Wenn eine Gemeinde ihre IT erneuert, geht es selten nur um neue Geräte oder eine leistungsfähigere Software. Beschaffung legt fest, wie zuverlässig eine Verwaltung arbeitet, wie schnell sie auf Störungen reagiert und wie gut sie sensible Informationen schützt. Gerade bei öffentlichen Stellen treffen dabei viele Anforderungen aufeinander: Datenschutz, Haushaltsrecht, technische Standards, Lieferfähigkeit und der Wunsch nach Lösungen, die im Alltag tatsächlich funktionieren.
Ein sinnvoller Ausgangspunkt ist der Blick auf Institutionen, die mit besonders schützenswerten Daten und hohen Verfügbarkeitsanforderungen umgehen. Die sicherheitsdirektion kanton zürich steht dabei beispielhaft für einen Bereich, in dem digitale Arbeitsmittel mehr leisten müssen als reine Bürokommunikation. Aus dieser Perspektive lässt sich eine interessante Frage ableiten: Wie kann eine Kommune ihre IT so beschaffen, dass sie auch unter Zeitdruck, bei Ausfällen und in Krisensituationen handlungsfähig bleibt?
Beschaffung beginnt mit dem Betrieb, nicht mit dem Produkt
Viele Projekte starten mit einer Geräteliste. Benötigt werden Laptops, Bildschirme, Mobiltelefone, Server oder Anwendungen. Diese Liste hilft bei der Ausschreibung, beschreibt aber noch nicht den tatsächlichen Bedarf. Vorher sollte die Verwaltung klären, welche Arbeitsabläufe geschützt werden müssen und welche davon auch außerhalb des regulären Büros funktionieren sollen.
Ein Bürgerbüro braucht andere Systeme als ein kommunaler Krisenstab. Mitarbeitende im Außendienst benötigen robuste mobile Zugänge, während eine Finanzabteilung vor allem auf revisionssichere Abläufe und stabile Schnittstellen angewiesen ist. Werden diese Unterschiede früh erfasst, kann die Kommune Anforderungen präziser formulieren. Das reduziert spätere Nachträge und verhindert, dass ein technisch gutes Produkt am Arbeitsplatz unpraktisch bleibt.
Hilfreich ist eine einfache Betrachtung der wichtigsten Prozesse. Für jeden Prozess sollte feststehen, welche Anwendungen dazugehören, welche Daten verarbeitet werden und wie lange ein Ausfall vertretbar wäre. Auch Abhängigkeiten zählen. Wenn eine Anmeldung nur über einen einzelnen Dienst möglich ist, kann dessen Störung gleich mehrere Fachverfahren blockieren. Solche Zusammenhänge gehören in die Vorbereitung einer Ausschreibung.
Vier Prüfsteine für belastbare IT-Anforderungen
Eine Ausschreibung muss nicht jede technische Einzelheit vorwegnehmen. Sie sollte jedoch die Eigenschaften benennen, die für den späteren Betrieb zählen. Dabei helfen einige konkrete Prüfsteine:
- Verfügbarkeit: Die Verwaltung legt fest, welche Betriebszeiten erforderlich sind und welche Wiederherstellungsfrist bei einem Ausfall gilt.
- Zugriffsschutz: Rollen, Mehrfaktor-Authentifizierung und getrennte Administrationsrechte müssen zum Schutzbedarf der jeweiligen Anwendung passen.
- Abhängigkeiten: Anbieter nennen relevante Unterauftragnehmer, externe Plattformen und Schnittstellen, damit Ausfallrisiken sichtbar werden.
- Datenhoheit: Vertrag und Technik sollten regeln, wo Daten gespeichert werden, wie Backups funktionieren und in welchem Format ein Export möglich ist.
- Lebenszyklus: Updates, Sicherheitskorrekturen, Ersatzteile und das Ende des Supports gehören in die Bewertung, nicht erst in die Betriebsphase.
- Nachweisbarkeit: Protokolle, Prüfberichte und dokumentierte Änderungen erleichtern die Kontrolle durch interne und externe Stellen.
Diese Punkte lassen sich auf Hardware, Software und externe Dienste anwenden. Bei einem Cloud-Angebot geht es etwa um Wiederherstellung und Datenexport. Bei Arbeitsplatzgeräten spielen Verschlüsselung, zentrale Verwaltung und ein klarer Austauschprozess eine Rolle. Die Anforderungen sollten so konkret sein, dass Anbieter vergleichbare Antworten liefern können. Gleichzeitig darf die Kommune den Wettbewerb nicht durch unnötig enge Herstellermerkmale einschränken.
Resilienz entsteht durch klare Zuständigkeiten
Technische Schutzmaßnahmen verlieren an Wirkung, wenn niemand für ihren Betrieb verantwortlich ist. Ein Vertrag kann festlegen, wann ein Dienst verfügbar sein muss. Er ersetzt jedoch keine interne Entscheidung darüber, wer Störungen meldet, Prioritäten setzt und die Kommunikation mit betroffenen Fachbereichen übernimmt.
Deshalb sollte die Beschaffung gemeinsam mit IT, Datenschutz, Informationssicherheit und den späteren Nutzern erfolgen. Jede Gruppe bringt einen anderen Blick ein. Die IT kennt Schnittstellen und Wartungsfenster. Der Datenschutz bewertet die Verarbeitung personenbezogener Daten. Fachabteilungen wissen, welche Funktionen im Tagesgeschäft unverzichtbar sind. Das Management muss Kosten, Risiken und Zuständigkeiten in ein tragfähiges Verhältnis bringen.
Auch für den Ernstfall braucht es ein praktikables Verfahren. Eine Kontaktliste allein reicht nicht. Mitarbeitende müssen wissen, wie sie einen Ausfall melden, welche Informationen sie weitergeben und welche Übergangslösung gilt. Ein kurzer Notfalltest kann zeigen, ob diese Abläufe verständlich sind. Dabei geht es nicht um ein aufwendiges Szenario. Schon die Frage, wie ein Fachbereich bei einem mehrstündigen Ausfall auf wichtige Vorgänge zugreift, bringt oft offene Punkte ans Licht.
Verträge müssen den Alltag abbilden
Ein günstiger Anschaffungspreis sagt wenig über die Kosten eines Systems aus. Wartung, Schulung, Migration, Lizenzen, Ersatzgeräte und die spätere Ablösung können den größeren Anteil ausmachen. Die Vergabestelle sollte deshalb die Gesamtkosten über die geplante Nutzungsdauer betrachten. Das schafft eine bessere Grundlage für den Vergleich verschiedener Angebote.
Ebenso wichtig sind verständliche Regelungen für Änderungen. Anbieter aktualisieren Produkte, passen Schnittstellen an oder verändern ihre Betriebsmodelle. Die Kommune muss erkennen können, welche Änderungen angekündigt werden, welche Tests erforderlich sind und wann sie ein Sonderkündigungsrecht besitzt. Für besonders wichtige Dienste gehören auch Eskalationsstufen und feste Reaktionszeiten in den Vertrag.
Beim Anbieterwechsel zeigt sich, wie gut die ursprüngliche Planung war. Ein sauberer Datenexport, dokumentierte Schnittstellen und aktuelle Betriebsunterlagen verringern die Abhängigkeit von einem einzelnen Dienstleister. Diese Anforderungen wirken zunächst unbequem, schützen aber die Handlungsfähigkeit der Verwaltung. Sie geben der Kommune mehr Spielraum, wenn sich Preise, Technik oder rechtliche Rahmenbedingungen verändern.
Von der Ausschreibung zur lernenden Verwaltung
Nach der Vergabe endet die Arbeit nicht. Die Verwaltung sollte regelmäßig prüfen, ob die beschaffte Lösung ihre Aufgaben erfüllt. Dazu gehören Auswertungen zu Störungen, Wiederherstellungszeiten, offenen Sicherheitskorrekturen und Nutzerproblemen. Solche Informationen helfen bei der Verlängerung eines Vertrags ebenso wie bei der nächsten Ausschreibung.
Ein sinnvoller Rhythmus muss zur Größe der Organisation passen. Eine kleine Gemeinde kann mit wenigen festen Prüfpunkten arbeiten. Größere Verwaltungen benötigen meist ein detaillierteres Risikoregister und abgestimmte Berichtstermine. Entscheidend ist die Verbindlichkeit: Wer Mängel feststellt, braucht eine zuständige Person, eine Frist und eine nachvollziehbare Entscheidung.
Der Blick auf sicherheitsnahe Behörden lenkt die Aufmerksamkeit auf eine einfache, aber oft übersehene Tatsache. Digitale Resilienz entsteht nicht durch ein einzelnes Premiumprodukt. Sie wächst aus passenden Anforderungen, klaren Verantwortlichkeiten, überprüfbaren Verträgen und geübten Abläufen. Kommunen können diese Prinzipien schrittweise umsetzen. Jede Beschaffung wird dann zu einer Gelegenheit, den Betrieb robuster, nachvollziehbarer und unabhängiger zu gestalten.