Vorhaben besprechen

TOOLBOX · COMPLIANCE & NIS2

REIFEGRADCHECKGEMEINDEN.

Wie gut ist Ihr Gemeindeamt geschützt? 13 Fragen nach dem BSI-Profil für Kommunalverwaltungen, dem IT-Grundschutz und der DSGVO, sofort ein Reifegrad mit Maßnahme, Begründung und Quelle zu jeder Lücke.

13 Fragen für Gemeinden

0 von 13 beantwortet

Bleibt in Ihrem Browser: Ihre Antworten werden nicht gesendet und nicht gespeichert. Nach dem Schließen der Seite sind sie weg; drucken Sie den Bericht oder speichern Sie ihn als PDF.

Antworten Sie je Maßnahme mit Ja, Teilweise oder Nein. Unter jeder Frage steht, was „Ja“ bedeutet. Wenn Sie es nicht wissen, wählen Sie Nein: Eine Maßnahme, die niemand bestätigen kann, zählt nicht als umgesetzt.

  1. Frage 1: Hat die Gemeindeleitung eine Person benannt, die die Informationssicherheit vorantreibt, und ihr dafür Zeit und Mittel gegeben?

    OrganisationWichtige Maßnahme

    Ja heißt: Die Person ist benannt, am besten schriftlich, kennt ihre Aufgaben, hat Zeit und Mittel dafür und kann bei Bedarf direkt an Bürgermeisterin, Bürgermeister oder Amtsleitung berichten. Die Rolle darf mit anderen Aufgaben verbunden sein.

  2. Frage 2: Hat die Gemeinde eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benannt, und wird diese Person in Sicherheitsfragen eingebunden?

    OrganisationGrundlage

    Ja heißt: benannt, Kontaktdaten veröffentlicht und der Datenschutzbehörde mitgeteilt, und die Person wird bei neuen Verfahren, Dienstleistern und Vorfällen beteiligt. Sie kann auch extern oder für mehrere Gemeinden gemeinsam benannt sein.

  3. Frage 3: Gibt es eine aktuelle Übersicht über alle Standorte, IT-Systeme, Fachanwendungen und Dienstleister, vom Gemeindeamt über den Bauhof bis zum Kindergarten?

    OrganisationGrundlage

    Ja heißt: Die Übersicht ist vollständig, nennt für jeden Eintrag Zuständige und Anbieter und wird bei Änderungen nachgeführt.

  4. Frage 4: Werden Benutzerkonten und Berechtigungen nach einem festen Ablauf vergeben und beim Wechsel oder Austritt einer Person sofort entzogen?

    Konten und ZugängeWichtige Maßnahme

    Ja heißt: Jedes Konto gehört genau einer Person, Rechte richten sich nach der Aufgabe, es ist dokumentiert, wer welche Rechte hat, und bei Wechsel oder Austritt werden nicht mehr benötigte Konten und Rechte umgehend entfernt.

  5. Frage 5: Nutzen Administratorinnen und Administratoren, auch die Ihres IT-Dienstleisters, eigene Admin-Konten, die nicht für E-Mail und Internet im Alltag verwendet werden?

    Konten und ZugängeWichtige Maßnahme

    Ja heißt: Alltagsarbeit läuft ohne Administrationsrechte, Admin-Kennungen sind von den Alltagskennungen getrennt, und Administrationsrollen sind festgelegt.

  6. Frage 6: Ist für E-Mail, Cloud-Dienste und Zugriffe von außen eine Anmeldung mit zweitem Faktor eingerichtet?

    Konten und ZugängeSchlüsselmaßnahme

    Ja heißt: Neben dem Passwort ist für alle diese Zugänge ein zweiter Faktor nötig, etwa eine Bestätigung in einer App, ein Sicherheitsschlüssel oder eine Chipkarte.

  7. Frage 7: Werden Betriebssysteme, Programme und Netzgeräte wie Firewall und Router nach einem festgelegten Ablauf zeitnah aktualisiert, mit klarer Zuständigkeit?

    Systeme und NetzSchlüsselmaßnahme

    Ja heißt: Es ist festgelegt, wer Updates bewertet und einspielt, automatische Updates sind bewusst eingestellt, und Geräte ohne Herstellerunterstützung werden ersetzt, sofern sie sich nicht nachweislich sicher weiterbetreiben lassen.

  8. Frage 8: Ist auf allen Arbeitsplätzen und Servern ein aktueller Virenschutz aktiv, den Mitarbeitende nicht abschalten können, und wissen alle, an wen sie sich bei einem Verdacht wenden?

    Systeme und NetzWichtige Maßnahme

    Ja heißt: ein professionell betreuter Virenschutz auf allen Geräten, Einstellungen für Benutzende gesperrt, Ansprechperson für Verdachtsfälle bekannt.

  9. Frage 9: Wird regelmäßig nach Plan gesichert, liegt mindestens eine Sicherung räumlich getrennt und vor Überschreiben geschützt, und testen Sie die Wiederherstellung?

    Daten und SicherungSchlüsselmaßnahme

    Ja heißt: Es gibt einen Sicherungsplan, eine Kopie liegt an einem anderen Ort und kann nicht absichtlich oder unbeabsichtigt überschrieben werden, und die Rücksicherung wird regelmäßig getestet, zuletzt erfolgreich.

  10. Frage 10: Läuft jede Fernwartung durch Dienstleister über bekannte, verschlüsselte Zugänge, wird sie aufgezeichnet und ist sie vertraglich geregelt?

    DienstleisterSchlüsselmaßnahme

    Ja heißt: Alle Fernwartungszugänge sind dokumentiert und auf das Nötige beschränkt, Verbindungen werden nach der Sitzung getrennt, Sitzungen von Dritten werden aufgezeichnet, und der Vertrag regelt die Sicherheit.

  11. Frage 11: Sind bei Cloud-Diensten und ausgelagerter IT die Sicherheitsanforderungen, ein Auftragsverarbeitungsvertrag und der geordnete Ausstieg vertraglich geregelt?

    DienstleisterWichtige Maßnahme

    Ja heißt: Für jeden Dienst gibt es einen Vertrag mit Sicherheitsanforderungen und Prüfrechten, einen Auftragsverarbeitungsvertrag, wo personenbezogene Daten verarbeitet werden, und eine Regel für Rückgabe und Ausstieg.

  12. Frage 12: Ist festgelegt, was als Sicherheitsvorfall gilt, wer dann entscheidet, wer zu informieren ist und wie der Betrieb sicher wiederhergestellt wird?

    Vorfall und NotfallWichtige Maßnahme

    Ja heißt: Eine kurze, allen bekannte Richtlinie nennt Zuständige und aktuelle Kontakte und regelt auch die Meldung an die Datenschutzbehörde.

  13. Frage 13: Werden Gemeindeleitung und Mitarbeitende regelmäßig zu Informationssicherheit sensibilisiert und geschult, etwa zu Phishing und Passwörtern?

    MenschenWichtige Maßnahme

    Ja heißt: neue Mitarbeitende werden eingewiesen, alle werden fortlaufend geschult, und die Leitung unterstützt die Schulungen sichtbar.

0 von 13 beantwortet

SO RECHNET DER CHECK

Nachvollziehbar
statt Bauchgefühl.

13 Fragen, höchstens 28 Punkte. Die Maßnahmen stützen sich auf die genannten Quellen, einzelne Umsetzungsbeispiele sind Empfehlungen von TOMORIS; Gewichte und Stufen sind eine Einschätzung von TOMORIS nach der Wirkung einer Maßnahme.

  • 01

    Antworten werden Punkte

    Ja zählt 1, Teilweise 0,5 und Nein 0 Punkte, jeweils mal dem Gewicht der Frage. Wissen Sie es nicht, wählen Sie Nein.

  • 02

    Gewicht nach Wirkung

    Schlüsselmaßnahme (3, hier 4×): Schützt unmittelbar vor den schwersten Folgen eines Angriffs oder Ausfalls: Datenverlust, Stillstand oder die Übernahme von Konten und Zugängen. Wichtige Maßnahme (2, hier 7×): Macht einen Vorfall unwahrscheinlicher oder begrenzt sein Ausmaß und seine Dauer. Grundlage (1, hier 2×): Organisatorische Voraussetzung, die über die anderen Maßnahmen wirkt, etwa Verantwortung, Überblick oder Dokumentation.

  • 03

    Prozent und Stufe

    Erreichte durch mögliche Punkte, abgerundet auf ganze Prozent. Stufe 1 Einstieg: 0 bis 39 Prozent. Stufe 2 Grundlagen: 40 bis 69 Prozent. Stufe 3 Fortgeschritten: 70 bis 89 Prozent. Stufe 4 Etabliert: ab 90 Prozent.

  • 04

    Schlüsselmaßnahmen begrenzen

    Ist eine Schlüsselmaßnahme mit Nein beantwortet, bleibt der Reifegrad bei höchstens Stufe 2, auch wenn die Prozentzahl höher liegt. Der Bericht nennt die offenen Maßnahmen nach Gewicht sortiert.

GRUNDLAGE

Worauf die
Fragen beruhen.

Gemeinden und Gemeindeverbände zählen nach § 24 Abs. 3 NISG 2026 nicht zu den Einrichtungen im Sektor der öffentlichen Verwaltung. Wer in der Gemeinde Trinkwasser liefert oder Abwasser sammelt, entsorgt oder behandelt, ob die Gemeinde selbst, eine Gemeindegesellschaft oder ein Verband, kann trotzdem als Einrichtung eines anderen Sektors erfasst sein; das prüfen Sie gesondert mit dem NIS2-Check.

Die DSGVO gilt für jede Gemeinde: geeignete technische und organisatorische Maßnahmen nach Art. 32 und, als öffentliche Stelle, eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter nach Art. 37.

Die Fragen folgen dem IT-Grundschutz-Profil „Basis-Absicherung Kommunalverwaltung“ in der Version 4.0 vom 13.11.2023. Es wurde von der Arbeitsgruppe kommunale Basis-Absicherung (AG koBA) mit Unterstützung des Deutschen Städtetags, des Deutschen Landkreistags und des Deutschen Städte- und Gemeindebunds erarbeitet, vom BSI veröffentlicht und beschreibt Mindestmaßnahmen als Einstieg. In Österreich ist es keine Rechtspflicht, aber ein gut übertragbares Vorbild.

Mehr zur Branche Gemeinden · NIS2-Betroffenheitscheck · Alle Downloads

FRAGEN

Gut zu wissen.

Wie wird der Reifegrad berechnet?

Jede Antwort bringt Punkte: Ja 1, Teilweise 0,5, Nein 0, multipliziert mit dem Gewicht der Frage (Schlüsselmaßnahme 3, wichtige Maßnahme 2, Grundlage 1). Diese Checkliste hat 13 Fragen und höchstens 28 Punkte. Die erreichten Punkte ergeben einen Prozentwert, abgerundet; daraus folgt die Stufe: Stufe 1 Einstieg 0 bis 39 Prozent, Stufe 2 Grundlagen 40 bis 69 Prozent, Stufe 3 Fortgeschritten 70 bis 89 Prozent, Stufe 4 Etabliert ab 90 Prozent. Ist eine Schlüsselmaßnahme mit Nein beantwortet, bleibt der Reifegrad bei höchstens Stufe 2.

Woher stammen die Fragen?

Aus dem IT-Grundschutz-Profil „Basis-Absicherung Kommunalverwaltung“ in der Version 4.0 vom 13.11.2023, das die Arbeitsgruppe kommunale Basis-Absicherung (AG koBA) mit Unterstützung der deutschen kommunalen Spitzenverbände erarbeitet hat und das BSI veröffentlicht, ergänzt um das IT-Grundschutz-Kompendium in der Edition 2023, die BSI-Empfehlung zur Zwei-Faktor-Authentisierung und die DSGVO. Das Profil ist deutsch und in Österreich keine Rechtspflicht, beschreibt aber Mindestmaßnahmen, die sich gut übertragen lassen. Jede Frage nennt ihre Fundstelle.

Gilt NIS2 für Gemeinden?

Als Einrichtung im Sektor öffentliche Verwaltung nicht: Gemeinden und Gemeindeverbände sind nach § 24 Abs. 3 NISG 2026 ausgenommen. Wer in der Gemeinde Trinkwasser liefert, Abwasser sammelt, entsorgt oder behandelt oder Abfälle sammelt oder behandelt, ob die Gemeinde selbst, eine Gemeindegesellschaft oder ein Verband, kann aber als Einrichtung der in Anlage 1 oder 2 genannten Art erfasst sein: in der Regel ab der Größe eines mittleren Unternehmens (§§ 24 und 25), unabhängig von der Größe auch nach Einstufung durch die Cybersicherheitsbehörde (§ 26) oder als kritische Einrichtung. Nicht erfasst ist, für wen die Abwasserentsorgung nur ein nicht wesentlicher Teil der allgemeinen Tätigkeit ist oder wessen Haupttätigkeit nicht die Abfallbewirtschaftung ist; das kann gerade auf die Gemeinde selbst zutreffen. Ob Ihre Gemeinde oder ihre Betriebe erfasst sind, prüfen Sie mit dem NIS2-Betroffenheitscheck.

Ist das Ergebnis ein Nachweis oder eine Rechtsberatung?

Nein. Der Check ist eine Selbsteinschätzung anhand Ihrer Antworten. Er ersetzt kein Audit und keine Rechtsberatung und weist nicht nach, dass gesetzliche oder berufsrechtliche Anforderungen erfüllt sind. Die Gewichte und Stufen sind eine Einschätzung von TOMORIS; die Maßnahmen stützen sich auf die genannten Quellen, einzelne Umsetzungsbeispiele sind Empfehlungen von TOMORIS.

Werden meine Antworten übertragen oder gespeichert?

Nein. Fragebogen und Auswertung laufen vollständig in Ihrem Browser; Ihre Antworten werden weder an TOMORIS noch an Dritte übertragen und nicht gespeichert, auch nicht auf Ihrem Gerät. Erst wenn Sie „Ergebnis besprechen“ wählen, übernimmt das Kontaktformular Branche und Reifegradstufe als Thema, Ihre einzelnen Antworten nicht.

Wie speichere ich den Bericht als PDF?

Im Bericht „Drucken oder als PDF“ wählen und im Druckdialog als Drucker „Als PDF speichern“ oder „Microsoft Print to PDF“ einstellen. Gedruckt wird nur der Bericht, im dunklen Modus hell.

TOOLBOX

Weitere
Werkzeuge.

IHR NÄCHSTER SCHRITT

Ergebnis da.
Und jetzt?

Wir ordnen Befunde ein, priorisieren nach Risiko und setzen auf Wunsch um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Ergebnis besprechen