „Kommunen sind von einem möglichen Ausfall von kritischen Infrastrukturen unmittelbar betroffen. Daher bezieht die KRITIS-Strategie neben Bund und Ländern explizit auch die kommunale Ebene ein, wenn es darum geht, den Schutz kritischer Infrastrukturen zu fördern und in ihren Zuständigkeitsbereichen umzusetzen.“
Ein Informationssicherheitsmanagement-System (ISMS) kann die bereits in den Kommunen vorhandenen IT-Sicherheitsmaßnahmen weiter ausbauen und für die größtenteils fehlenden Vorgaben zur Notfallvorsorge einen konzeptionellen Rahmen bilden. Ein solches System lässt sich nach und nach ausbauen, um einen einheitlichen Sicherheitsstandard in der Kommune im Kontext der KRITIS zu gewährleisten. Die Grundwerte des ISMS nach BSI IT-Grundschutz entsprechen ebenfalls den Anforderungen nach § 10 Absatz 2 des nordrhein-westfälischen Landes-datenschutzgesetzes (DSG), wonach die Vertraulichkeit, Integrität und Verfügbarkeit der Daten zu gewährleisten ist.
Die 32 veröffentlichten Berichte entsprechen rund acht Prozent der 396 Kommunen in Nordrhein-Westfalen. Die Untersuchung ist somit zwar nicht repräsentativ, allerdings gibt sie einen kleinen Einblick in die Ausgangslage und den Handlungsbedarf der Kommunen.

Christian ter Stein genannt Louven ist Mitglied des Arbeitskreises Kritische Infra­strukturen im Kompetenzzentrum für Informationssicherheit der Hochschule Niederrhein.

http://www.gpanrw.de
http://www.hs-niederrhein.de
Dieser Beitrag ist in der November-Ausgabe von Kommune21 im Schwerpunkt IT-Sicherheit erschienen. Hier können Sie ein Exemplar bestellen oder die Zeitschrift abonnieren. (Deep Link)

Stichwörter: IT-Sicherheit, Nordrhein-Westfalen, Gemeindeprüfungsanstalt Nordrhein-Westfalen



Druckversion    PDF     Link mailen



Weitere Meldungen und Beiträge aus dem Bereich IT-Sicherheit
Baden-Württemberg: Führungsduo für Cybersicherheitsagentur
[22.9.2021] Beim Aufbau der Cybersicherheitsagentur Baden-Württemberg (CSBW) ist mit der Ernennung eines Führungsduos ein weiterer Meilenstein erreicht. Die CSWB ist ein zentrales Element der Cybersicherheitsarchitektur des Landes. Sie soll bestehende Cybersicherheitsstrukturen vernetzen. mehr...
Das neue Führungsduo der Cybersicherheitsagentur Baden-Württemberg
Hamburg: BfDI warnt vor Zoom-Einsatz
[8.9.2021] In Hamburg hat der Beauftragte für Datenschutz und Informationsfreiheit die Senatskanzlei offiziell gewarnt, die Videokonferenzlösung von Zoom in der On-demand-Variante zu verwenden. Die Lösung könne nicht DSGVO-konform genutzt werden. mehr...
Fuldatal: Sichere E-Mail-Kommunikation Bericht
[8.9.2021] Eine sichere E-Mail-Kommunikation will die Gemeinde Fuldatal gewährleisten. Die bislang eingesetzte Lösung war jedoch aufwendig, weshalb eine DSGVO-konforme und nutzerfreundliche neue Anwendung gesucht wurde. Die schweiz-deutsche Secure E-Mail-Lösung SEPPmail von atecto erfüllt diese Anforderungen. mehr...
Fuldatal ist eine sichere E-Mail-Kommunikation mit den Bürgern wichtig.
BNetzA: Neuer Katalog mit Sicherheitsanforderungen
[31.8.2021] Im Einvernehmen haben die Bundesnetzagentur (BNetzA), das BSI und der Bundesdatenschutzbeauftragte den neuen Katalog von Sicherheitsanforderungen festgelegt. Erstmals werden darin die Betreiber öffentlicher Telekommunikationsnetze mit erhöhtem Gefährdungspotenzial eingestuft. mehr...
Starnberg: Sichere Bürgerdaten
[13.7.2021] Das Landratsamt Starnberg hat als erste Kreisverwaltung in Deutschland das ISO 27001 Zertifikat erhalten. Damit kann es für die Daten ihrer Bürgerinnen und Bürger höchste Sicherheitsstandards garantieren. mehr...
Landrat Stefan Frey (l.) und IT-Leiter Thomas Eberhard (r.) nehmen die Zertifizierungs-Urkunde von Franz Obermayer von der complimant AG entgegen.
Weitere FirmennewsAnzeige

Schulkonfigurator: Online-Tool verschafft Schulen Überblick bei der Digitalisierung
[20.9.2021] Der DigitalPakt Schule kommt nur schleppend voran, Fördermittel bleiben ungenutzt. Woran es hakt und wie die Deutsche Telekom den Schulen mithilfe eines Online-Tools zu einem besseren Durchblick im Technik-Dschungel verhelfen will. mehr...

Kongressmesse: Smart Country Convention geht als Special Edition an den Start
[20.9.2021] Ob Onlinezugangsgesetz, Daseinsvorsorge 4.0 oder IT-Sicherheit in der Verwaltung – am 26. und 27. Oktober dreht sich bei der Smart Country Convention alles um die Digitalisierung des Public Sectors. mehr...
Suchen...

 Anzeige



Aktuelle Information des Verlags


In Zeiten der Corona-Pandemie werden wir aktuelle Ausgaben von Kommune21 allen Interessierten bis auf weiteres kostenfrei digital zur Verfügung stellen. Weisen Sie bitte auch Ihre Kolleginnen und Kollegen im Homeoffice auf diese Möglichkeit hin.

Wir haben an dieser Stelle eine Bitte an Sie:
Die gegenwärtige Situation macht einmal mehr deutlich, wie wichtig das Thema Digitalisierung auch in Ihrer Verwaltung, Behörde oder Schule ist. Kommune21 berichtet seit 20 Jahren über alle wichtigen Themen der IT-gestützten Verwaltungsmodernisierung und hilft, die Digitalisierung im Public Sector transparent und besser zu gestalten. Bitte prüfen Sie über Ihre Buchhaltung, ob Sie bereits ein reguläres Abonnement von Kommune21 haben. Wenn nicht, dann freuen wir uns, wenn Sie gerade in diesen Zeiten ein Abonnement in Betracht ziehen. Danke!

Kommune21, Ausgabe 9/2021
Kommune21, Ausgabe 8/2021
Kommune21, Ausgabe 7/2021
Kommune21, Ausgabe 6/2021

Ausgewählte Anbieter aus dem Bereich IT-Sicherheit:
GISA GmbH
06112 Halle (Saale)
GISA GmbH
procilon GmbH
04425 Taucha bei Leipzig
procilon GmbH
NCP engineering GmbH
90449 Nürnberg
NCP engineering GmbH
Aktuelle Meldungen