Matthias Büttner (Stendal) (AfD):
Sehr geehrter Herr Präsident! Geschätzte Kollegen! Meine sehr geehrten Damen und Herren! Das Ziel dieses Gesetzes teilen wir ausdrücklich. Die IT-Sicherheit der Landesverwaltung sollte weiter gestärkt und an die stetig wachsenden digitalen Bedrohungen angepasst werden. Die Bürger erwarten zu Recht, dass die Verwaltung auch in digitalen Zeiten zuverlässig und handlungsfähig bleibt. Die Erfahrungen der letzten Jahre haben leider gezeigt, wie schnell ganze Verwaltungen lahmgelegt werden können. Beispiele muss ich an der Stelle nicht nennen, die kennt hier jeder.
Unsere Kritik gilt deshalb nicht dem Ob, sondern dem Wie. Unsere Sorge ist, dass das Gesetz vielleicht an den Stellen zu kurz greift, an denen sich am Ende entscheidet, ob die IT-Sicherheit tatsächlich verbessert wird.
Der Gesetzentwurf enthält zahlreiche neue Anforderungen. Sicherheitskonzepte müssen erstellt, Risiken bewertet, Vorfälle gemeldet und Prozesse dokumentiert werden. Das mag alles in vielen Punkten sinnvoll sein. Aber all diese Vorgaben setzen voraus, dass ausreichend qualifiziertes Personal vorhanden ist. Und genau dort liegt das eigentliche Problem.
Seit Jahren suchen Behörden händeringend nach IT-Fachkräften. Der Wettbewerb um diese Spezialisten wird härter und nicht leichter. Der öffentliche Dienst mit seinem starren Gehaltsgefüge kann auf dem umkämpften Markt kaum mit Konzernen und Industrie mithalten, die häufig deutlich attraktivere Rahmenbedingungen bieten können.
Wer heute keinen guten IT-Administrator findet, weil der Wettbewerb mit der Privatwirtschaft chancenlos ist, der wird auch morgen keinen finden, nur weil jetzt ein Informationssicherheitsbeauftragter benannt werden muss.
Das Gesetz sieht deshalb auch vor, bei der Bewältigung von Sicherheitsvorfällen auf externe Unterstützung zurückzugreifen. Externe Unterstützung kann dabei sinnvoll sein, aber sie ersetzt keine eigene Kompetenz. Gerade bei sicherheitsrelevanten Aufgaben sollte sich das Land nicht dauerhaft in Abhängigkeiten von privatwirtschaftlichen Krisenhelfern begeben. Wer im Ernstfall handlungsfähig sein will, der braucht eigenes Wissen und eigene Fähigkeiten im Haus.
Der zweite Punkt betrifft die Ausgestaltung der Verfahren. Natürlich braucht Informationssicherheit Regeln. Natürlich braucht sie auch Meldewege und klare Zuständigkeiten. Aber Sicherheit entsteht nicht automatisch durch zusätzliche Dokumentation. Jeder neue Bericht, jede zusätzliche Nachweispflicht und jeder weitere Verfahrensschritt bindet Zeit und Personal, die an anderer Stelle möglicherweise fehlen.
Deshalb sollte es unser Ziel sein, die Anforderungen auf das notwendige Maß zu begrenzen. Die Beschäftigten in den Behörden sollen ihre Arbeitszeit vor allem dafür einsetzen können, Systeme zu schützen und Sicherheitslücken zu schließen und nicht unbedingt dafür, neue Aktenvorgänge zu produzieren.
Unser Vorschlag ist daher, die Richtlinie zügig und pragmatisch umzusetzen und sie zugleich zum Anlass zu nehmen, die eigenen Fähigkeiten im Land nachhaltig auszubauen. Stärken wir Verwaltungsinformatik und duale Studiengänge, bilden wir eigenes Fachpersonal aus und schaffen wir Bedingungen, unter denen diese Fachkräfte dauerhaft im öffentlichen Dienst bleiben. Denn langfristige Cybersicherheit entsteht nicht durch immer neue Berichtspflichten, sondern durch qualifizierte Menschen, die unsere Systeme schützen können. - Ich bedanke mich.
(Beifall bei der AfD)
Präsident Dr. Gunnar Schellenberger:
Danke, Herr Büttner.