NIS2 in der Stadtverwaltung: Kernverwaltung und Eigenbetriebe im Vergleich

Ransomware-Angriffe auf Kommunen sind in Deutschland längst keine Ausnahme mehr. Der Fall Südwestfalen-IT zeigt, wie weitreichend die Folgen sein können: Am 30. Oktober 2023 verschlüsselte eine Ransomware-Gruppe die Systeme des kommunalen IT-Dienstleisters – betroffen waren 72 Mitgliedskommunen mit rund 22.000 Arbeitsplätzen, teils über Wochen. Genau an diesem Punkt wird die rechtliche Realität von NIS2 in der Verwaltung sichtbar – und sie ist komplizierter, als viele Stadtverwaltungen annehmen.

Die Grundsatzentscheidung: keine Öffnungsklausel für die kommunale Ebene

NIS2 erlaubt es den Mitgliedstaaten, den Anwendungsbereich der Richtlinie auf öffentliche Verwaltung der lokalen Ebene auszuweiten. Der IT-Planungsrat hat sich mit Beschluss 2023/39 bewusst dagegen entschieden. Das deutsche Umsetzungsgesetz, das BSI-Gesetz (BSIG), das seit dem 6. Dezember 2025 in Kraft ist, verpflichtet damit unmittelbar nur die Bundesverwaltung. Städte, Gemeinden und Landkreise als Gebietskörperschaften fallen nicht automatisch darunter.

Die Zuständigkeit für die Cybersicherheit der Landes- und Kommunalverwaltung liegt stattdessen bei den Ländern selbst (Art. 70 Abs. 1, Art. 28 Abs. 2 Grundgesetz). Jedes Bundesland entscheidet eigenständig, ob und wie es NIS2-Anforderungen auf seine Landesverwaltung und – optional – auf die kommunale Ebene überträgt. Das Ergebnis: ein föderaler Flickenteppich. Einige Länder haben eigene IT-Sicherheitsgesetze bereits verabschiedet oder in Arbeit, andere haben noch keinen verbindlichen Rahmen für ihre Kommunen geschaffen.

Zwei Rechtslagen unter einem Dach

Für eine Stadtverwaltung bedeutet das: Innerhalb derselben Organisation gelten faktisch zwei unterschiedliche Rechtslagen.

• Die Kernverwaltung – Rathaus, Fachämter, Bürgerservices – unterliegt derzeit keiner unmittelbaren Bundespflicht nach BSIG. Ob und wann sich das ändert, hängt vom jeweiligen Bundesland ab.
• Kommunale Eigenbetriebe und Beteiligungen – Stadtwerke (Energie, Wasser), Abfall- und Entsorgungsbetriebe, ÖPNV-Betriebe, kommunale Kliniken sowie kommunale IT-Dienstleister und Zweckverbände – fallen dagegen unabhängig von ihrer kommunalen Trägerschaft unter dieselben Regeln wie jedes private Unternehmen, sobald sie die Schwellenwerte erreichen (ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz; niedrigere Schwellen gelten für besonders wichtige Sektoren wie Energie und Wasser). Für sie gelten die vollen Pflichten aus §30 BSIG (Risikomanagementmaßnahmen), §32 BSIG (Meldepflichten) und §38 BSIG (persönliche Haftung der Leitungsorgane) – die Registrierungsfrist vom 6. März 2026 ist für diese Betriebe längst verstrichen, und das BSI beendet gerade seine letzte Nachfrist zum 31. Juli 2026.

Warum das für die Stadtverwaltung als Ganzes zählt

In der Praxis lässt sich diese Trennung selten sauber durchhalten. Kernverwaltung und Eigenbetriebe teilen sich häufig Rechenzentren, Netzwerke oder einen gemeinsamen kommunalen IT-Dienstleister – genau wie im Fall Südwestfalen-IT, wo ein einziger Zweckverband die IT für dutzende Kommunen und Behörden gleichzeitig bereitstellte. Ein Sicherheitsvorfall bei einem formal NIS2-pflichtigen Eigenbetrieb kann damit ohne Umweg auf die eigentlich nicht regulierte Kernverwaltung durchschlagen – Bürgerservices, Standesamt und Sozialleistungen eingeschlossen.

Hinzu kommt: Es ist absehbar, dass Landesgesetze sich strukturell eng an den Maßnahmenkatalog des Bundes-BSIG anlehnen werden, weil dieser wiederum unmittelbar aus Art. 21 Abs. 2 der NIS2-Richtlinie übernommen ist – ein europaweit einheitlicher Maßstab. Wer als Stadtverwaltung heute schon Strukturen nach diesem Maßstab aufbaut, verliert später keine Zeit, wenn das jeweilige Land nachzieht. Zudem verlangen Cyberversicherer, Fördermittelgeber und zunehmend auch Aufsichtsbehörden Nachweise über ein systematisches Informationssicherheitsmanagement – unabhängig davon, ob bereits eine formale Pflicht besteht.

Warum unsere Vorlagen trotzdem der richtige Startpunkt sind

An dieser Stelle ein ehrlicher Hinweis: Unsere NIS2-Vorlagen – Risikomanagement-, Business-Continuity-, Lieferketten-, Incident-Reporting-, IT-Sicherheitsrichtlinien- und Geschäftsleitungs-Kit – sind für Unternehmen geschrieben. Sie enthalten keine verwaltungsspezifische Terminologie, keine an Amtsleitung, Dezernat oder Ratsbeschluss angepassten Formulare und keine kommunalrechtlichen Besonderheiten.

Das schmälert ihren Wert für eine Stadtverwaltung aus unserer Sicht aber nicht entscheidend – aus zwei Gründen. Erstens: Für kommunale Eigenbetriebe, die meist ohnehin als GmbH oder Anstalt öffentlichen Rechts organisiert sind, passen die Vorlagen praktisch unverändert – rechtlich sind sie genau die Unternehmen, für die die Kits konzipiert wurden. Zweitens: Der inhaltliche Kern – die zehn Maßnahmen aus §30 BSIG bzw. Art. 21 Abs. 2 NIS2, von Risikoanalyse über Business-Impact-Analyse bis Zugriffskontrolle – ist sektor- und rechtsformunabhängig identisch. Diese Struktur, aufgebaut nach BSI-Standard 200-3 mit Asset-Inventar, Risikomatrix und Risikoregister, ist der Teil, der die meiste Arbeit macht – nicht das Austauschen von „Geschäftsführung“ gegen „Amtsleitung“ oder „Unternehmen“ gegen „Behörde“.

Für die Kernverwaltung heißt das konkret: Das Gerüst steht bereits, die Anpassung an Verwaltungssprache und -prozesse ist überschaubarer Zusatzaufwand gegenüber dem, was eine vollständige Eigenentwicklung kosten würde.

Empfehlung für die Praxis

1. Zunächst klären, welche Eigenbetriebe und Beteiligungen bereits heute unter NIS2/BSIG fallen – hier besteht meist schon eine unmittelbare Pflicht.
2. Für diese Betriebe die Vorlagen ohne größere Anpassung einsetzen und Registrierung sowie Dokumentation nachholen, falls noch offen.
3. Parallel für die Kernverwaltung prüfen, ob das eigene Bundesland bereits ein Landesgesetz oder eine Verwaltungsvorschrift zur Cybersicherheit erlassen hat – und die Vorlagen als Ausgangsbasis für ein eigenes Sicherheitskonzept nutzen, auch ohne formale Bundespflicht.
4. Gemeinsame IT-Infrastrukturen zwischen Kernverwaltung und Eigenbetrieben identifizieren, da hier faktische Abhängigkeiten unabhängig von der formalen Rechtslage bestehen.