Wie führt eine Gemeinde, ein Zweckverband oder eine kantonale Stelle ein Cyber Assessment durch, das auch nach der nächsten Wahl noch trägt? Indem sie einen passenden Rahmen wählt, mit den kritischsten Fachsystemen beginnt, den externen Informatikbetreiber von Anfang an einbezieht und die Ergebnisse so aufbereitet, dass die Exekutive darüber entscheiden kann. Dieser Leitfaden behandelt, was in der öffentlichen Verwaltung anders ist als in einem Unternehmen.

Den allgemeinen Ablauf einer Bewertung nach dem IKT-Minimalstandard, von der Erhebung bis zum Risikoregister, beschreibt der Leitfaden zur Umsetzung des IKT-Minimalstandards. Hier geht es um die Besonderheiten der Verwaltung.

Was die Verwaltung besonders macht

Verwaltungen arbeiten mit sensiblen Personendaten der Bevölkerung, mit Fachanwendungen, die für ihre Aufgaben unverzichtbar sind, und mit IT-Landschaften, die über Jahre gewachsen sind. Dazu kommen vier Eigenheiten, die ein Assessment berücksichtigen muss.

Viele Beteiligte mit unterschiedlicher Sicht. Die IT schaut auf Systeme und Schutzmassnahmen, die Verwaltungsleitung auf Risiken, Haftung und Budget, die Fachabteilungen auf die Betriebsfähigkeit, der externe Betreiber auf seine vertraglichen Leistungen. Ohne gemeinsame Bewertungslogik reden alle aneinander vorbei, und beschlossene Massnahmen werden nirgends verankert.

Ein grosser Teil der IT liegt bei Dritten. Viele Gemeinden betreiben ihre Informatik über einen externen Dienstleister, ein Rechenzentrum oder einen Verbund mit anderen Gemeinden. Die Verantwortung für die Sicherheit der eigenen Daten bleibt trotzdem bei der Verwaltung.

Entscheide fallen in politischen Gremien. Budget und Prioritäten legt die Exekutive fest, in kleineren Gemeinden oft ein Gemeinderat im Milizamt. Die Ergebnisse müssen für Personen ohne Informatikhintergrund verständlich sein.

Wechsel nach Wahlen und Pensionierungen. Mit neuen Behördenmitgliedern oder einer neuen Gemeindeschreiberin geht Wissen verloren, wenn es nicht dokumentiert ist. Was nur in den Köpfen und in verstreuten Dateien liegt, muss nach einem Wechsel neu erarbeitet werden.

Öffentliche Verwaltungen gehören zudem zu den Organisationen, an die sich der IKT-Minimalstandard richtet. Welche Organisationen sonst betroffen sind und wann daraus eine Pflicht wird, klärt der Leitfaden Wer braucht den IKT-Minimalstandard?.

Den passenden Rahmen wählen

Je nach Grösse und Auftrag kommen verschiedene Rahmenwerke in Frage. Mehrere getrennte Prüfwelten aufzubauen ist für eine Verwaltung kaum zu stemmen. Wählen Sie einen Hauptrahmen und nutzen Sie die Ergebnisse für weitere Nachweiszwecke mit.

Rahmen	Passt, wenn
Cyber Security Basis Check	eine kleine Gemeinde zum ersten Mal einen Überblick braucht, kostenlos und ohne Vorkenntnisse
IKT-Minimalstandard	eine Schweizer Referenz gefragt ist, an der sich Kanton, Verbund oder Revision orientieren
NIST CSF 2.0	Governance und Steuerung stärker im Vordergrund stehen sollen, etwa in grösseren Verwaltungen
ISO 27001	ein formales Managementsystem mit Zertifizierung angestrebt wird

Für die meisten Gemeinden und kantonalen Stellen ist der IKT-Minimalstandard ein naheliegender Hauptrahmen. Der Basis Check eignet sich als Einstieg, um in kurzer Zeit die dringendsten Lücken zu sehen und die Exekutive für ein umfassenderes Assessment zu gewinnen. Den Vergleich der internationalen Rahmenwerke vertieft der Leitfaden ISO 27001 oder NIST CSF.

Den Geltungsbereich festlegen

Nicht jede Verwaltung muss alle Abteilungen, Standorte und Anwendungen in der ersten Runde gleich tief prüfen. Beginnen Sie bei den Bereichen, deren Ausfall den Dienst an der Bevölkerung am stärksten trifft:

• zentrale Fachanwendungen, etwa für Einwohnerdienste, Steuern oder Sozialhilfe
• Identitäts- und Berechtigungsverwaltung, besonders privilegierte Konten
• externe Zugänge, Fernwartung durch Dienstleister und Homeoffice
• Datensicherung und Wiederherstellung
• Notfallorganisation: wer entscheidet, wer informiert, wie wird ohne IT weitergearbeitet

Halten Sie schriftlich fest, was im Geltungsbereich liegt und was bewusst später folgt. Bei Zweckverbänden und gemeinsam genutzten Systemen klären Sie vorab, welche Organisation welchen Teil bewertet. Sonst geht jede Gemeinde davon aus, dass die andere sich darum kümmert.

Den externen Betreiber einbeziehen

Wenn ein Dienstleister die Informatik betreibt, kann die Verwaltung viele Fragen nicht selbst beantworten. Laden Sie ihn deshalb von Anfang an ein und klären Sie die Aufteilung der Zuständigkeiten:

Thema	Typisch bei der Verwaltung	Typisch beim Betreiber
Wer welche Daten sehen darf	Freigabe von Berechtigungen, Austritte melden	technische Umsetzung, Protokollierung
Datensicherung	Festlegen, wie lange ein Ausfall tragbar ist	Sicherung, Wiederherstellungstests, Protokolle
Patches und Updates	Termine mit dem Betrieb abstimmen	Einspielen, Überwachung
Notfall	Entscheide, Information der Bevölkerung, Weiterarbeit ohne IT	Wiederanlauf der Systeme
Schulung	Sensibilisierung der Mitarbeitenden	Hinweise zu aktuellen Bedrohungen

Verlangen Sie für die Antworten des Betreibers Nachweise: Testprotokolle, Auszüge aus Konfigurationen, Berichte. Was im Vertrag nicht geregelt ist, wird zu einer Massnahme auf Seite der Verwaltung, etwa die Ergänzung des Vertrags um Sicherheitsanforderungen oder um eine Meldepflicht bei Vorfällen. Wie Sie Dienstleister systematisch beurteilen, beschreibt der Leitfaden Lieferantenrisiken mit Fragebogen bewerten.

Assessment und Audit auseinanderhalten

Ein Assessment soll Transparenz schaffen und Verbesserungen steuern. Ein Audit prüft, ob Vorgaben erfüllt sind. Werden die beiden vermischt, wollen die Beteiligten vor allem zeigen, dass schon alles stimmt, und die Erhebung wird geschönt. Sagen Sie deshalb zu Beginn klar, dass offene Lücken erwartet werden und niemandem angelastet werden. Eine ehrliche Bewertung mit vielen Lücken ist für die Steuerung wertvoller als eine wohlwollende.

Bewerten Sie jede Anforderung mit Umsetzungsgrad, Nachweis und Zuständigkeit. So wird sichtbar, ob eine Massnahme nur konzipiert, teilweise umgesetzt oder im Betrieb verankert ist. Formale Erfüllung und tatsächliche Wirksamkeit decken sich nicht immer, und gerade an den organisatorischen Schnittstellen zwischen Fachbereich, IT und Betreiber entstehen die meisten Lücken: unklare Freigaben, nicht gepflegte Berechtigungskonzepte, uneinheitliche Prozesse.

Massnahmen formulieren Sie so konkret, dass sie überprüfbar sind. Aus «Berechtigungen prüfen» wird zum Beispiel: «Jährliche Rezertifizierung der privilegierten Konten der Steuersoftware einführen, verantwortlich die IT-Leitung, umgesetzt bis Ende des dritten Quartals.» Felder und Formulierungshilfen für Massnahmen finden Sie im Leitfaden zur Umsetzung.

Für die Exekutive berichten

Die Auswertung braucht zwei Ebenen. Die Fachleute brauchen die Lücken je Themenbereich. Die Exekutive braucht eine verdichtete Sicht, auf deren Grundlage sie entscheiden kann. Wer nur Detailfragen sieht, kann schlecht entscheiden. Wer nur eine Ampel sieht, weiss nicht, wo konkret angesetzt werden muss.

Ein Bericht an Gemeinderat oder Verwaltungsleitung enthält:

• den Stand je Themenbereich, möglichst im Vergleich zur letzten Bewertung
• die wichtigsten Lücken und ihre Folgen für den Dienst an der Bevölkerung
• die Massnahmen, die Geld oder einen Entscheid brauchen, mit Betrag oder Aufwand, sofern bekannt
• die Risiken, die vorerst bestehen bleiben, mit Antrag auf ausdrückliche Annahme
• den Stand der Massnahmen aus dem Vorjahr

Halten Sie im Protokoll fest, welche Risiken die Exekutive akzeptiert und welche Massnahmen sie freigibt. Diese Entscheide sind später der Nachweis, dass die Verwaltung ihre Risiken kennt und bewusst damit umgeht. Wie solche Entscheide festgehalten werden, zeigt der Leitfaden Risikoakzeptanz festlegen.

Für Behördenmitglieder, die sich ohne Fachwissen in das Thema einarbeiten wollen, eignet sich das Selbstlernmodul «Cyber-Risiken: Führung gefordert», entstanden mit der HWZ: rund 50 Minuten, ohne Technik, mit Fokus darauf, warum Informationssicherheit Chefsache ist und wie sich der Reifegrad sichtbar machen lässt.

Kontinuität über Wahlperioden

Ein einmaliger Workshop erzeugt Aufmerksamkeit, aber keine Steuerung. Damit das Assessment eine Wahl oder einen Personalwechsel übersteht, braucht es:

• eine feste Zuständigkeit in der Verwaltung, mit Stellvertretung
• einen jährlichen Termin im Budgetprozess, an dem der Stand berichtet wird
• eine nachvollziehbare Historie: wer welche Bewertung wann geändert hat, welche Massnahme wann umgesetzt wurde
• vergleichbare Bewertungen über die Jahre, damit Fortschritt im Budgetgespräch belegt werden kann

Mit Tabellen und Word-Dokumenten ist das schwer durchzuhalten. Versionen geraten durcheinander, Nachweise liegen an verschiedenen Orten, und die Auswertung muss jedes Jahr von Hand erstellt werden.

Worauf Sie bei einem Werkzeug achten

Für die Verwaltung zählen neben den fachlichen Funktionen einige besondere Punkte:

• Rahmenwerke: Lassen sich IKT-Minimalstandard und gegebenenfalls weitere Rahmen in derselben Umgebung bewerten?
• Rollen: Können Fachbereiche und der externe Betreiber ihre Teile beantworten, ohne alles zu sehen?
• Berichte: Gibt es eine Fassung, die der Gemeinderat ohne Erklärung liest, und eine bearbeitbare, die Sie in eigene Unterlagen übernehmen?
• Datenhaltung: Wo werden die Angaben zur eigenen Sicherheitslage gespeichert? Sie sind selbst schützenswert. Mehr dazu im Leitfaden Schweizer Datenhaltung bei Sicherheitssoftware.
• Einführbarkeit: Ist das Werkzeug ohne monatelanges Projekt und ohne dauernde Beratung nutzbar?
• Beschaffung: Passt das Bezahlmodell zu den Abläufen der Verwaltung?

So unterstützt SCMC Verwaltungen

SCMC bietet die Rahmenwerke aus der Tabelle oben als einzelne Module auf einer Plattform an. Mehrere Module lassen sich in einem Projekt kombinieren. Im IKT-Minimalstandard-Modul erfassen Fachbereiche und Betreiber ihre Antworten mit Begründung und Dokumentlink, Massnahmen tragen Frist, verantwortliche Person und eine eigene Validierung, und Erinnerungen gehen per E-Mail an die Zuständigen. Wer lieber gemeinsam in einer Sitzung arbeitet, lädt die Bewertung als Excel herunter und liest sie danach wieder ein.

Für den Bericht an die Exekutive gibt es Bewertung, Massnahmen und Risikoanalyse als bearbeitbare Word-Dokumente, dazu einen PDF-Bericht und den Vergleich mit früheren Bewertungen. Der Verlauf zeigt, wer was wann geändert hat, und für das nächste Jahr duplizieren Sie die Bewertung als Grundlage. Die Daten sind in der Schweiz gespeichert (AWS, Rechenzentren in Zürich). Module lassen sich im Jahresabo auch auf Rechnung kaufen, mit Swiss QR-Rechnung. Die Konditionen stehen unter Preise, Antworten auf häufige Fragen im Hilfe-Center.

Die Ergebnisse sind eine dokumentierte Selbstbeurteilung und ersetzen keine Prüfung durch Revision oder Aufsicht.

Typische Fehler

Zu breit beginnen. Wenn die ganze Verwaltung auf einmal gegen alle denkbaren Anforderungen geprüft wird, ermüden die Beteiligten, bevor erste Ergebnisse vorliegen. Ein priorisierter Einstieg mit Ausweitung in Etappen kommt weiter.

Den Betreiber erst am Schluss fragen. Dann fehlen für einen grossen Teil der Antworten die Nachweise, und die Bewertung muss wiederholt werden.

Keine Verbindlichkeit nach der Auswertung. Werden Lücken erkannt, aber nicht in Massnahmen mit Verantwortlichen und Terminen überführt, bleibt das Assessment ein Momentbild.

Ergebnisse nur in der IT. Wenn die Exekutive den Bericht nie sieht, fehlen Budget und Entscheide für die grossen Lücken, und Restrisiken werden stillschweigend getragen statt bewusst angenommen.