Kernverwaltung, Eigenbetriebe und Zweckverbände sauber erfassen
Eine Cyberversicherung für die Kommune sollte ausdrücklich festlegen, welche Verwaltungseinheiten und Betriebe versichert sind. Ein Rathaus, eine Stadtwerke-GmbH und ein kommunaler Zweckverband können eigene Rechtsträger mit unterschiedlichen Aufgaben sein. Eine gemeinsame E-Mail-Domain allein reicht nicht als Beschreibung.
Auch ein regionales Rechenzentrum kann mehrere Kommunen gleichzeitig versorgen. Für den Vergleich ist daher wichtig, wer Systeme betreibt, wer Daten verantwortet und welche Leistungen bei einem Ausfall tatsächlich noch vor Ort möglich sind.
Kommunaler IT-Ausfall: Mehrkosten statt nur entgangener Umsatz
Bei Kommunalverwaltungen stehen häufig Wiederherstellungs- und Mehrkosten im Vordergrund. Zusätzliche Arbeitsplätze, externe Fachleute, vorübergehende Kommunikationswege und das Nacharbeiten von Vorgängen können teuer werden, obwohl keine gewöhnlichen Verkaufserlöse fehlen.
Ein mögliches Szenario: Nach einem Angriff werden Fachverfahren vorsorglich vom Netz getrennt. Die Verwaltung muss priorisieren, welche Leistungen im Notbetrieb stattfinden, und parallel den Datenabfluss untersuchen. Eine Cyberdeckung sollte diese Koordination und die technische Wiederinbetriebnahme abbilden.
- Kosten für IT-Forensik und kontrollierten Wiederaufbau der Fachverfahren.
- Unterstützung bei Datenschutzvorfällen und Information betroffener Personen.
- Vereinbarte Mehrkosten für die Fortführung kommunaler Aufgaben.
- Prüfung und Abwehr beziehungsweise Erfüllung versicherter Haftpflichtansprüche.
Kommunale Rechenzentren und externe IT im Cybervertrag
Bei einer Kommune mit ausgelagerten Fachverfahren kommt es auf die Deckung externer IT-Ausfälle an. Ein eigener Angriff und eine Störung im Rechenzentrum sind nicht zwangsläufig derselbe Versicherungsfall. Dienstleisterdefinition, versicherte Ursachen und mögliche Wartezeiten sollten im Angebot nebeneinanderstehen.
Ein Notfallplan sollte Ansprechpartner außerhalb des ausgefallenen E-Mail-Systems nennen. Verantwortlichkeiten für Meldefristen, Information der Verwaltungsspitze und Beauftragung von Spezialisten müssen klar sein. Das BSI-Grundschutzprofil für Kommunalverwaltungen bietet dafür einen fachlichen Orientierungsrahmen.
NIS2 und KRITIS: Kommunale Aufgaben einzeln einordnen
Für Kommunen ist die pauschale Aussage „jede Verwaltung ist KRITIS“ unzutreffend. Ob gesetzliche Sicherheitsanforderungen greifen, hängt unter anderem von der konkreten Einrichtung, ihren Aufgaben, Größenmerkmalen und einschlägigem Bundes- oder Landesrecht ab.
Kommunale Energie-, Wasser- oder Entsorgungsbetriebe können anders einzuordnen sein als die Kernverwaltung. Bei Stadtwerken gehören zusätzlich Betriebstechnik und mögliche physische Folgeschäden in die Analyse. Dazu passt unser eigener Bereich Cyberversicherung für Energieversorgung. Eine Versicherung ersetzt keine gesetzlich erforderlichen Sicherheitsmaßnahmen.
Cyberdeckung für öffentliche Einrichtungen anfragen
Für kommunale Risiken ist eine individuelle Angebotsprüfung sinnvoll. Speziallösungen bestehen beispielsweise im kommunalen Versicherungsmarkt; die WGV bietet eine auf ihre kommunalen Mitglieder zugeschnittene Cyberversicherung. Daraus lässt sich keine allgemeine Abschlussmöglichkeit für jede Kommune ableiten.
Zur Vorbereitung helfen eine Übersicht der Rechtsträger, Haushalts- beziehungsweise Einnahmegrößen, Beschäftigtenzahlen und kritischen Fachverfahren. Benennen Sie vorhandene Notfallkonzepte und externe Rechenzentren. Bestehende kommunale Verträge sollten in die Prüfung einbezogen werden, damit die neue Deckung dazu passt.
Kommunale Cyberversicherung: Bürgerdienste schrittweise wieder aufnehmen
Nach einem Angriff können Melderegister, Terminvergabe und Zahlungsabwicklung unterschiedlich schnell wiederhergestellt werden. Für kommunale Cyberversicherung ist deshalb ein priorisierter Wiederanlauf wichtig. Nicht jeder Dienst kann aus derselben Sicherung oder mit derselben technischen Unterstützung gestartet werden.
Die Bedarfsermittlung sollte Kernverwaltung, Eigenbetriebe und Zweckverbände eindeutig zuordnen. Erfasst werden sollten notwendige Mehrkosten, externe Unterstützung und mögliche Datenschutzfolgen. Ein reiner Umsatzmaßstab passt dabei häufig nicht; die Aufrechterhaltung öffentlicher Aufgaben kann andere Kostenpositionen erfordern.