Mit dem am 22. Juli 2026 vom Bundeskabinett beschlossenen bzw. bekräftigten Programm CyberGovSecure will die Bundesregierung eine Steigerung der Cybersicherheit und -resilienz der Bundesverwaltung erreichen. Der Beitrag ordnet die öffentlich bekannten Inhalte ein, zeigt mögliche Handlungsfelder auf und beleuchtet, welche Impulse Unternehmen der freien Wirtschaft daraus für ihre eigene Sicherheitsarchitektur ableiten können.
Worum geht es bei CyberGovSecure?
CyberGovSecure ist ein neues ressortübergreifendes Programm, das die Umsetzung bestehender und neuer Sicherheitsanforderungen über alle Ressorts hinweg in der Bundesverwaltung strukturieren soll. In der Praxis unterscheiden sich bisher Reifegrade, Umsetzungsstände und technische Landschaften zwischen den einzelnen Ressorts. Vorfälle in der Vergangenheit haben jedoch gezeigt, dass isolierte Schutzkonzepte nicht ausreichen. Das Programm berücksichtigt die unterschiedlichen Ausgangslagen und Umsetzungsstände der Behörden.
CyberGovSecure gliedert sich in neun Handlungsfelder: Die Bundesregierung nennt unter anderem sichere Konfiguration und Systemhärtung, Assetmanagement, Schwachstellenmanagement, Protokollierung und Detektion, Netzwerksicherheit, Informationssicherheitscontrolling, resilienten Aufbau zentraler Dienstleistungen, Daten- und Zugriffsschutz sowie sicheres und modernes Mobile Device Management.
Zur Governance gehört ein Lenkungskreis unter Vorsitz des BMDS. Die operative Koordination erfolgt über den CISO Bund in Abstimmung mit den Ressorts; das BSI unterstützt fachlich und organisatorisch.
Welche Sicherheitsstandards definiert CyberGovSecure konkret?
CyberGovSecure definiert keine eigenständigen, neuen Normen wie ISO-Standards, sondern setzt einen verbindlichen, ressortübergreifenden Umsetzungsrahmen mit konkreten, priorisierten Sicherheitsmaßnahmen, die sich an bestehenden Vorgaben (z. B. NIS-2, BSI-Grundschutz) orientieren. Belegt sind bisher vor allem die genannten Handlungsfelder und die politische Steuerung des Programms. Das BSI hat für 2026 zunächst vier priorisierte Bereiche benannt:
- Sicheres Backup: Umsetzung robuster, getrennter und getesteter Backup-Strategien zur Wiederherstellung nach Angriffen.
- Sichere Konfiguration und Systemhärtung: Durchgängige Härtung zentraler IT-Systeme nach BSI-Empfehlungen, um Angriffsflächen zu minimieren.
- Schwachstellenmanagement: Zeitgemäßes, kontinuierliches Identifizieren, Priorisieren und Beheben von Sicherheitslücken (inkl. CVE-Abgleich).
- Protokollierung und Detektion: Verbesserte Angriffserkennung durch zentrale Logging- und Anomalieerkennungssysteme.
Für IT-Dienstleister entsteht damit ein entsprechendes Anforderungsprofil. Wer Behörden bei der Implementierung begleiten will, muss definierte Sicherheitsstandards nicht nur kennen, sondern nachweislich umsetzen können.
Was können Unternehmen der freien Wirtschaft aus CyberGovSecure ableiten?
CyberGovSecure richtet sich formal an die Bundesverwaltung. Für Unternehmen der freien Wirtschaft lassen sich daraus daher keine unmittelbaren Pflichten ableiten. Wohl aber kann das Programm als Orientierung dienen, wenn es um die Priorisierung eigener Sicherheitsmaßnahmen geht.
Sinnvoll übertragbar sind jedenfalls folgende Grundgedanken:
- Härtung und sichere Standardkonfigurationen senken Angriffsflächen.
- Schwachstellenmanagement sollte organisatorisch klar verankert sein.
- Protokollierung und Detektion sind zentrale Bausteine einer belastbaren Sicherheitsarchitektur.
- Daten- und Zugriffsschutz sowie eine saubere Verwaltung mobiler Endgeräte gewinnen weiter an Bedeutung.
Solche Ableitungen sind Empfehlungen, keine rechtlichen Folgen aus CyberGovSecure. Unternehmen können sie aber als „Best Practice“ verstehen, auch mit Blick auf NIS-2.
Der Hebel für mehr Sicherheit
CyberGovSecure ist vor allem als Steuerungs- und Umsetzungsprogramm zu verstehen. Verbindliche Sicherheitsanforderungen ergeben sich weiterhin aus den einschlägigen Rechts- und Verwaltungsvorgaben, insbesondere den BSI-Mindeststandards. Das Programm soll einen pragmatischen Ansatz verfolgen: Zuerst Maßnahmen mit erkennbarer Schutzwirkung voranbringen, die Angriffsflächen reduzieren, Wiederherstellungsfähigkeit verbessern und sicherheitsrelevante Ereignisse besser sichtbar machen. Je nachdem, wie konsequent die priorisierten Maßnahmen umgesetzt werden und wie gut technische, organisatorische und personelle Maßnahmen dann ineinandergreifen, kann CyberGovSecure zu einem wichtigen Hebel für mehr Cybersicherheit und Belastbarkeit in der Bundesverwaltung werden.
