Bund und Länder haben die NIS-2-Option für Kommunen liegen lassen

Das Wichtigste in Kürze

• Das Landeskriminalamt Schleswig-Holstein ermittelt gegen eine Gruppe, die Kreisverwaltungen und Bundesbehörden im selben Angriff getroffen hat.
• Für die Bundesverwaltung schreibt Kapitel 3 des BSIG seit dem 6. Dezember 2025 Sicherheitsbeauftragte und Meldewege vor.
• Die NIS-2-Richtlinie stellt den Mitgliedstaaten frei, ob sie ihre Kommunen in den Anwendungsbereich einbeziehen.
• Der IT-Planungsrat bat Bund und Länder am 3. November 2023, von dieser Option keinen Gebrauch zu machen.
• Für die angegriffenen Kreisverwaltungen gilt deshalb keine Pflicht zu einem Sicherheitsbeauftragten und keine Meldung an das BSI.

Das Landeskriminalamt Schleswig-Holstein zählt die Ziele der Angriffsserie in einer einzigen Reihe auf: „variable und breitbandige DDoS-Angriffe auf die Internetauftritte verschiedener Stadt- und Kreisverwaltungen im Bundesgebiet sowie gegen Behörden des Bundes, Telekommunikationsdienstleister und große Einzelhandelsketten“. Vier Gruppen, ein Verfahren, ein Satz. Für die Behörden des Bundes gilt seit dem 6. Dezember 2025 ein Gesetz, das ihnen Sicherheitsmanagement, Beauftragte und Meldewege vorschreibt. Für die Kreisverwaltung in derselben Aufzählung gilt es nicht. Ob NIS-2 auch die Kommunen erfasst, hat die europäische Richtlinie den Mitgliedstaaten überlassen. Bernard Darko berichtete über den Ermittlungserfolg am 31. August 2026 für DIE ZEIT.

Für Bundesbehörden gilt seit Dezember 2025 Kapitel 3 des BSIG#

Das Kapitel trägt die Überschrift „Informationssicherheit der Einrichtungen der Bundesverwaltung“. § 43 verlangt ein Informationssicherheitsmanagement, § 45 einen Informationssicherheitsbeauftragten; weitere Paragrafen regeln Meldungen und die Aufsicht des BSI. Landkreise und Gemeinden kommen im Regelungsprogramm nicht vor. Das Bundesamt für Sicherheit in der Informationstechnik schreibt es in seinen Antworten für Länder und Kommunen selbst hin: „Die Gesetzgebungskompetenz für die Cybersicherheit der Verwaltung von Ländern, Landkreisen und Kommunen liegt bei den Ländern und Kommunen selbst.“ Auch eine Ebene darunter ist der Kreis eng gezogen: Die Berliner Vorfallstatistik zählt nur die an das Landesnetz angeschlossenen Stellen¹.

Beschluss 2023/39 ordnet die Landratsämter der lokalen Ebene zu#

Die Richtlinie (EU) 2022/2555 hält die lokale Ebene ausdrücklich offen. Artikel 2 Absatz 5 lautet: „Die Mitgliedstaaten können vorsehen, dass diese Richtlinie Anwendung findet auf: a) Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene; b) Bildungseinrichtungen […].“ (Richtlinie (EU) 2022/2555, Artikel 2²)

Am 3. November 2023 fasste der IT-Planungsrat, das gemeinsame Gremium von Bund und Ländern für die Verwaltungs-IT, Beschluss 2023/39³. Er „bittet die Länder und den Bund, von der Option, den Anwendungsbereich der NIS-2-Richtlinie auf Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene und Bildungseinrichtungen zu erstrecken, keinen Gebrauch zu machen“.

Wo die lokale Ebene anfängt, klärt die Anlage: das zehnseitige Papier der AG Informationssicherheit vom 22. September 2023, „Vorschlag für ein Konzept zur Identifizierung von Einrichtungen i. S. d. Art. 2 Abs. 2 f) ii) NIS-2-RL“ it-planungsrat.de ↗. Auf Seite 2 steht das Kriterium: „Die Abgrenzung ist insbesondere zur Kommunalverwaltung diffizil. Hier bietet es sich an, […] auf das kommunale Selbstverwaltungsrecht (Art. 28 Abs. 2 GG) als Abgrenzungskriterium abzustellen. Dadurch sind beispielsweise die Kreisverwaltungsbehörden/ Landratsämter in BY und BW aufgrund der Organisationshoheit des Landrats nicht der ‚regionalen Ebene‘, sondern der ‚lokalen Ebene‘ zuzuordnen.“

Artikel 28 Absatz 2 des Grundgesetzes garantiert den Gemeinden, „alle Angelegenheiten der örtlichen Gemeinschaft im Rahmen der Gesetze in eigener Verantwortung zu regeln“. Die Länder folgten der Bitte: „Im Rahmen der nationalen Umsetzung haben sich die Länder unisono dafür ausgesprochen, von der optionalen Möglichkeit keinen Gebrauch zu machen“, hält das Hessische Ministerium des Innern⁴ auf seiner Seite zu NIS-2 fest. Lücken dieser Art entstehen bei NIS-2 nicht nur zwischen den Verwaltungsebenen; in der Lieferkette fehlt derselben Richtlinie der Steuerberater⁵.

Schleswig-Holstein bindet seine Kommunen über ein Kann ein#

Das Land, dessen Landeskriminalamt jetzt ermittelt, hat seine Cybersicherheitsstrategie im Oktober 2025 im Amtsblatt veröffentlicht. Sie nennt die kommunale Seite ausdrücklich: „Auch eine Integration kommunaler Bedarfe ist erforderlich.“ Für die Umsetzung verweist sie auf den kommunalen IT-Verbund des Landes: „Kommunale Akteure können über den ITV.SH eingebunden werden.“ Eine Stelle, die für die Kommunen prüft, was ihr Dienstleister an Abwehr eingekauft hat, sieht das Landesrecht nicht vor.

Das hessische Innenministerium zieht die Linie im selben Text: „Kritische Einrichtungen der kommunalen Ebene wie bspw. kommunale Wasserversorger etc. sind hingegen ab einer bestimmten Größe von der NIS-2-Regulierung des Bundes betroffen, da die Richtlinie nicht zwischen privaten oder öffentlichen Betreibern unterscheidet.“

Mehrstündige Ausfälle kommunaler Seiten belegt eine Warnmeldung von 2023#

Was ein solcher Angriff anrichtet, hat eine Behörde für eine frühere Welle beziffert. Im Oktober 2023 warnte die Cybersicherheitsagentur Baden-Württemberg vor Angriffen auf dieselbe Zielkombination aus Städten, Verkehrsbetrieben und Bundesbehörden: Die Internetauftritte mehrerer Städte und Verkehrsbetriebe seien angegriffen worden, „dadurch kam es teilweise zu mehrstündigen Ausfällen der betroffenen Online-Angebote“. Das ist eine Warnmeldung an Betreiber in Baden-Württemberg, keine Verfügbarkeitsstatistik, und sie liegt drei Jahre vor dem jetzigen Verfahren.

Wie lange die Verwaltungsseiten diesmal nicht erreichbar waren, ist auf den geprüften amtlichen Seiten nicht veröffentlicht: Weder das Landeskriminalamt noch die Staatsanwaltschaft Itzehoe nennt eine Ausfalldauer, und eine Stelle, die die Verfügbarkeit kommunaler Webangebote erhebt, war nicht zu finden. Nach Angaben der Ermittler forderte das Bekennerschreiben Berichterstattung und 30.000 Euro in Bitcoin, eine Forderung, keine Schadenssumme; gezahlt wurde nichts.

Für die Kreisverwaltung, die in der Zielliste neben den Bundesbehörden steht, folgt daraus kein Beauftragter nach § 45 und keine Meldung an das BSI. Was sie gegen einen Überlastungsangriff einkauft, entscheidet sie selbst, und sie bezahlt es selbst. Die Option aus Artikel 2 Absatz 5 liegt seit dem 3. November 2023 bei den Ländern, und nach der Auskunft aus Hessen hat keines sie gezogen.

Anlass war die Meldung von Bernard Darko und AFP, „DDoS-Angriffe auf Verwaltungen: Verdächtige nach Cyberattacken auf Behörden und Firmen ermittelt“, für DIE ZEIT vom 31. August 2026; von dort stammen die Angaben zu den drei Beschuldigten und den Durchsuchungen. Die Zielliste, die Tatvorwürfe und die Forderungen des Bekennerschreibens stehen in der Pressemitteilung des Landeskriminalamts Schleswig-Holstein vom 31. August 2026⁶. Der Wortlaut des Anwendungsbereichs stammt aus der Richtlinie (EU) 2022/2555 eur-lex.europa.eu ↗, das Abgrenzungskriterium aus Beschluss 2023/39 des IT-Planungsrats it-planungsrat.de ↗ und seiner Anlage vom 22. September 2023, die Länderposition vom Hessischen Ministerium des Innern innen.hessen.de ↗. Kapitel 3 des BSIG in der Fassung von 2025 gesetze-im-internet.de ↗ und Artikel 28 des Grundgesetzes gesetze-im-internet.de ↗ sind im Volltext abrufbar, ebenso die FAQ des BSI zu NIS-2 in Land und Kommune⁷, die Cybersicherheitsstrategie Schleswig-Holstein (Amtsblatt 2025/347 vom 13. Oktober 2025)⁸ und die Warnmeldung der Cybersicherheitsagentur Baden-Württemberg vom 24. Oktober 2023⁹.