IT-Beratung für Öffentlichen Sektor & Behörden

Das novellierte BSI-Gesetz gilt seit dem 6. Dezember 2025 und regelt die Einrichtungen der Bundesverwaltung in einem eigenen Kapitel: Nach § 43 BSIG verantwortet die Leitung der Einrichtung das Informationssicherheitsmanagement, § 44 BSIG macht die Vorgaben und Mindeststandards des BSI verbindlich, § 45 BSIG verlangt einen Informationssicherheitsbeauftragten samt Vertretung je Einrichtung. Registrierung beim BSI und die Meldung erheblicher Sicherheitsvorfälle nach § 32 BSIG gelten auch hier — Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussmeldung binnen eines Monats.

Für Kommunen gilt das BSIG dagegen nicht unmittelbar: Hier entscheidet Landesrecht, das die Bundesländer eigenständig nachziehen. Kliniken unterliegen zusätzlich § 75c SGB V: seit dem 1. Januar 2022 angemessene organisatorische und technische Vorkehrungen nach dem Stand der Technik, spätestens alle zwei Jahre anzupassen, in der Praxis über den branchenspezifischen Sicherheitsstandard B3S für die Gesundheitsversorgung im Krankenhaus.

Auf der Digitalisierungsseite verlangt das OZG-Änderungsgesetz seit dem 24. Juli 2024 medienbruchfreie Verfahren und den Abbau von Schriftformerfordernissen; der Rechtsanspruch auf elektronischen Zugang zu Verwaltungsleistungen des Bundes greift vier Jahre nach Verkündung, unternehmensbezogene Leistungen werden nach fünf Jahren ausschließlich elektronisch angeboten. Beschaffungs- und Prüfmaßstab bleibt der BSI IT-Grundschutz mit seinen Bausteinen. Technisch trifft das meist gewachsene Landschaften: verteilte Verzeichnisdienste ohne durchgängige Rechteverwaltung, Fachverfahren, die lokale Administratorrechte voraussetzen, Backups ohne getesteten Wiederanlauf und Protokolle, die für eine 24-Stunden-Meldung nicht auswertbar sind.

Alendris geht das schrittweise an. Für einen Betreiber kritischer Infrastruktur im Gesundheitswesen haben wir NIS2-Compliance fristgerecht hergestellt: Gap-Analyse, priorisierter Maßnahmenplan mit Quick Wins, Microsoft Defender XDR als zentrale Sicherheitsplattform, Integration aller relevanten Signale in Microsoft Sentinel, Entra ID Governance mit wiederkehrenden Zugriffsprüfungen, Conditional Access für konforme Geräte — und die Richtlinien, Prozesse und Incident-Response-Pläne, die ein Prüfer tatsächlich sehen will. Für Datensouveränität konzipieren wir Microsoft-365- und Azure-Architekturen mit Datenhaltung in deutschen und EU-Regionen, ergänzt um Microsoft Purview für Klassifizierung und Data Loss Prevention.