Die in französisches Recht umgesetzte NIS2-Richtlinie verändert die Rahmenbedingungen für die Abteilungen der territorialen Informationssysteme. Die Kommunen entscheiden nicht mehr freiwillig, in Cybersicherheit zu investieren: Sie sind rechtlich dazu verpflichtet, mit entsprechenden Sanktionen. Dieser regulatorische Rahmen verteilt die budgetären und technischen Prioritäten des gesamten lokalen öffentlichen Sektors neu.
NIS2-Pflichten und Cybersicherheit der Kommunen
Die Klassifizierung der Kommunen in zwei Anforderungsstufen stellt die wesentliche strukturelle Veränderung dar. Regionen, Departements, Metropolen, städtische Gemeinschaften und Gemeinden mit mehr als 30.000 Einwohnern werden nun als essentielle Einrichtungen eingestuft, die dem strengsten Regime unterliegen. Die Agglomerationsgemeinschaften, Gemeindeverbände und einige SDIS fallen unter den Status der wichtigen Einrichtungen mit einem mittleren Niveau.
Die Verpflichtungen beschränken sich nicht auf eine Absichtserklärung. Jede betroffene Kommune muss eine Sicherheitsrichtlinie für ihre Informationssysteme formal festlegen, eine dokumentierte Risikoanalyse durchführen und einen Notfallplan für ihre kritischen digitalen Dienste erstellen.
Die Meldung signifikanter Vorfälle an die ANSSI innerhalb von 24 Stunden, gefolgt von einem detaillierten Bericht innerhalb von 72 Stunden, verändert das Krisenmanagement. Die territorialen DSI, die mit informellen Verfahren arbeiteten, müssen nun eine Bereitschaft und operationale Eskalationswege strukturieren. Wir beobachten, dass dieser zeitliche Druck viele Kommunen dazu bringt, die gesamte oder teilweise Sicherheitsüberwachung an gemeinsame Sicherheitsoperationzentren auszulagern.
Um die technischen Herausforderungen, die sich daraus ergeben, zu vertiefen, beschreibt die Informatik auf Collectivité Numérique die Architekturen, die den Anforderungen des lokalen öffentlichen Sektors gerecht werden.
Daten-Governance und Open Data in den Kommunen
Die Fragmentierung der Informationssysteme bleibt das Haupthindernis für eine kohärente Daten-Governance in den Kommunen. Jede Fachabteilung (Stadtplanung, Personenstand, Finanzen, Straßenbau) hat historisch ihre eigenen Werkzeuge eingesetzt, oft ohne Interoperabilität. Die Vereinheitlichung der Datenreferenzen, bevor man über Open Data spricht, ist eine nicht verhandelbare technische Voraussetzung.
Die Öffnung der öffentlichen Daten erfordert zudem die Vereinbarung zweier rechtlicher Rahmenbedingungen, die im Konflikt stehen. Auf der einen Seite die Verpflichtung zur Veröffentlichung von Verwaltungsdokumenten und Datenbanken. Auf der anderen Seite die Anforderungen der DSGVO zum Schutz personenbezogener Daten. Die CNIL erinnert daran, dass die Kommunen die Datensätze vor der Veröffentlichung anonymisieren oder pseudonymisieren müssen, was Kompetenzen und Werkzeuge erfordert, die viele kleine Interkommunalverbände nicht intern besitzen.
- Alle Fachdatenbanken kartieren und Duplikate, proprietäre Formate und personenbezogene Daten identifizieren, die vor einer Öffnung behandelt werden müssen
- Ein Daten-Governance-Verantwortlicher, der von dem DPO getrennt ist, benennen, der für die Qualität, Aktualisierung und Interoperabilität der Datensätze verantwortlich ist
- Offene Formate und standardisierte APIs bevorzugen anstelle von einmaligen CSV-Exporte, um eine tatsächliche Wiederverwendbarkeit durch die Akteure des Gebiets zu ermöglichen
Souveräner Cloud und SaaS-Modus für lokale öffentliche Dienste
Die Migration in die Cloud im SaaS-Modus schreitet in den Kommunen schnell voran, unterstützt durch die Senkung der Infrastrukturkosten und die Vereinfachung der Anwendungswartung. Die Frage der digitalen Souveränität prägt nun die Wahl der Anbieter. Die Speicherung der Daten der Bürger bei einem Anbieter, der extraterritorialen Gesetzen unterliegt, setzt die Kommune einem direkten rechtlichen Risiko aus.
Wir empfehlen, sensible Daten (Personenstand, Sozialhilfe, lokale Besteuerung) klar von den Daten des laufenden Betriebs zu unterscheiden. Erstere erfordern ein qualifiziertes Hosting wie SecNumCloud oder ein Äquivalent. Letztere können ein geringeres Zertifizierungsniveau tolerieren, vorausgesetzt, der Vertrag legt den Standort der Daten und die Bedingungen für die Rückführbarkeit fest.
Die klassische Falle des territorialen SaaS liegt in der Abhängigkeit vom Anbieter. Eine Kommune, die ihre Finanzverwaltung oder ihre HR-Tools auf eine proprietäre Plattform ohne klare Rückführbarkeitsklausel migriert, wird gefangen. Die Anforderung, Daten in einem offenen Format zu exportieren, die unter realen Bedingungen vor der Vertragsunterzeichnung getestet wurde, sollte in jedem Lastenheft enthalten sein.
Künstliche Intelligenz und verantwortungsbewusste Digitalisierung in den Kommunen
Künstliche Intelligenz hält in den Kommunen durch gezielte Anwendungsfälle Einzug, anstatt durch massive Einsätze. Automatisierte Bearbeitung eingehender Post, Klassifizierung von Bürgeranfragen, Erkennung von Anomalien im Energieverbrauch öffentlicher Gebäude: Diese Anwendungen generieren messbare Gewinne, ohne eine vollständige Überarbeitung des IS zu erfordern.
Das Haupthemmnis ist nicht technologische, sondern organisatorische Natur. Die Schulung der Mitarbeiter im Umgang mit KI-unterstützten Werkzeugen, die Definition der Fälle, in denen automatisierte Entscheidungen von einem Menschen validiert werden müssen, die Dokumentation der verwendeten Algorithmen zur Einhaltung der Transparenzpflichten: Diese Projekte erfordern Zeit und Kompetenzen, die die aktuellen Mitarbeiter der territorialen DSI nur schwer aufbringen können.
Der Aspekt der verantwortungsbewussten Digitalisierung fügt eine weitere Schicht von Anforderungen hinzu. Das REEN-Gesetz verpflichtet Kommunen mit mehr als 50.000 Einwohnern zu einer Strategie zur Reduzierung des ökologischen Fußabdrucks der Digitalisierung. Konkret bedeutet dies, dass umweltbezogene Kriterien in den öffentlichen IT-Ausschreibungen, eine Verlängerung der Lebensdauer der Geräte und eine Rationalisierung der Serverinfrastruktur berücksichtigt werden müssen.
- Umweltkriterien in den öffentlichen IT-Ausschreibungen integrieren, gemäß den Verpflichtungen aus dem Klimaschutz- und Resilienzgesetz
- Den CO2-Fußabdruck des bestehenden digitalen Parks messen, bevor messbare Reduktionsziele festgelegt werden
- Wiederverwendung und Aufbereitung von Arbeitsplätzen fördern, in Verbindung mit den lokalen Kreislaufwirtschaftssektoren
- Die eingesetzten KI-Algorithmen dokumentieren, um Transparenz gegenüber den Bürgern und gewählten Vertretern zu gewährleisten
Die Verknüpfung dieser vier Achsen (regulatorische Cybersicherheit, Daten-Governance, Cloud-Souveränität, verantwortungsvolle KI) skizziert den tatsächlichen Rahmen der digitalen Transformation auf territorialer Ebene für die kommenden Jahre. Die Kommunen, die diese Themen isoliert behandeln, reproduzieren die Fragmentierungsfehler, die ihre Informationssysteme so schwer weiterentwickeln ließen. Diese Projekte transversal zu steuern, unter der Autorität einer digitalen Leitung und nicht nur einer technischen DSI, bleibt die Voraussetzung dafür, dass diese Investitionen nachhaltige Ergebnisse erzielen.