Zurück

CyberGovSecure: Was Behörden aus dem Bundesprogramm für Cyber Governance ableiten können

Mit dem Bundesprogramm CyberGovSecure soll die Cybersicherheit in der Bundesverwaltung strukturiert und ressortübergreifend gestärkt werden. Im Mittelpunkt stehen konkrete Sicherheitsmaßnahmen, klare Verantwortlichkeiten und eine systematische Steuerung des Umsetzungsstands.

Autor:in:
· Veröffentlicht: · Zuletzt aktualisiert: · Thema: Cyber Security

Mit CyberGovSecure hat der Bund ein eigenes Programm aufgesetzt, um die Cybersicherheit in der Bundesverwaltung im Rahmen der EU-NIS-2-Richtlinie strukturiert zu stärken. Die operative Steuerung liegt bei BSI-Präsidentin Claudia Plattner in ihrer Funktion als CISO Bund, ressortübergreifend; die strategische Steuerung übernimmt ein Lenkungskreis unter Vorsitz des Bundesministeriums für Digitales und Staatsmodernisierung (BMDS).

Die Konstruktion des Programms macht zugleich deutlich: Cybersicherheit ist in Behörden nicht allein eine technische Aufgabe. Sie erfordert Steuerung, Priorisierung, ausreichende Ressourcen und eine klare Zuordnung von Verantwortung. Damit rückt Cyber Governance als verbindendes Element zwischen Strategie, Risikomanagement, Compliance und operativer Informationssicherheit in den Mittelpunkt.

Das Bundesprogramm dient in diesem Beitrag als aktueller fachlicher Bezugspunkt. Es zeigt exemplarisch, welche Governance-Anforderungen entstehen, wenn Cybersicherheit über einzelne technische Maßnahmen hinaus ganzheitlich gesteuert werden soll.

Das Wichtigste in Kürze

  • CyberGovSecure zeigt, dass Cybersicherheit heute eine Governance-Aufgabe ist und weit über klassische IT-Sicherheit hinausgeht.
  • Das Bundesprogramm kombiniert technische Maßnahmen mit zentraler Steuerung, Priorisierung, Monitoring und Ressourcenmanagement.
  • Cyber Governance schafft klare Verantwortlichkeiten zwischen Behördenleitung, IT, Compliance und Informationssicherheit.
  • Unterschiedliche Sicherheitsreifegrade, Fachkräftemangel und Budgetengpässe erschweren vielen Behörden die Umsetzung von NIS-2-Anforderungen.
  • NIS-2 definiert regulatorische Mindeststandards, reicht allein jedoch nicht aus, um echte Cyber-Resilienz aufzubauen.
  • CyberGovSecure unterstützt Behörden durch koordinierte Umsetzung, externe Expertise und anteilige Finanzierung bei der Cybersicherheit.
  • Behörden und öffentliche Einrichtungen stärken ihre digitale Resilienz nachhaltig, wenn sie Cyber Governance strategisch und kontinuierlich etablieren.

Inhalt

Warum Cyber Security heute mehr als IT-Sicherheit bedeutet

CyberGovSecure verbindet technische Sicherheitsmaßnahmen mit übergreifender Steuerung. Dazu zählen unter anderem Notfallmanagement, Schwachstellenmanagement, Angriffserkennung und die Härtung zentraler IT-Systeme. Diese Maßnahmen sind in einen Rahmen aus Priorisierung, Zeitplanung, Fortschrittserfassung und Ressourcensteuerung eingebettet.

Genau darin zeigt sich die Bedeutung von Cyber Governance: Technische Maßnahmen müssen priorisiert, Verantwortlichkeiten geklärt und Fortschritte nachvollziehbar gemacht werden. Erst durch diese Verbindung entsteht eine belastbare Grundlage für nachhaltige Informationssicherheit und digitale Resilienz.

Die größten Herausforderungen bei der Umsetzung regulatorischer Anforderungen

Dass Behörden bei der Cybersicherheit einen unterschiedlichen Reifegrad aufweisen, ist keine Ausnahme, sondern die Regel: CyberGovSecure berücksichtigt bewusst die unterschiedlichen Ausgangslagen und Umsetzungsstände der Behörden und setzt auf priorisierte Maßnahmen, die zügig und pragmatisch umgesetzt werden sollen.  

Das BSI unterstützt die Umsetzung unter anderem durch die zentrale Einbindung externer IT-Dienstleister und eine anteilige Finanzierung. Dadurch sollen Behörden bei der Bewältigung unterschiedlicher Ausgangslagen und vorhandener Ressourcenengpässe unterstützt werden.

Diese Heterogenität zeigt sich auch jenseits des Bundesprogramms. Der aktuelle BSI-Lagebericht 2025 attestiert Deutschland eine anhaltend angespannte IT-Sicherheitslage: Im Berichtszeitraum Juli 2024 bis Juni 2025 wurden durchschnittlich 119 neue Sicherheitslücken pro Tag registriert, ein Anstieg von 24 Prozent gegenüber dem Vorjahr. Zwar ist eine Verbesserung der Resilienz erkennbar, sie kommt aber langsamer voran als die Bedrohungslage selbst wächst – ein Befund, der sich mit den Erfahrungen aus Behörden deckt, deren Umsetzungsstände weit auseinanderliegen.

Hinzu kommt regulatorischer Druck von anderer Seite: Mit dem NIS-2-Umsetzungsgesetz (NIS2UmsuCG), das seit dem 6. Dezember 2025 in Kraft ist, wuchs der Kreis der beim BSI beaufsichtigten Einrichtungen von rund 4.500 auf etwa 29.500 – ohne Übergangsfrist. Wer die Registrierungsfrist zum 6. März 2026 versäumt hat, muss inzwischen mit ersten Bußgeldverfahren rechnen.

Für Organisationen, die parallel eigene Ressourcenengpässe ausgleichen müssen, verschärft dieser Zeitdruck die Herausforderung zusätzlich: zentrale Vorgaben treffen auf dezentrale, eigenständige Umsetzungsverantwortung. Dieses Spannungsfeld prägt die Umsetzung von Cybersicherheits- und Compliance-Anforderungen auch in anderen öffentlichen Einrichtungen.

Typische Stolpersteine dabei: unklare Verantwortlichkeiten zwischen IT, Compliance und Management, heterogene Sicherheitsreifegrade sowie fachliche und personelle Engpässe.

Ein ausführlicher Überblick findet sich im NIS-2-Umsetzungsleitfaden von conet.

Was ist CyberGovSecure?

Cyber Gov Secure ist ein Programm des Bundes zur Stärkung der Cybersicherheit in der Bundesverwaltung im Rahmen der NIS-2-Richtlinie. Im Fokus steht die Umsetzung konkreter Sicherheitsmaßnahmen in Bundesministerien und Bundesbehörden – unter Berücksichtigung der jeweils unterschiedlichen Ausgangslagen und Umsetzungsstände. 

Die priorisierten Maßnahmen sind mit definierten Zeiträumen versehen, wobei eine zügige, pragmatische Umsetzung Vorrang hat. Zu den beispielhaften Maßnahmen zählen:

Zeitgemäßes Schwachstellen­management

zur Reduzierung potenzieller Sicherheitsrisiken

Verbesserte Angriffserkennung

zur frühzeitigen Identifikation von Bedrohungen

Härtung zentraler IT-Systeme

zur Stärkung der Cyber-Resilienz

Mit den Maßnahmen soll die Umsetzung der Anforderungen des IT-Grundschutzes und der BSI-Mindeststandards unterstützt und beschleunigt werden. Die Maßnahmen sind mit definierten Zeiträumen und einer übergreifenden Fortschrittserfassung verbunden. Ziel ist es, das Cybersicherheitsniveau in der Bundesverwaltung schrittweise und nachvollziehbar anzuheben sowie die digitale Resilienz nachhaltig zu stärken.

Die zentrale Erfassung des Umsetzungsstands schafft Transparenz über Fortschritte und Unterstützungsbedarfe. Gleichzeitig kann sie dazu beitragen, Ressourcen gezielter zu steuern und den Erfahrungsaustausch zwischen den beteiligten Behörden zu fördern.

Das BSI begleitet das Programm fachlich und organisatorisch. Die konkrete Umsetzung bleibt Aufgabe der jeweiligen Behörden und ist in deren bestehendes Informationssicherheitsmanagement und Risikomanagement einzubetten.

Der Startschuss fiel mit zwei Kick-off-Veranstaltungen in Berlin und Bonn, an denen Behördenleitungen, Informationssicherheitsbeauftragte (ISB) und IT-Leitungen der Bundesverwaltung teilnahmen – der Beginn der operativen Startphase.

Welche Rolle spielt Cyber Governance?

Cyber Governance beschreibt die übergreifende Steuerung von Cybersicherheit. Dazu gehören klare Verantwortlichkeiten, verbindliche Entscheidungswege, die Priorisierung von Risiken, die Steuerung von Ressourcen und die regelmäßige Überprüfung des Umsetzungsstands.

CyberGovSecure macht diese Elemente anhand eines ressortübergreifenden Steuerungsmodells (Zwei-Ebenen-Governance-Modell) sichtbar. Strategische Vorgaben, operative Koordination und die zentrale Erfassung von Fortschritten greifen ineinander. Gleichzeitig bleibt die Verantwortung für die konkrete Umsetzung bei den einzelnen Behörden.

Für Behörden und öffentliche Einrichtungen ergibt sich daraus eine zentrale Erkenntnis: Cybersicherheit braucht nicht nur technische Fachkompetenz, sondern auch verlässliche Strukturen für Entscheidungen, Zusammenarbeit und Kontrolle. Cyber Governance schafft den Rahmen, in dem technische, organisatorische und regulatorische Anforderungen zusammengeführt werden können.

 

Warum NIS-2 allein nicht ausreicht

Das Beispiel CyberGovSecure zeigt, dass gesetzliche Anforderungen allein noch keine vollständige Umsetzung in der Praxis gewährleisten. Neben verbindlichen Vorgaben braucht es klare Verantwortlichkeiten, priorisierte Maßnahmen, ausreichende Ressourcen und eine kontinuierliche Steuerung.

Das NIS-2-Umsetzungsgesetz schafft hierfür einen wichtigen regulatorischen Rahmen. Cyber-Resilienz entsteht jedoch erst dann nachhaltig, wenn Anforderungen in geeignete Prozesse, Zuständigkeiten und konkrete Sicherheitsmaßnahmen übersetzt werden.

Das Gesetz verlangt dreistufige Meldefristen bei erheblichen Sicherheitsvorfällen (Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht nach einem Monat), macht Cybersicherheit über die persönliche Haftung der Geschäfts- bzw. Behördenleitung ausdrücklich zur Chefsache und sieht Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor. 

Diese Instrumente dienen zur Durchsetzung von Mindeststandards – sie sagen aber nichts darüber aus, ob eine Organisation im Ernstfall tatsächlich handlungsfähig ist. Für besonders wichtige Einrichtungen gilt zudem eine dreijährige Frist bis Dezember 2028, um Maßnahmen gegenüber dem BSI nachzuweisen: ein langer Zeitraum, in dem allein formale Konformität wenig über die reale Sicherheitslage aussagt. 

Der BSI-Lagebericht 2025 unterstreicht diese Lücke zwischen Regulierung und Resilienz: Die IT-Sicherheitslage in Deutschland bleibt trotz wachsender regulatorischer Anforderungen angespannt, weil viele Organisationen ihre Angriffsflächen weiterhin unzureichend absichern. Gesetzliche Mindeststandards wie NIS-2 sind damit eine notwendige, aber keine hinreichende Bedingung für echte Cyber-Resilienz. Genau an dieser Stelle setzt Cyber Governance an: als kontinuierlicher Steuerungsprozess, der über die einmalige Erfüllung von Meldepflichten hinausgeht.

conet auf der Smart Country Convention 2026

Vom 13. bis 15. Oktober 2026 trifft sich die Verwaltung in Berlin – Themen wie NIS-2 und Cyber Governance stehen im Fokus. Auch conet ist vor Ort für einen fachlichen Austausch zu Cyber Gov Secure.

Termin vereinbaren

Was öffentliche Einrichtungen aus CyberGovSecure ableiten können

Das Bundesprogramm CyberGovSecure zeigt, dass digitale Resilienz nicht durch einzelne Sicherheitsmaßnahmen entsteht. 

Entscheidend ist das Zusammenspiel aus klaren Verantwortlichkeiten, risikobasierter Priorisierung, ausreichenden Ressourcen und kontinuierlichem Monitoring.

Diese Prinzipien lassen sich nicht unverändert auf jede Behörde übertragen. Sie bieten jedoch eine Orientierung für öffentliche Einrichtungen, die ihre Cyber Governance weiterentwickeln und NIS-2-Anforderungen strukturiert umsetzen möchten.

Entscheidend ist dabei, die jeweiligen organisatorischen Voraussetzungen, bestehenden Prozesse und Sicherheitsreifegrade zu berücksichtigen. Ein belastbarer Ansatz verbindet deshalb strategische Steuerung mit konkreten Maßnahmen in den Bereichen Governance, Risikomanagement, Informationssicherheit, Compliance und Cyber Security.

Fazit

Das Bundesprogramm CyberGovSecure verdeutlicht, welche Bedeutung Governance für die Cybersicherheit in der öffentlichen Verwaltung hat. Cybersicherheit wird dabei nicht als Summe einzelner IT-Maßnahmen verstanden, sondern als dauerhaft zu steuernde Aufgabe mit klaren Verantwortlichkeiten, priorisierten Maßnahmen, nachvollziehbaren Fortschritten und abgestimmtem Ressourceneinsatz.

Für Behörden und öffentliche Einrichtungen bietet dieser Ansatz eine wichtige Orientierung bei der Umsetzung von NIS-2 und beim Aufbau digitaler Resilienz. Entscheidend ist, regulatorische Anforderungen in geeignete Strukturen, Prozesse und konkrete Sicherheitsmaßnahmen zu überführen.

conet unterstützt öffentliche Organisationen mit einem bestehenden Leistungsangebot rund um NIS-2, Cyber Security und Compliance dabei, diese Anforderungen strukturiert zu bewerten und passende nächste Schritte abzuleiten. Vereinbaren Sie jetzt ein unverbindliches Beratungsgespräch mit unseren Expertinnen und Experten für Cyber Security & Compliance im öffentlichen Sektor.

Sprechen wir über Cybersicherheit.

Schaffen Sie klare Verantwortlichkeiten und belastbare Entscheidungsgrundlagen für die Cybersicherheit Ihrer Behörde. conet unterstützt Sie bei der strukturierten Umsetzung von NIS-2 und dem Aufbau digitaler Resilienz.

Hinweise finde ich in den Informationen zum Datenschutz.

* Einträge in diesen Feldern sind erforderlich.

Holger Baum

Holger Baum

Vice President Security Engineering & Consulting

FAQ: CyberGovSecure

CyberGovSecure ist ein Programm des Bundes zur Stärkung der Cybersicherheit in der Bundesverwaltung im Rahmen der NIS-2-Richtlinie. Es bündelt priorisierte, zeitlich definierte Maßnahmen wie Schwachstellenmanagement, verbesserte Angriffserkennung und die Härtung zentraler IT-Systeme – unter Berücksichtigung der unterschiedlichen Ausgangslagen der einzelnen Behörden.

Das Programm folgt einem Zwei-Ebenen-Governance-Modell: Die strategische Steuerung liegt bei einem Lenkungskreis unter Vorsitz des Bundesministeriums für Digitales und Staatsmodernisierung (BMDS), die operative, ressortübergreifende Steuerung übernimmt der CISO Bund – in Person von BSI-Präsidentin Claudia Plattner.

Das BSI begleitet Cyber Gov Secure fachlich und organisatorisch, koordiniert zentral die Einbindung externer IT-Dienstleister und bietet eine anteilige Finanzierung an. Die eigentliche Umsetzungsverantwortung bleibt jedoch bei den einzelnen Behörden, eingebettet in ihr bestehendes Risikomanagement und ISMS.

Das NIS2UmsuCG schreibt zwar scharfe Instrumente wie eine dreistufige Meldekaskade und Bußgelder bis zu 10 Millionen Euro vor, sagt aber nichts über die tatsächliche Handlungsfähigkeit einer Organisation im Ernstfall aus. Der BSI-Lagebericht 2025 zeigt zudem, dass viele Organisationen ihre Angriffsflächen trotz wachsender Regulierung weiterhin unzureichend absichern – gesetzliche Mindeststandards sind damit notwendig, aber nicht hinreichend für echte Resilienz.

Das Programm zeigt ein übertragbares Muster: Resilienz entsteht nicht durch einzelne technische Maßnahmen, sondern durch das Zusammenspiel aus klarer Governance-Struktur, verlässlicher Priorisierung, zentralem Monitoring und koordinierter Ressourcensteuerung – Elemente, die auch andere öffentliche Einrichtungen bei ihrer NIS-2-Umsetzung berücksichtigen sollten.

Diesen Beitrag teilen:

Deine Kontaktperson Redaktion

Das könnte Sie auch interessieren