Die Bedrohungslage im Cyberraum verschärft sich kontinuierlich. Um staatliche Institutionen nachhaltig zu schützen und die Resilienz der Verwaltung flächendeckend zu erhöhen, hat die Bundesregierung ein zentrales Programm auf den Weg gebracht: Am 22. Juli 2026 beschloss das Bundeskabinett das ressortübergreifende Programm „CyberGovSecure“.
Dieses Programm soll das IT-Sicherheitsniveau in Bundesministerien und Behörden systematisch und nachvollziehbar anheben und orientiert sich eng an den Vorgaben der EU-NIS-2-Richtlinie sowie bestehenden BSI-Standards.
Was ist CyberGovSecure?
Bisher unterschieden sich die Reifegrade, technischen Landschaften und Umsetzungsstände der einzelnen Ressorts stark voneinander. Da isolierte Schutzkonzepte bei vernetzten Bedrohungen nicht mehr ausreichen, schafft CyberGovSecure einen verbindlichen, ressortübergreifenden Umsetzungsrahmen.
Die Steuerung des Großprojekts ist klar aufgeteilt:
- Operative Koordination: Diese liegt bei der BSI-Präsidentin Claudia Plattner, die das Programm als CISO Bund operativ und ressortübergreifend steuert.
- Strategische Steuerung: Ein Lenkungskreis unter dem Vorsitz des Bundesministeriums für Digitales und Staatsmodernisierung (BMDS) übernimmt die strategische Leitung und beauftragt die konkreten Maßnahmen.
- Fachliche Unterstützung: Das BSI begleitet die Bundesverwaltung fachlich und organisatorisch. Es koordiniert zudem die Einbindung externer IT-Dienstleister zentral und bietet eine anteilige Finanzierung der Maßnahmen an.
Das Programm ist nach zwei erfolgreichen Kick-off-Veranstaltungen in Bonn und Berlin offiziell in seine operative Startphase übergegangen. Die betroffenen Behörden bleiben jedoch weiterhin dafür zuständig, die Maßnahmen eigenständig umzusetzen.
Die 9 Handlungsfelder und die 4 Prioritäten für 2026
Das Programm deckt insgesamt neun zentrale Handlungsfelder ab:
- Sichere Konfiguration und Systemhärtung
- Assetmanagement
- Schwachstellenmanagement
- Protokollierung und Detektion
- Netzwerksicherheit
- Informationssicherheitscontrolling
- Resilienter Aufbau zentraler Dienstleistungen
- Daten- und Zugriffsschutz
- Sicheres und modernes Mobile Device Management (MDM)
Um zügig spürbare Schutzwirkungen zu erzielen, hat das BSI für das Jahr 2026 vier priorisierte Maßnahmenbereiche definiert, die pragmatisch und in festen Zeiträumen durchgeführt werden müssen:
- Sicheres Backup: Die Etablierung robuster, getrennter und regelmäßig getesteter Backup-Strategien, um Systeme nach einem Angriff schnell wiederherstellen zu können.
- Sichere Konfiguration und Systemhärtung: Die durchgängige Härtung zentraler IT-Systeme nach BSI-Empfehlungen zur drastischen Reduzierung von Angriffsflächen.
- Schwachstellenmanagement: Ein kontinuierlicher, zeitgemäßer Prozess zur Identifizierung, Priorisierung und Behebung von Sicherheitslücken (inklusive CVE-Abgleich).
- Protokollierung und Detektion: Der Aufbau zentraler Logging- und Anomalieerkennungssysteme zur schnellen Erkennung aktiver Angriffe.
Pragmatismus und Transparenz im Fokus
CyberGovSecure verfolgt einen pragmatischen Ansatz: Anstatt sich in komplexen Compliance-Prozessen zu verlieren, sollen zuerst Maßnahmen umgesetzt werden, die die Angriffsfläche nachweisbar reduzieren und die Wiederherstellungsfähigkeit im Ernstfall sichern.
Gleichzeitig wird der Umsetzungsstand der Behörden übergreifend erfasst. Dies dient dazu, den effektiven Einsatz von Haushaltsmitteln zu überwachen, Unterstützungsbedarfe schnell zu identifizieren und den wertvollen Erfahrungsaustausch zwischen den Behörden zu fördern.
Warum auch die freie Wirtschaft hinschauen sollte
Formell gilt CyberGovSecure nur für die Bundesverwaltung. Dennoch hat es unmittelbare Auswirkungen auf Unternehmen und dient als wertvoller Wegweiser:
- Anforderungsprofil für IT-Dienstleister: Wer als externer IT-Dienstleister Bundesbehörden bei Projekten begleiten will, muss diese Standards nicht nur kennen, sondern nachweislich umsetzen können.
- Blaupause für NIS-2 und Unternehmenserfolg: Die vier Fokusbereiche des BSI für 2026 (Backup, Härtung, Schwachstellen- und Log-Management) eignen sich hervorragend als Best-Practice-Leitfaden für Unternehmen der freien Wirtschaft, um die eigene Resilienz zu stärken – insbesondere im Hinblick auf die Anforderungen der NIS-2-Richtlinie.
Fazit: CyberGovSecure zeigt, dass effektive IT-Sicherheit strukturierte, priorisierte und vor allem pragmatische Maßnahmen erfordert. Indem die Bundesverwaltung ihre Abwehrkräfte bündelt, liefert sie gleichzeitig eine wertvolle Vorlage für die Digitalisierung und Absicherung der Wirtschaft.
Link: https://www.bsi.bund.de/DE/Themen/Oeffentliche-Verwaltung/Sicherheitsberatung/Bund/CyberGovSecure/CyberGovSecure.html
