SiKoSH – Sicherheit für Kommunen in Schleswig-Holstein

INFORMATIONSSICHERHEIT · KOMMUNEN · SCHLESWIG-HOLSTEIN

SiKoSH – Sicherheit für Kommunen in Schleswig-Holstein

Informationssicherheit in Kommunalverwaltungen systematisch und praxisnah organisieren. SiKoSH unterstützt Städte, Gemeinden, Ämter und Kreise beim Aufbau und fortlaufenden Betrieb eines Informationssicherheitsmanagementsystems (ISMS). Das Rahmenwerk verbindet die Methodik des BSI-IT-Grundschutzes mit kommunal zugeschnittenen Anleitungen und Arbeitshilfen.

Einordnung

SiKoSH ist kein Gesetz, kein eigenständiges Zertifikat und keine automatische Bestätigung eines ausreichenden Sicherheitsniveaus. Es ist ein praxisorientiertes, vom ITV.SH mit Partnern entwickeltes ISMS-Rahmenwerk auf Grundlage des BSI-IT-Grundschutz-Profils „Basis-Absicherung Kommunalverwaltung“.

1. Was ist SiKoSH?

Die Abkürzung SiKoSH steht für „Sicherheit für Kommunen in Schleswig-Holstein“. Das Projekt stellt ein strukturiertes Vorgehen und vorformulierte, anpassbare Dokumente für die Einführung und den Betrieb eines Informationssicherheitsmanagementsystems bereit. Sein Ansatz ist bewusst praxisbezogen: Kommunen sollen nicht bei null anfangen müssen.

Entwickelt und gepflegt wird SiKoSH durch den IT-Verbund Schleswig-Holstein (ITV.SH AöR) in Zusammenarbeit mit der Staatskanzlei Schleswig-Holstein, dem Unabhängigen Landeszentrum für Datenschutz (ULD), dem Landesrechnungshof Schleswig-Holstein und kommunalen Praktikerinnen und Praktikern. Das Angebot ist auch für andere interessierte Organisationen nutzbar, muss dort aber an den jeweiligen Kontext angepasst werden.

2. Für wen ist SiKoSH gedacht?

Adressiert sind insbesondere Behördenleitungen, Informationssicherheitsbeauftragte, IT-Leitungen, Systemadministration, Fachbereichsverantwortliche und weitere am Sicherheitsmanagement Beteiligte. Datenschutzbeauftragte und Personalvertretungen sind bei ihren jeweiligen gesetzlichen Aufgaben frühzeitig einzubeziehen.

Auch kleinere Kommunen mit begrenzten personellen Ressourcen können von den Mustern und dem schrittweisen Vorgehen profitieren. Größere Verwaltungen nutzen die Materialien als Ausgangspunkt, müssen Risiken, Verantwortlichkeiten und Sicherheitsmaßnahmen jedoch auf ihre eigene Organisation zuschneiden.

3. SiKoSH und der BSI-IT-Grundschutz

Methodische Grundlage ist das BSI-IT-Grundschutz-Profil „Basis-Absicherung Kommunalverwaltung“. Es bündelt prioritäre Anforderungen für typische kommunale Strukturen. SiKoSH übersetzt diese in einen kommunal nutzbaren Prozess mit Richtlinien, Vorlagen und Kontrollinstrumenten.

Die Basis-Absicherung ist ein sinnvoller Einstieg. Sie darf jedoch nicht mit einer abschließenden Behandlung aller Risiken verwechselt werden: Besondere Schutzbedarfe, kritische Leistungen, komplexe Fachverfahren oder neue Gefährdungen können zusätzliche Anforderungen und eine vertiefte Risikoanalyse notwendig machen.

Wichtige Abgrenzung

SiKoSH erleichtert die Umsetzung der Basis-Absicherung. Eine nachgewiesene Umsetzung des SiKoSH-Rahmenwerks ist nicht gleichbedeutend mit einer ISO-27001-Zertifizierung oder einer umfassenden Prüfung sämtlicher kommunaler Sicherheitsrisiken.

4. Aufbau und Instrumente des Rahmenwerks

SiKoSH kombiniert einen Standard für Einführung und Betrieb eines ISMS, einen Leitfaden mit verlinkten Dokumenten, anpassbare Richtlinien und Konzepte, verschiedene Hilfsmittel sowie sogenannte Quickchecks. Die Dokumentation soll auf diese Weise aus der tatsächlichen Sicherheitsarbeit entstehen – nicht losgelöst davon.

ISMS-Standard: erläutert Zielsetzung, Vorgehensweise, Rollen und den Aufbau eines entwicklungsfähigen Sicherheitsmanagements.
Leitfaden: führt durch die notwendigen Arbeiten und verweist auf passende Unterlagen.
Richtlinien und Konzepte: liefern kommunal zugeschnittene Ausgangstexte, die örtlich geprüft, beschlossen und umgesetzt werden müssen.
Quickchecks: unterstützen die Einschätzung des Umsetzungsstands, die Feststellung von Lücken und die Priorisierung kurzfristiger Verbesserungen.
ISMS-Übersicht: unterstützt die Dokumentation, Nachverfolgung und Berichterstattung über die Sicherheitsmaßnahmen.

5. Sieben Phasen und neun Schritte

Der ITV.SH beschreibt das SiKoSH-Vorgehen als Aufbau und Weiterentwicklung eines ISMS in sieben Phasen und neun Schritten. Der aktuelle Standard führt die zugehörigen Tätigkeiten und Hilfsmittel im Einzelnen aus. Für die konkrete Anwendung sollte die aktuelle Originalfassung maßgeblich sein.

Als verständliche Orientierung lässt sich die Arbeit in folgende Handlungsfelder zusammenfassen; diese Liste ist keine wortgetreue Wiedergabe der neun offiziellen Schritte:

Auftrag der Behördenleitung und Ziele der Informationssicherheit festlegen.
Rollen, Zuständigkeiten und Abläufe für das ISMS bestimmen.
Wesentliche Aufgaben, Systeme und Informationswerte erfassen.
Sicherheitsanforderungen und den Umsetzungsstand anhand der Basis-Absicherung betrachten.
Richtlinien, Konzepte und Maßnahmen priorisieren und beschließen.
Maßnahmen umsetzen, Beschäftigte sensibilisieren und Nachweise führen.
Wirksamkeit überprüfen, Vorfälle auswerten und die Sicherheitsorganisation fortlaufend verbessern.

6. SiKoSH Schritt für Schritt einführen

Für die Einführung ist ein pragmatisches, von der Behördenleitung getragenes Vorgehen empfehlenswert. Zunächst muss geklärt werden, wer Verantwortung übernimmt und welche organisatorischen Bereiche einbezogen werden. Anschließend erfolgt eine belastbare Bestandsaufnahme: Welche IT-Dienste, Fachverfahren und Informationsbestände sind vorhanden? Wer betreibt sie? Welche bestehenden Sicherheitsregelungen sind wirksam?

Auf dieser Grundlage werden Quickchecks und weitere SiKoSH-Hilfen genutzt, um Maßnahmen zu identifizieren und priorisieren. Dabei sollten umsetzbare Verbesserungen wie das regelmäßige Patchen, ein überprüftes Berechtigungskonzept, sichere Datensicherungen und geregelte Meldewege nicht aufgeschoben werden, bis sämtliche Dokumente fertig sind.

Die einzelnen Richtlinien brauchen einen klaren Geltungsbereich, verantwortliche Personen, Freigabe, verständliche Umsetzungsvorgaben und regelmäßige Überprüfung. Ein nicht gelebtes Regelwerk erhöht die Sicherheit nicht.

7. Richtlinien, Konzepte und praktische Hilfsmittel

Die amtliche Dokumentenübersicht ordnet Materialien nach Fachthemen und kennzeichnet verpflichtende Regelungsinhalte, ausdrücklich erforderliche Konzepte und optionale Hilfen. Das Angebot umfasst insbesondere:

ISMS-Aufbau und Informationssicherheitsleitlinie
Identitäts- und Berechtigungsmanagement
Datensicherung und Wiederherstellung
Kryptografie und Schlüsselverwaltung
Löschen und Vernichten
Mobiles Arbeiten
Patch-, Änderungs- und Schwachstellenmanagement
Personal, Schulung und Sensibilisierung
Physische Sicherheit von Gebäuden und Technikräumen
Protokollierung und Auswertung
Schutz vor Schadsoftware
Sicherer Informationsaustausch
Sicherer IT-Betrieb und Administration

Die Dokumentenstände können unterschiedlich sein. Einige Themen befinden sich laut ITV.SH in Vorbereitung; andere wurden 2026 neu gefasst. Bei einer Übernahme ist deshalb das jeweilige Veröffentlichungs- beziehungsweise Prüfdatum festzuhalten.

8. Rollen und Verantwortlichkeiten

Die Verantwortung für Informationssicherheit kann nicht vollständig an die IT-Abteilung delegiert werden. Die Behördenleitung muss Ziele und Rahmenbedingungen festlegen, Ressourcen bereitstellen, Risiken bewerten lassen und über wesentliche Entscheidungen informiert werden. Informationssicherheitsbeauftragte koordinieren und begleiten das Sicherheitsmanagement, während IT und Fachbereiche konkrete Maßnahmen umsetzen.

Auch Personalvertretungen und Datenschutzbeauftragte können bei Verfahren wie Protokollierung, Zugriffskontrollen, Beschäftigtenschulungen oder der Einführung neuer Sicherheitswerkzeuge eigene Aufgaben haben. Diese Zuständigkeiten müssen beachtet werden; SiKoSH hebt gesetzliche Beteiligungs- oder Kontrollrechte nicht auf.

9. Informationssicherheit und Datenschutz

Ein kommunales ISMS und das Datenschutzmanagement ergänzen sich, sind aber nicht deckungsgleich. Informationssicherheit schützt Informationen und die Aufgabenerfüllung der Verwaltung. Datenschutz schützt die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung ihrer Daten.

SiKoSH kann geeignete technische und organisatorische Maßnahmen im Sinne von Art. 32 DSGVO unterstützen. Die Rechtmäßigkeit der Verarbeitung, Zweckbindung, Löschfristen, Betroffenenrechte und eine gegebenenfalls erforderliche Datenschutz-Folgenabschätzung müssen jedoch zusätzlich beurteilt werden. Das Standard-Datenschutzmodell (SDM) bietet hierfür ein spezifisches methodisches Instrument.

Gerade bei Protokollierung, Beschäftigtendaten und Zugriffsrechten empfiehlt sich eine abgestimmte Planung zwischen Informationssicherheitsbeauftragten, Datenschutzbeauftragten, IT-Verantwortlichen und Personalvertretung.

10. Beispiel: Einführung in einer Stadtverwaltung

Eine Stadt möchte ihre Informationssicherheitsorganisation vereinheitlichen. Die IT betreibt Server und zentrale Anwendungen, während Fachämter zahlreiche spezialisierte Verfahren nutzen. Erste Quickchecks zeigen Lücken beim dokumentierten Berechtigungsmanagement, der Überprüfung von Datensicherungen und der Meldung von Sicherheitsvorfällen.

Die Verwaltungsleitung priorisiert zunächst einen verbindlichen Meldeweg, Wiederherstellungstests und Verantwortlichkeiten für die regelmäßige Rechteprüfung. Parallel werden die SiKoSH-Vorlagen an vorhandene Dienstanweisungen angepasst und die Beschäftigten geschult. Eine ISMS-Übersicht dokumentiert offene Maßnahmen und gibt der Leitung einen nachvollziehbaren Überblick.

Praxisregel

Nicht die Menge beschlossener Richtlinien ist entscheidend, sondern ob die festgelegten Sicherheitsmaßnahmen im Arbeitsalltag wirksam umgesetzt und nachweisbar überprüft werden.

11. Grenzen, Qualität und Aktualität

SiKoSH ist ein Hilfsmittel für ein ISMS und kein Ersatz für eigene Verantwortung oder eine Risikobeurteilung.
Die Basis-Absicherung bildet einen Einstieg; besonderer Schutzbedarf kann weitergehende Maßnahmen verlangen.
Vorlagen sind an vorhandene Strukturen, Verfahren, Zuständigkeiten und Rechtslage anzupassen.
Die im Leitfaden verknüpften Dokumente sind zum Teil nur nach Registrierung und Aufnahme in die SiKoSH-Gruppe zugänglich.
Die Verwendung von Logos des ITV.SH beziehungsweise von SiKoSH ist nach den veröffentlichten Nutzungsbedingungen nicht ohne Zustimmung freigegeben.
Die Unterlagen werden fortgeschrieben; für die Anwendung sind jeweils der Dokumentstand und die offiziellen Veröffentlichungen zu prüfen.

12. Amtliche Quellen und weiterführende Informationen

ITV.SH – Informationssicherheit und SiKoSH – offizieller Überblick über Zielsetzung, Zugang, Leitfaden und Unterstützungsangebote.
SiKoSH-Standard – Einführung und Betrieb eines ISMS (PDF) – öffentlich abrufbare Beschreibung der Methodik.
SiKoSH-Dokumentenübersicht – aktuelle Fachthemen, Dokumenttypen, Versionsstände und Zugangsbedingungen.
ITV.SH – SiKoSH-Nutzungsbedingungen – Hinweise zur Weiterverwendung und zu den geschützten Bildmarken.
ULD – Tätigkeitsbericht: Zusammenarbeit zu SiKoSH – datenschutzrechtliche und organisatorische Einordnung der Kooperation.
BSI – IT-Grundschutz – zugrundeliegende Sicherheitsmethodik und Grundschutzprofile.
NoDSB – BSI-IT-Grundschutz und NoDSB – Standard-Datenschutzmodell – ergänzende Fachseiten.

Redaktioneller Stand: November 2026. Für die praktische Anwendung sind die Veröffentlichungen und Nutzungsbedingungen des ITV.SH in ihrer jeweils aktuellen Fassung maßgeblich.