Die geforderte Rolle ist besetzt. Nachweisbar.
Als externer Beauftragter für Informationssicherheit übernehme ich die Funktion, die Ihre Verwaltung besetzen muss. Mit der Erfahrung aus Häusern vergleichbarer Größe und mit dem Blick für das, was in einer Kommune tatsächlich umsetzbar ist.
Gespräch vereinbaren Erst die Bausteine ansehen.jpg)
Die Pflicht steht fest. Die Stelle meistens nicht.
In fast jeder Verwaltung sieht es ähnlich aus: Die Anforderung ist bekannt, die Verantwortung ist zugewiesen. Dann trifft sie auf einen Haushalt ohne Spielraum für eine neue Stelle sowie auf ein IT-Team, das ohnehin am Limit arbeitet.
- Die Rechtsaufsicht oder das Rechnungsprüfungsamt fragt nach der benannten Person und nach dem Stand der Umsetzung.
- Der kommunale IT-Dienstleister verlangt eine benannte Ansprechperson, bevor er ein Verfahren anbindet.
- Ein Vorfall in der eigenen oder in einer Nachbarkommune führt zu Fragen aus dem Gremium.
- Fördermittel setzen ein Sicherheitskonzept voraus, das es noch nicht gibt.
- Die Stelle für Informationssicherheit ist ausgeschrieben und bleibt unbesetzt.
Keine dieser Fragen wartet, bis eine Stelle geschaffen und besetzt ist. Die Rolle extern zu besetzen ist deshalb oft nicht die zweitbeste Lösung, sondern die einzige, die kurzfristig sinnvoll ist.
Beauftragter für Informationssicherheit, extern besetzt
Ich übernehme die Funktion des benannten Beauftragten für Informationssicherheit. Nach außen gegenüber der Aufsicht, nach innen gegenüber Amtsleitung und Fachbereichen. Die Verantwortung der Verwaltungsspitze bleibt davon unberührt, sie lässt sich nicht delegieren.
- Benennung als Beauftragter für Informationssicherheit (BfIS)
- Nachweisführung gegenüber der Aufsicht, einschließlich der wiederkehrenden Berichte
- Unterstützung bei der Meldung von Sicherheitsvorfällen
- Maßnahmenverfolgung mit Stand, Termin und Zuständigkeit
- Jährliche Sensibilisierung der Beschäftigten
- Beantwortung von Anfragen aus Gremien und Fachaufsicht
- Ansprechperson für die IT bei sicherheitsrelevanten Entscheidungen
Der Zuschnitt richtet sich nach Größe der Verwaltung, Zahl der Fachverfahren und dem Stand der bisherigen Arbeit. Das klären wir vor einem Angebot.
Zwei Bausteine, die häufig dazukommen
Beide sind einzeln buchbar und setzen keine laufende Beauftragung voraus.
Grundschutz-Check
Eine Standortbestimmung entlang des IT-Grundschutzes des Bundesamts für Sicherheit in der Informationstechnik. Sie wissen danach, wo die Verwaltung steht, welche Bausteine bereits erfüllt sind und welche Lücken zuerst zu schließen sind.
- Aufnahme der Verfahren, Systeme und Zuständigkeiten
- Abgleich gegen die einschlägigen Bausteine
- Priorisierter Maßnahmenplan mit Aufwandsschätzung
- Vorstellung in der Verwaltungsleitung
Einschätzung zum KI-Einsatz
Künstliche Intelligenz ist in vielen Verwaltungen bereits im Einsatz, oft ohne dass es beschlossen wurde. Diese Einschätzung klärt, wo das geschieht, welche Pflichten daraus folgen und was zuerst zu regeln ist.
- Bestandsaufnahme des tatsächlichen Einsatzes, einschließlich Schatten-KI
- Einordnung nach EU-KI-Verordnung, mit Blick auf die Rolle als Behörde
- Empfehlung für eine Dienstanweisung oder Nutzungsregelung
Beide Bausteine lassen sich mit der laufenden Beauftragung verbinden oder einzeln vergeben.
Wie eine Zusammenarbeit beginnt
Verwaltungen kaufen anders ein als Unternehmen. Der Ablauf ist darauf eingerichtet und berücksichtigt, dass am Anfang eine belastbare Grundlage für die Vergabeentscheidung stehen muss.
Gespräch ohne Verpflichtung
Dreißig Minuten zur Lage: Was ist gefordert, was ist vorhanden, wo drückt es. Kosten entstehen dabei nicht.
Angebot mit klarem Zuschnitt
Leistungen, Umfang und Honorar sind einzeln ausgewiesen, damit die Unterlage in Ihr Vergabeverfahren passt und im Gremium bestehen kann.
Benennung und Start
Nach dem Beschluss erfolgt die förmliche Benennung. Ab diesem Tag ist die Rolle besetzt und ansprechbar.
Zur Vergabeform: Ob eine Direktvergabe möglich ist oder ein förmliches Verfahren nötig wird, hängt vom Auftragswert und den in Ihrem Land geltenden Wertgrenzen ab. Das entscheidet Ihre Vergabestelle, nicht ich. Das Angebot ist so aufgebaut, dass beide Wege möglich bleiben.
Warum diese Rolle bei mir in guten Händen ist
Öffentliche Verwaltung ist kein Nebenschauplatz für mich. Ein erheblicher Teil meiner Laufbahn hat in Strukturen stattgefunden, die ähnlich arbeiten.
Was das praktisch bedeutet: Ich kenne Dienstwege, Beteiligung und die Frage, wer wofür zeichnet, aus eigener Anschauung. Dazu die fachliche Seite mit CISSP, gelistetem Auditor ISO 27001 beim TÜV SÜD und IT-Grundschutzpraktiker des BSI. Das Ehrenamt als Richter kommt hinzu, weil es zeigt, dass mir öffentliche Verantwortung nicht fremd ist.
Wann Sie besser jemand anderen fragen
- Wenn ausschließlich die Benennung für die Akte gesucht wird, ohne dass ich wirksam werden kann.
- Wenn technische Umsetzung im Vordergrund steht, also Firewall, Netzsegmentierung oder der Betrieb von Systemen. Das übernehmen Ihr IT-Dienstleister oder Ihr kommunales Rechenzentrum, ich arbeite auf der Ebene darüber. Wenn Sie dafür noch niemanden haben, sprechen Sie mich an, ich empfehle Ihnen gern passende Fachleute.
- Wenn ein vollständiges Sicherheitskonzept bis zu einem sehr kurzen Termin vorliegen muss. Das ist möglich, aber dann reden wir über einen anderen Zuschnitt und einen anderen Aufwand. Der passende Einstieg dafür steht unter Beratung und Audit.
Ein Gespräch genügt für die Einordnung
Bringen Sie mit, was gerade ansteht: die Anfrage der Aufsicht, den offenen Punkt aus der Prüfung, die unbesetzte Stelle. Danach wissen Sie, welcher Zuschnitt passt und in welcher Größenordnung sich das bewegt. Auch dann, wenn ich nicht der Richtige bin.
Gespräch vereinbaren Oder erst eine Nachricht schreiben.jpg)