KRI im Jahr 2026: der polnische Interoperabilitätsrahmen, § 19 und das Jahresaudit

Was KRI ist: der Aufbau der Verordnung

Der vollständige Name lautet Verordnung des Ministerrats vom 21. Mai 2024 über den nationalen Interoperabilitätsrahmen, die Mindestanforderungen an öffentliche Register und den elektronischen Informationsaustausch sowie die Mindestanforderungen an IT-Systeme ^[1]. Es handelt sich um einen Durchführungsrechtsakt zum Gesetz vom 17. Februar 2005 über die Informatisierung der Tätigkeit von Stellen mit öffentlichen Aufgaben ^[2], was praktisch zählt: Das Gesetz und nicht die Verordnung entscheidet darüber, wer den Pflichten unterliegt.

Die Verordnung umfasst einundzwanzig Paragrafen in fünf Kapiteln. Kapitel eins (§§ 1-2) enthält Anwendungsbereich und Begriffe. Kapitel zwei (§§ 3-9) beschreibt die Interoperabilität in drei Dimensionen: organisatorisch, also die Abstimmung von Prozessen zwischen Ämtern; semantisch, also gemeinsame Vokabulare und Datenstrukturen; und technisch, also Protokolle und Formate. Kapitel drei (§§ 10-14) regelt öffentliche Register und den Datenaustausch zwischen ihnen. Kapitel vier (§§ 15-20) betrifft IT-Systeme und enthält den Kern der Sicherheitsanforderungen: § 19 begründet die Managementpflicht und § 20 regelt die Systemprotokolle. Kapitel fünf ist eine einzige Schlussvorschrift zum Inkrafttreten.

Die Nummerierung ist wichtiger, als es scheint. In der Verordnung von 2012 stand die Managementpflicht in § 20 und die Systemprotokolle in § 21. Im Rechtsakt von 2024 rückten beide um eine Position vor. Eine aus älteren Mustern kopierte Dokumentation, die im Zusammenhang mit dem Managementsystem "§ 20 KRI" zitiert, verweist heute auf die Vorschrift zu Protokollen und nicht auf das Managementsystem. Auditierende und Prüfende bemerken das, denn es zeigt, dass Dokumente abgeschrieben und nicht gelesen wurden.

Geschichte und Novellen

Die erste KRI-Verordnung nahm der Ministerrat am 12. April 2012 an; sie wurde am 16. Mai 2012 im Gesetzblatt 2012 Position 526 veröffentlicht und später als Gesetzblatt 2017 Position 2247 konsolidiert. Sie trat am 31. Mai 2012 in Kraft und galt zwölf Jahre, bis der Ministerrat am 21. Mai 2024 einen neuen Rechtsakt annahm (Gesetzblatt 2024 Position 773), der den vorigen mit Wirkung vom 23. Mai 2024 aufhob und ersetzte.

Die Änderung war vor allem ordnend. Verweise auf Normen wurden aktualisiert, der Wortlaut an das Datenschutzrecht und das Cybersicherheitsgesetz angepasst und der gesamte Rechtsakt neu nummeriert. Der Inhalt der Sicherheitspflicht - ein Informationssicherheits-Managementsystem, vierzehn Einzelhandlungen und ein Audit mindestens einmal jährlich - ging praktisch unverändert in die Fassung von 2024 über. Zitieren Richtlinien, Verfahren oder Auditberichte noch das Gesetzblatt 2012 Position 526 oder den konsolidierten Text von 2017, gehören sie aktualisiert, auch wenn die inhaltlichen Anforderungen dieselben geblieben sind.

Wen KRI erfasst: Stellen mit öffentlichen Aufgaben

Den Anwendungsbereich bestimmt das Informatisierungsgesetz ^[2], das den Begriff der Stelle mit öffentlichen Aufgaben verwendet. Er erfasst Behörden der Regierungsverwaltung samt Zentral-, Wojewodschafts- und Agenturbehörden, die kommunalen Gebietskörperschaften aller drei Ebenen und deren Organisationseinheiten: öffentliche Schulen und Kindergärten, Bibliotheken, Kulturzentren, Sozialhilfezentren und kommunale Betriebe. Erfasst sind ebenso staatliche Fonds und Versicherungsträger, die Gerichtsbarkeit samt Staatsanwaltschaft sowie spezialisierte Aufsichts- und Inspektionsbehörden.

Das Kriterium ist funktional, nicht formal. Entscheidend ist nicht die Rechtsform, sondern ob eine öffentliche Aufgabe wahrgenommen wird. Eine Handelsgesellschaft oder ein allein aus Beiträgen finanzierter privater Kindergarten bleiben deshalb außerhalb von KRI, während dieselbe private Stelle für die konkrete öffentliche Aufgabe erfasst ist, die sie wahrnimmt - etwa eine aus öffentlichen Mitteln geförderte. Das befreit nicht von anderen Pflichten: Das Datenschutzrecht ^[7] und Branchenvorschriften gelten unabhängig.

Die Größenordnung ist erheblich. Nach Daten des Statistischen Zentralamts vom 1. Januar 2025 gibt es in Polen 2479 Gemeinden, 314 Kreise, darunter 66 kreisfreie Städte, und 16 Wojewodschaften. Hinzu kommen die Behörden der Zentralverwaltung, Gerichte und Staatsanwaltschaften sowie Zehntausende Schulen und Bildungseinrichtungen als Organisationseinheiten der Kommunen. Insgesamt geht es um Zehntausende Stellen - eine Größenordnung mehr als beim Cybersicherheitsgesetz ^[6], das eine engere, gesetzlich benannte Gruppe erfasst.

§ 19 KRI: die Pflicht zum Managementsystem

Paragraf 19 Absatz 1 verpflichtet eine Stelle mit öffentlichen Aufgaben, "ein Informationssicherheits-Managementsystem zu erarbeiten und einzurichten, einzuführen und zu betreiben, zu überwachen und zu überprüfen sowie aufrechtzuerhalten und zu verbessern". Die Formulierung ist kein Zufall: Sie bildet den Deming-Kreis ab, auch bekannt als PDCA, auf dem die Normen der Reihe ISO/IEC 27000 beruhen. Der Gesetzgeber verlangt also keine einmalige Einführung von Maßnahmen, sondern einen fortdauernden Prozess.

Dieselbe Vorschrift bestimmt, was das System sichern soll. Sie nennt die klassische Trias der Ziele - Vertraulichkeit, Verfügbarkeit und Integrität - und erweitert sie um vier weitere Eigenschaften: Authentizität, Nachvollziehbarkeit, Nichtabstreitbarkeit und Zuverlässigkeit. Diese Erweiterung ist für Verwaltungsregelungen typisch und folgt aus der Natur eines amtlichen Dokuments. Im privaten Verkehr genügt meist, dass Daten richtig und verfügbar sind; in der Verwaltung ist zusätzlich nachzuweisen, wer wann gehandelt hat, und ein späteres Bestreiten auszuschließen.

Die Konformitätsvermutung mit ISO 27001

Das größte praktische Gewicht trägt § 19 Absatz 3. Er bestimmt, dass die Anforderungen der Absätze 1 und 2 als erfüllt gelten, wenn das Managementsystem auf Grundlage der Polnischen Norm PN-ISO/IEC 27001 erarbeitet wurde und die Festlegung von Maßnahmen, die Risikosteuerung und das Auditieren auf Grundlage der damit verbundenen Normen erfolgen, wobei die Verordnung zwei ausdrücklich nennt: PN-ISO/IEC 27002 ^[4] für die Festlegung von Maßnahmen (siehe Artikel zu ISO 27002) und PN-ISO/IEC 27005 ^[10] für das Risikomanagement. Beachtenswert: Die Fassung von 2012 verwies noch auf PN-ISO/IEC 24762 zur Wiederherstellung nach einer Katastrophe; im Rechtsakt von 2024 fehlt dieser Verweis.

Der Vermutungsmechanismus gibt den Stellen einen klaren Weg, wird aber oft überdehnt. Die Verordnung spricht von der Erarbeitung des Systems auf Grundlage der Norm und nicht von der Erlangung eines Zertifikats. Die meisten polnischen Kommunen sind nicht nach ISO 27001 zertifiziert und müssen es nicht sein - sie bauen Dokumentation, Richtlinien und Verfahren nach der Struktur der Norm, was für die Vermutung genügt. Umgekehrt wirkt die Beziehung nicht automatisch, wie weiter unten beschrieben.

Die vierzehn Handlungen aus § 19 Absatz 2

Paragraf 19 Absatz 2 bestimmt, dass die Steuerung der Informationssicherheit insbesondere dadurch erfolgt, dass die Leitung die Bedingungen für die Durchführung und Durchsetzung von vierzehn Handlungen sicherstellt. Der Aufbau der Vorschrift zählt: Adressat ist die Leitung der Stelle und nicht die IT-Abteilung, und die Leitung verantwortet, dass diese Handlungen überhaupt möglich sind. Der Ausdruck "insbesondere" bedeutet wiederum, dass die Liste nicht abschließend ist.

Die ersten fünf Punkte betreffen Grundlagen. Punkt 1 verlangt die Aktualisierung interner Regelungen entsprechend dem sich ändernden Umfeld, was praktisch bedeutet, dass eine acht Jahre alte Sicherheitsrichtlinie die Anforderung nicht erfüllt, auch wenn sie formal gilt. Punkt 2 verlangt ein aktuelles Verzeichnis von Hardware und Software samt Art und Konfiguration - ohne es lässt sich keine der übrigen Anforderungen belegen, weil unklar bleibt, worauf sie sich beziehen. Punkt 3 verlangt regelmäßige Risikoanalysen zum Verlust von Integrität, Verfügbarkeit oder Vertraulichkeit und Handeln nach ihren Ergebnissen; die Methodik ordnet die in der Verordnung genannte Norm PN-ISO/IEC 27005. Die Punkte 4 und 5 bilden ein Paar: Der erste verlangt, dass Personen, die Informationen verarbeiten, aufgabengerechte Rechte haben, der zweite, dass Rechte bei Aufgabenwechsel unverzüglich geändert werden. Das Zweite ist bei Prüfungen am häufigsten unerfüllt, denn Verfahren beschreiben meist die Vergabe von Zugriff und schweigen zum Entzug.

Punkt 6 betrifft Schulungen und nennt als einziger ausdrücklich die Themen: Bedrohungen der Informationssicherheit, Folgen von Regelverstössen samt rechtlicher Verantwortung sowie den Einsatz von Maßnahmen zur Minimierung menschlicher Fehler. Eine Häufigkeit bestimmt die Verordnung nicht, was mitunter mit dem Fehlen einer Pflicht verwechselt wird (siehe Artikel zu Security Awareness). Punkt 7 verlangt den Schutz von Informationen vor Diebstahl, unbefugtem Zugriff, Beschädigung und Störung und zerlegt dieses Ziel in drei Bestandteile: die Beobachtung des Informationszugriffs, Handlungen zur Erkennung unbefugter Aktivitäten und Maßnahmen, die unbefugten Zugriff auf Ebene der Betriebssysteme, Netzdienste und Anwendungen verhindern. Der zweite - die aktive Erkennung - ist eine Handlungspflicht und nicht nur das Vorhalten von Maßnahmen; in größeren Stellen wird sie durch zentrale Sammlung und Korrelation von Ereignissen umgesetzt, in der Fachliteratur als Funktion eines Security Operations Center beschrieben ^[12].

Die folgenden Punkte gehen von der Organisation zu Konkretem über. Punkt 8 verlangt Regeln für sicheres mobiles Arbeiten und Fernarbeit, Punkt 9 den Schutz von Informationen vor unbefugter Offenlegung, Veränderung, Entfernung oder Zerstörung, Punkt 10 Sicherheitsklauseln in Serviceverträgen mit Dritten und Punkt 11 Regeln zum Umgang mit Informationen, die das Risiko des Diebstahls von Informationen und der Verarbeitungsmittel einschließlich mobiler Geräte mindern.

Punkt 12 ist der umfangreichste und umfasst acht Bestandteile der Sicherheit von IT-Systemen: Sorge um Softwareaktualisierungen, Minimierung des Risikos von Informationsverlust durch Ausfall, Schutz vor Fehlern, Verlust und unbefugter Veränderung, Einsatz kryptografischer Mechanismen angemessen zu Bedrohungen oder gesetzlichen Vorgaben, Sicherheit von Systemdateien, Verringerung der Risiken aus veröffentlichten Schwachstellen, unverzügliches Handeln bei noch nicht offengelegten Schwachstellen und die Prüfung der Übereinstimmung von Systemen mit Normen und Sicherheitsrichtlinien. Letzteres verweist unmittelbar auf die Härtungspraxis nach anerkannten Konfigurationssammlungen wie den CIS Benchmarks ^[13] (siehe Artikel zum Hardening).

Die beiden letzten Punkte schließen den Kreis. Punkt 13 verlangt die unverzügliche Meldung von Vorfällen auf im Voraus festgelegtem Weg, der rasches Gegensteuern erlaubt; Grundsätze und Etappen eines solchen Prozesses beschreibt die Norm ISO/IEC 27035-1:2023 ^[11]. Punkt 14 verlangt ein regelmäßiges internes Audit der Informationssicherheit, mindestens einmal jährlich. Es ist die einzige Anforderung der ganzen Liste mit einer konkreten Frist und aus diesem Grund der erste Punkt jeder Prüfung.

Paragraf 19 Absatz 4 ergänzt, dass unabhängig von diesen vierzehn Handlungen zusätzliche Maßnahmen überall dort festzulegen sind, wo die Risikoanalyse der IT-Systeme es rechtfertigt. Die Liste aus Absatz 2 ist also ein Boden und keine Decke.

Das KRI-Audit: einmal jährlich

Das Audit ist die am leichtesten prüfbare KRI-Pflicht, denn entweder gibt es einen Bericht aus den letzten zwölf Monaten oder nicht. Die Verordnung spricht von einem internen Audit, was nicht bedeutet, dass es eine eigene beschäftigte Person durchführen muss. In größeren Stellen wie Marschallämtern oder Ministerien führen es interne Auditabteilungen durch; in kleineren Kommunen ist die Vergabe des internen Audits nach aussen verbreitet und zulässig. Wesentlich ist, dass die Auditorin nicht die eigene Arbeit bewertet - dazu mehr im Abschnitt über Fehler. Auditprogramm, Stichprobenwahl und Anforderungen an Auditierende ordnet die Norm ISO 19011:2026 ^[9], die Leitlinien und keine Anforderungen enthält und selbst keine Pflicht begründet. Den genauen Ablauf beschreibt ein eigener Artikel zum KRI-Audit.

Der Auditumfang folgt aus § 19. Er erfasst die Dokumentation des Managementsystems, also Sicherheitsrichtlinie, Verfahren, Risikoanalyse und Kontinuitätspläne, sowie die Prüfung technischer Maßnahmen durch Stichproben der Konfiguration: Mehr-Faktor-Authentisierung, Verschlüsselung, Sicherungskopien, Ereignisprotokollierung und Schutz vor Schadsoftware. Ebenso wichtig sind Betriebsnachweise - Vorfallregister, Protokolle von Wiederherstellungstests, Teilnahmelisten von Schulungen, Berichte früherer Audits -, denn sie unterscheiden ein angewandtes Verfahren von einem niedergeschriebenen. Manche Auditierende ergänzen Gespräche mit zufällig ausgewählten Beschäftigten sowie technische Tests wie einen Schwachstellenscan oder Penetrationstests; die Verordnung verlangt sie nicht, doch sie sind der einfachste Weg zu prüfen, ob die erklärten Maßnahmen wirken.

Der Auditbericht sollte Ziele und Umfang, die gewählte Methodik, die festgestellten Abweichungen samt Schwere, die Empfehlungen und einen Maßnahmenplan mit Personen und Terminen beschreiben. Er geht an die Leitung der Stelle und kann von einer externen Prüfung verlangt werden. Der Bericht allein ohne Maßnahmenplan schließt die Pflicht nicht ab, denn § 19 Absatz 2 Nummer 3 verlangt Handeln entsprechend den Ergebnissen der Analysen.

Die Verordnung bestimmt keine Qualifikation der Auditorin. Am Markt hat sich die Erwartung einer CISA-Zertifizierung oder einer Qualifikation als leitende Auditorin nach ISO 27001 etabliert, dazu mehrjährige Erfahrung im Sicherheitsaudit, möglichst im öffentlichen Sektor, und Unabhängigkeit vom Team, das die geprüften Lösungen eingeführt hat. Die Kosten hängen vor allem von der Größe der Stelle und der Komplexität der Umgebung ab: In einer kleinen Gemeinde bleibt ein Audit meist unter zwanzigtausend Zloty, in einem großen Stadt- oder Marschallamt erreicht es einige Zehntausend, in einem Ministerium oder einer Zentralbehörde kann es hunderttausend überschreiten. Das sind Marktbeobachtungen und keine Sätze aus Vorschriften.

Prüfungen durch Rechnungskontrolle und Rechnungskammern

KRI kennt keine Geldbußen, und das unterscheidet es grundlegend vom Datenschutzrecht oder vom Cybersicherheitsgesetz. Folgenlos bleibt es dennoch nicht - die Folgen verteilen sich auf mehrere parallele Aufsichtsmechanismen.

Die oberste Rechnungskontrollbehörde prüft regelmäßig den Stand von Informatisierung und IT-Sicherheit öffentlicher Stellen ^[5]. Ein wiederkehrendes Motiv ihrer Feststellungen ist das Auseinanderfallen von Dokumentation und Praxis: Sicherheitsrichtlinien bestehen formal, sind aber veraltet oder den Beschäftigten unbekannt, Risikoanalysen werden nicht dokumentiert, und Audits finden verspätet oder gar nicht statt. Eine negative Bewertung führt zu einer Prüfmitteilung mit Empfehlungen und Fristen, zur Veröffentlichung der Feststellungen in einem offenen Bericht und, bei Verdacht auf Rechtsverstoß, zur Anzeige bei den Strafverfolgungsbehörden.

Die regionalen Rechnungskammern prüfen die Finanzwirtschaft der Kommunen und berühren KRI mittelbar, indem sie die Berechtigung von IT-Ausgaben und die Abrechnung von Digitalisierungsprojekten untersuchen. Das zählt besonders bei EU-Mitteln, wo die Übereinstimmung mit KRI-Anforderungen eine Bedingung der Förderfähigkeit sein kann. Das Ministerium für Digitalisierung kann seinerseits Prüfungen in Stellen der Regierungsverwaltung durchführen und Empfehlungen aussprechen.

Die Verantwortung für die Organisation der Sicherheit liegt bei der Leitung der Stelle. Sie kann als disziplinarische Verantwortung für die Verletzung dienstlicher Pflichten oder als zivilrechtliche Haftung für Schäden aus Versäumnissen auftreten. In Extremfällen kommt strafrechtliche Verantwortung in Betracht - das Strafgesetzbuch kennt in Artikel 165 § 1 Nummer 4 die Herbeiführung einer Gefahr für Leben oder Gesundheit vieler Menschen oder für Vermögen großen Ausmaßes durch Störung der automatischen Verarbeitung, Speicherung oder Übertragung von Daten und in Artikel 268 die Vereitelung oder Erschwerung des Zugangs einer berechtigten Person zu einer Information.

Die messbarsten Folgen kommen jedoch aus dem Datenschutzrecht ^[7], denn jede Kommune ist Verantwortliche für personenbezogene Daten ihrer Einwohnerschaft. Eine Verletzung mit Datenabfluss löst die Meldepflicht an die Aufsichtsbehörde binnen 72 Stunden aus, oft auch die Benachrichtigung der Betroffenen, und eröffnet den Weg zu zivilrechtlichen Ansprüchen. Eine polnische Besonderheit ist dabei zu kennen: Artikel 102 des Gesetzes vom 10. Mai 2018 über den Schutz personenbezogener Daten begrenzt die Geldbuße für Stellen des öffentlichen Finanzsektors auf 100 000 PLN und für staatliche und kommunale Kultureinrichtungen auf 10 000 PLN. Die Obergrenzen aus Artikel 83 DSGVO - 20 Millionen Euro oder 4 Prozent des Umsatzes - gelten für diese Stellen nicht, was in Schulungsmaterial für Kommunen oft für Verwirrung sorgt.

Das Verhältnis zu PN-ISO/IEC 27001 und 27002

Die Vermutung aus § 19 Absatz 3 macht die Norm ISO/IEC 27001 ^[3] zum natürlichen Bezugspunkt der KRI-Umsetzung (siehe Artikel zu ISO 27001). Die Norm besteht aus zwei Teilen unterschiedlicher Art. Die Kapitel vier bis zehn enthalten Managementanforderungen - Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Anhang A zählt dagegen 93 Maßnahmen in vier Gruppen auf: organisatorisch, personell, physisch und technologisch. Ihre ausführliche Beschreibung samt Umsetzungshinweisen steht in ISO/IEC 27002:2022 ^[4].

Die Abbildung gelingt gut, weil beide Konstruktionen derselben Tradition entstammen. Das Verzeichnis aus Punkt 2 entspricht der Maßnahme A.5.9 zum Verzeichnis der Informationen und zugehörigen Werte. Die Rechte aus den Punkten 4 und 5 finden Deckung in A.5.15, A.5.16 und A.5.18 zu Zugriffskontrolle, Identitätsverwaltung und Zugriffsrechten. Schulungen aus Punkt 6 entsprechen A.6.3. Die Kryptografie aus Punkt 12 Buchstabe d hat ihr Gegenstück in A.8.24, und die Vorfallmeldung aus Punkt 13 in der Gruppe A.5.24 bis A.5.27 zu Reaktionsplanung, Ereignisbewertung, Reaktion und Lernen. Das Audit aus Punkt 14 deckt sich mit Kapitel 9.2 der Norm, das interne Audits in geplanten Abständen verlangt.

Übereinstimmung ist jedoch nicht Identität, und die Schlüsse daraus gehören vorsichtig gezogen. Ein Zertifikat nach ISO/IEC 27001 bedeutet keine vollständige Konformität mit KRI. Paragraf 19 Absatz 3 gibt die Vermutung, dass die Anforderungen der Absätze 1 und 2 erfüllt sind, aber nur, wenn der Anwendungsbereich des eingeführten Systems die Systeme zur Wahrnehmung öffentlicher Aufgaben tatsächlich umfasst. Ein für einen engen Bereich ausgestelltes Zertifikat - etwa für ein Rechenzentrum - erstreckt diese Vermutung nicht auf die ganze Stelle. Unabhängig vom Zertifikat bleibt zudem die Pflicht zum Jahresaudit aus Punkt 14, die der Dreijahreszyklus mit Überwachungsaudits nicht ersetzt.

Deshalb wählen die meisten Stellen den zweiten Weg: die Einführung des Systems auf Grundlage der Norm, ohne akkreditierte Zertifizierung. Er ist im Unterhalt günstiger und gegenüber KRI ausreichend. Eine vollständige Zertifizierung lohnt dort, wo eine Stelle eine Bestätigung gegenüber Dritten braucht - in Vergabeverfahren, in internationaler Zusammenarbeit oder bei Aufgaben für die Privatwirtschaft.

KRI, KSC und NIS2: drei verschiedene Regime

Diese drei werden oft verwechselt, obwohl sie sich in Anwendungsbereich, Pflichtenlast und Sanktionen unterscheiden. KRI erfasst alle Stellen mit öffentlichen Aufgaben, verlangt ein Managementsystem und ein Jahresaudit und wird über Prüfungen der Rechnungskontrolle und die Verantwortung der Leitung durchgesetzt, ohne Geldbußen. Das Cybersicherheitsgesetz ^[6] erfasst eine engere Gruppe wesentlicher und wichtiger Einrichtungen aus den Anhängen, verlangt Vorfallmeldungen in engen Fristen und kennt empfindliche Geldbußen. Die NIS2-Richtlinie ^[8] gilt in Polen nicht unmittelbar - ihr Inhalt gelangte über die Novelle des Cybersicherheitsgesetzes ins nationale Recht, in Kraft seit dem 3. April 2026 (Gesetzblatt 2026 Position 252). Ausführlicher beschreiben das Artikel zum KSC und Artikel zu NIS2.

Entscheidend für Kommunen ist das Qualifikationskriterium, das oft falsch dargestellt wird. Ein Gemeindeamt wird zur wesentlichen Einrichtung, wenn es mindestens 50 Personen in Vollzeitäquivalenten mit Arbeitsvertrag beschäftigt, Stand 1. Januar des jeweiligen Jahres. Das folgt aus Anhang 1 des novellierten Gesetzes, Sektor "Öffentliche Stellen", Nummer 4. Es ist kein Bevölkerungsschwellenwert - die Einwohnerzahl spielt hier keine Rolle. Es ist auch kein Befreiungsschwellenwert: Ein kleineres Amt qualifiziert sich schlicht nicht auf dieser Grundlage als wesentliche Einrichtung, kann aber weiterhin als wichtige Einrichtung oder über seine Organisationseinheiten wie Krankenhaus, Wasserwerk oder Kommunalbetrieb erfasst sein.

Praktisch überlagern sich die Regime. Jedes Gemeindeamt unterliegt KRI unabhängig von seiner Größe. Wojewodschaftsämter, Marschallämter und Ministerien unterliegen beiden Regelungen. Eine öffentliche Schule unterliegt KRI als Organisationseinheit der Kommune, qualifiziert sich aber meist nicht eigenständig nach dem Cybersicherheitsgesetz; in den meisten Kommunen werden die KRI-Pflichten für Schulen zentral auf Ebene des Gemeinde- oder Kreisamts erfüllt. Die gute Nachricht: Umsetzungen lassen sich teilen - ein nach ISO 27001 gebautes System erfüllt zugleich die Anforderungen von KRI und einen erheblichen Teil des Cybersicherheitsgesetzes, und die verbleibenden Unterschiede betreffen vor allem Meldefristen und den Umfang der Dokumentation.

Einführung von KRI von null

In einer Stelle ohne Managementsystem dauert ein typisches Einführungsprojekt sechs bis zwölf Monate und verläuft in mehreren Etappen unterschiedlicher Art. Es beginnt mit einem Nullaudit, meist ein bis zwei Monate: Zu klären ist, was bereits besteht, der Istzustand auf die vierzehn Handlungen des § 19 Absatz 2 abzubilden und eine Lückenliste zu erstellen. Diese Etappe zeigt oft, dass eine Stelle mehr Anforderungen erfüllt, als sie dachte, nur ohne Dokumentation, die es belegt.

Die nächsten zwei bis drei Monate beansprucht die Dokumentationsschicht: eine von der Leitung genehmigte Informationssicherheitsrichtlinie, Betriebsverfahren zu Vorfallbearbeitung, Sicherungskopien und Zugriff, eine dokumentierte Risikoanalyse samt Behandlungsplan und ein Kontinuitätsplan. Für eine mittlere Gemeinde bedeutet das meist einige Dutzend Dokumente, wobei ihre Zahl weniger zählt als die Frage, ob sie der Wirklichkeit entsprechen.

Am längsten dauert die technische Etappe mit drei bis sechs Monaten. Sie umfasst die Härtung von Arbeitsplätzen und Servern (siehe Artikel zum Hardening), die Einführung der Mehr-Faktor-Authentisierung für Fernzugriff und privilegierte Konten, den Schutz vor Schadsoftware, Sicherungskopien mit dokumentiertem Wiederherstellungstest, die zentrale Protokollsammlung sowie die Verschlüsselung von Datenträgern und Datenbanken mit personenbezogenen Daten. Parallel startet die Schulungsschicht, die - anders als die übrigen - kein Enddatum hat (siehe Artikel zu Security Awareness). Das Ganze schließt das erste Konformitätsaudit samt Korrekturplan ab.

Die Kosten hängen vom Umfang ab und davon, wie viel eine Stelle bereits umgesetzt hat. In einer mittleren Gemeinde mit einigen tausend Einwohnern und einigen Dutzend Arbeitsplätzen schließt das erste Jahr meist zwischen einigen Zehntausend und gut hunderttausend Zloty ab, einschließlich Beratung, technischer Investitionen und Audit. In den Folgejahren sinken die Kosten auf Lizenzen, Schulungen und das Jahresaudit. In einer Stelle mit Zehntausenden Einwohnern und einigen hundert Arbeitsplätzen liegt der Aufwand des ersten Jahres mehrfach höher. Das sind Marktschätzungen und keine Sätze aus Vorschriften.

Die häufigsten Fehler öffentlicher Stellen

Feststellungen der Rechnungskontrolle ^[5] und Erfahrungen aus KRI-Audits zeigen ein wiederkehrendes Muster. Der häufigste Fehler besteht darin, dass Dokumentation unabhängig von der Organisation entsteht, die sie beschreibt. Die Sicherheitsrichtlinie ist oft ein aus dem Netz geladenes Muster, das niemand gelesen hat und das Prozesse beschreibt, die es in der Stelle nicht gibt. Die Risikoanalyse fehlt entweder oder stammt aus früheren Jahren und wurde nach wesentlichen Änderungen nicht fortgeschrieben, obwohl Punkt 3 von regelmäßigen Analysen und Punkt 1 von der Aktualisierung der Regelungen entsprechend dem Umfeld spricht.

Das zweite Muster sind Maßnahmen, die niemand geprüft hat. Kontinuitätspläne bestehen, wurden aber nie erprobt. Sicherungskopien werden erstellt, aber nie zurückgespielt, sodass die Stelle von ihrer Unvollständigkeit oder Beschädigung erst bei einem Ausfall oder einem Erpressungsangriff erfährt. Protokolle werden gesammelt, aber niemand sieht sie durch, und ihre Aufbewahrungsdauer ist mitunter kürzer als die Zeit bis zur Erkennung eines Vorfalls - was sowohl Punkt 7 Buchstabe b als auch den Beweiswert der nach § 20 verlangten Aufzeichnungen zunichtemacht.

Das dritte Muster betrifft den Zugriff. Mehr-Faktor-Authentisierung ist beim Fernzugriff noch immer kein Standard, und administrative Konten werden für die tägliche Arbeit genutzt, einschließlich E-Mail und Websurfen. Konten von Personen, die die Stelle gewechselt haben oder ausgeschieden sind, bleiben aktiv, obwohl Punkt 5 die unverzügliche Änderung der Rechte verlangt. Dazu kommt eine seit Jahren vernachlässigte technische Schicht: Systeme ohne Herstellerunterstützung, Standardkennwörter auf Netzgeräten, unnötig aktivierte Dienste und ein fehlendes Verzeichnis, das all das sichtbar machen würde.

Gesondert zu nennen ist der Interessenkonflikt im Audit. Das KRI-Audit an das Unternehmen zu vergeben, das die geprüften Lösungen eingeführt hat, ist verbreitet und kostenseitig nachvollziehbar, führt aber zu einem Bericht, der die Arbeit seines eigenen Verfassers bestätigt. Formal ist die Pflicht erfüllt, tatsächlich verliert das Audit die Funktion, für die es geschaffen wurde. Den Grundsatz der Unabhängigkeit beschreibt die bereits genannte Norm ISO 19011:2026 ^[9].

Eine praktische Prüfliste für die Bereitschaft einer Stelle umfasst zehn Positionen: eine genehmigte und dem Personal bekannte Informationssicherheitsrichtlinie; eine aktuelle Risikoanalyse samt Werte-Landkarte und Behandlungsplan; ein vollständiges Verzeichnis von Hardware und Software mit Aktualisierungsstand; umgesetzte Regeln zum Umgang mit und zur Kennzeichnung von Informationen; ein erprobtes Meldeverfahren für Vorfälle; Sicherungskopien mit dokumentiertem Wiederherstellungstest; Mehr-Faktor-Authentisierung für Fernzugriff und privilegierte Konten; dokumentierte Härtung von Arbeitsplätzen und Servern nach anerkannten Benchmarks; dokumentierte Schulungen; und einen KRI-Auditbericht aus den letzten zwölf Monaten samt Korrekturplan (siehe Artikel zum KRI-Audit). Fehlt eine dieser Positionen, muss die Auditorin das als Abweichung festhalten.