IT-Konsolidierung des Bundes sicherstellen - IT-Sicherheit und Datenschutz bei Bundesbehörden gewährleisten

[Kleine Anfrage der Abgeordneten Dr. Konstantin von Notz, Tabea Rößner, Dr. Tobias Lindner, Dieter Janecek, Margit Stumpp, Dr. Anna Christmann, Renate Künast, Luise Amtsberg, Margarete Bause, Canan Bayram, Dr. Franziska Brantner, Agnieszka Brugger, Ekin Deligöz, Kai Gehring, Anja Hajduk, Britta Haßelmann, Katja Keul, Sven-Christian Kindler, Oliver Krischer, Christian Kühn (Tübingen), Monika Lazar, Dr. Tobias Lindner, Dr. Irene Mihalic, Beate Müller-Gemmeke, Filiz Polat, Dr. Manuela Rottmann, Stefan Schmidt und der Fraktion BÜNDNIS 90/DIE GRÜNEN IT-Konsolidierung des Bundes sicherstellen – IT-Sicherheit und Datenschutz bei Bundesbehörden gewährleisten Die Digitalisierung der öffentlichen Verwaltung ist nach Ansicht der Fragesteller dringend notwendig. Sie ist Voraussetzung eines modernen, bürgerorientierten Staates mit modernen, bürgerorientierten Leistungen, der in Europa und weltweit verbunden handelt und in Zugänglichkeit, Effizienz und Synergieeffekten digitaler Dienstleistungen auch im Wettbewerb steht. Doch Deutschland ist nach Ansicht der Fragesteller in internationalen und europaweiten Vergleichen der Verfügbarkeit von E-Government-Angeboten regelmäßig allenfalls im Mittelfeld anzutreffen und kommt insgesamt kaum voran. Im derzeit größten laufenden IT-Projekt des Bundes versucht die Bundesregierung eine Neuaufstellung des seit 2015 laufenden Vorhabens „IT- Konsolidierung des Bundes“. Das Bundeskabinett hatte sich dazu am 6. November 2019 mit einem Bericht der Bundesregierung zur Neuorganisation der IT- Konsolidierung befasst, nachdem der Beauftragte der Bundesregierung für Informationstechnik (CIO), Staatssekretär Klaus Vitt, bereits am 16. Oktober 2019 dem Ausschuss Digitale Agenda Bericht erstattet hatte. Im federführenden Innenausschuss berichtete die Bundesregierung eine Woche nach dem Kabinettsbeschluss. Das bereits seit vier Jahren laufende Projekt soll die nach Ansicht der Fragesteller auch weiterhin völlig zersplitterte IT-Landschaft der Behörden des Bundes neu sortieren, Prozesse und Verfahren, wo dies möglich ist, bündeln und letztlich vor allem auch für größere IT-Sicherheit und Effizienz der Datenverarbeitung sorgen. Dabei sollten sowohl die Beschaffung, die Betriebe (Rechenzentren), die IT-Dienste sowie die Dienstleister soweit als möglich zusammengeführt und zentralisiert werden. Das bislang unter der Federführung des Bundesministeriums des Innern, für Bau und Heimat (BMI) laufende Projekt befindet sich nach Ansicht der Fragesteller mittlerweile in größten Schwierigkeiten, nachdem insbesondere der Bundesrechnungshof in mehreren Berichten den faktischen Sillstand des Projektes Deutscher Bundestag Drucksache 19/16776 19. Wahlperiode 24.01.2020 moniert sowie massive Fehler und Verschwendung der verantwortlichen Stellen beklagt hat. Der Ausgabenbedarf hat sich gegenüber der ersten Schätzung 2014 mittlerweile verfünffacht und wird auf ca. 3,5 Mrd. Euro veranschlagt (vgl. „Modernisierung der Behörden-IT: Das teuerste Digitalprojekt der Regierung droht zu scheitern“, SPON vom 13. September 2019, abrufbar unter www.spie gel.de/netzwelt/netzpolitik/bundesrechnungshof-zerpflueckt-plaene-zur-it-kons olidierung-des-bundes-a-1286674.html). Der Haushaltsausschuss des Deutschen Bundestages hat wegen zahlreicher bislang nicht ausgeräumter Unklarheiten wiederholt Mittel gesperrt und weitreichende Korrekturen gefordert. Die erst kürzlich bekannt gewordene, vom sogenannten IT-Rat als Ausweg erdachte Neuorganisation des Großprojektes unter gleichrangiger Federführung des Bundesministeriums der Finanzen (BMF) und des Bundesministeriums des Innern, für Bau und Heimat, der gleichzeitigen Reduktion auf künftig nur noch einen IT-Dienstleister (ITZ Bund) sowie der Einführung eines zentralen Controllings durch das Bundeskanzleramt begegnet allerdings bereits neuen Bedenken insbesondere durch den Bundesrechnungshof. Nach Ansicht der Prüferinnen und Prüfer des Bundesrechnungshofes bestehen beispielsweise Zweifel, ob die immer noch fünf verschiedenen, zukünftig für die Leitung zuständigen Stellen, tatsächlich eine Verbesserung bewirken können, ob der alleinig verbleibende Dienstleister ITZ Bund der gewachsenen Verantwortung gerecht werden kann, ob der Zeitplan realistisch ist und ob hinsichtlich der formulierten Ziele das Großthema IT-Sicherheit bislang ausreichend abgebildet wird. Insgesamt fehle es an grundlegenden sicherheitstechnischen Rahmenbedingungen (vgl. www.spiegel.de/netzwelt/web/bundesrech nungshof-zweifelt-am-rettungsplan-fuer-bundes-it-a-1296701-druck.html). Die unter anderem vom Bundesrechnungshof aufgeworfenen Fragen haben nach Ansicht der Fragesteller eine erhebliche Relevanz für die erfolgreiche Realisierung des Projekts. Gerade die Fragen hinsichtlich der nach Ansicht der Fragesteller mit dem Projekt bislang verfehlten Mehrwerte bei der Erhöhung der IT-Sicherheit der Behörden des Bundes geben Anlass zu erheblicher Besorgnis. Denn die Behörden des Bundes sind in den zurückliegenden Jahren wiederholt zur Zielscheibe erfolgreicher, teils gravierender IT-Angriffe geworden, sodass auch in Zukunft mit erheblichen Risiken für die Kritischen Infrastrukturen, den Geheimschutz sowie die persönlichen Informationen von Bediensteten wie Bürgerinnen und Bürgern zu rechnen ist. Trotz alledem kommt dem Bundesamt für Sicherheit in der Informationstechnik (BSI) als zentraler Behörde für Fragen der IT-Sicherheit des Bundes bislang lediglich eine beratende Rolle in der IT-Konsolidierung zu. Vor dem Hintergrund der erheblichen Risiken des an der Schwelle zum Scheitern laufenden Milliarden-Projektes in finanzieller, sicherheitstechnischer und datenschutzrechtlicher Hinsicht ist die Beantwortung zahlreicher, bislang ungeklärter Fragen von höchster Relevanz – auch, um die nunmehr zu treffenden Entscheidungen nachvollziehbar zu machen und insgesamt auf eine sach- und problemgerechte Neuorganisation des Projekts hinwirken zu können. Wir fragen deshalb die Bundesregierung:  1. Wie erklärt die Bundesregierung den im Vergleich zu ersten Schätzungen aus dem Jahr 2014 mittlerweile verfünffachten finanziellen Mehrbedarf?  2. Teilt die Bundesregierung die Einschätzung des Bundesministeriums des Innern, für Bauen und Heimat, wonach die voraussichtlichen Gesamtausgaben auf 3,5 Mrd. zu schätzen sind, und wenn nein, welche Gesamtkosten hält die Bundesregierung nach gegenwärtigem Stand für welchen Zeitraum für realistisch?  3. Bis wann wird bei realistischer Betrachtung voraussichtlich, auch vor dem Hintergrund der geplanten Neuorganisation und der zwischenzeitlich nicht fortgelaufenen Projekte, die IT-Konsolidierung in den beiden bei BMF und BMI verbleibenden Projekten fertiggestellt sein?  4. Bleibt die Bundesregierung bei ihrer Auffassung, wonach weitere IT- Projekte des Bundes mit ihren je eigenen Fertigstellungszielen, z. B. der Portalverbund nach dem Onlinezugangsgesetz (OZG) bis 2022, von den zu Tage getretenen Schwierigkeiten der IT-Konsolidierung unberührt bleiben bzw. ihre Fristen der Fertigstellung werden halten können?  5. Ist angesichts der äußerst knappen Personalressourcen des übergreifend in verschiedenen IT-Projekten tätigen IT-Dienstleisters des Bundes über eine Aufstockung des Personals nachgedacht worden, um die entstandene Mehrbelastung im Zuge der geplanten Neuaufstellung der IT- Konsolidierung auf Bundesebene gerecht zu werden? Mit wie vielen Stellen plant die Bundesregierung, das Controlling der IT- Konsolidierung zu stärken, und sind diese haushälterisch hinterlegt?  6. Welche IT-Sicherheitsziele werden nach Auffassung der Bundesregierung mit der IT-Konsolidierung im Einzelnen verfolgt (bitte im Einzelnen konkret darlegen)?  7. Bei welchen der genannten Sicherheitsziele wurden bislang bereits nachweisbare Ergebnisse im Sinne von messbaren Verbesserungen der IT- Sicherheit des Bundes erreicht (bitte im Einzelnen darlegen)?  8. Teilt die Bundesregierung die Auffassung der Fragesteller, wonach die IT- Konsolidierung des Bundes aus sicherheitstechnischer Perspektive durchaus auch neue Risiken mit sich bringt, und wenn ja, welche konkret?  9. Welche Folgen werden die nach Auffassung des Bundesrechnungshofes in drei von vier der verfolgten Handlungsstränge zu erwartenden Projektverzögerungen auf die geplanten Verbesserungen der IT-Sicherheit der davon betroffenen Behörden haben, und welche konkreten Maßnahmen sind geplant, um mögliche negative Konsequenzen zu kompensieren? 10. Aus welchen Gründen kommt dem Bundesamt für Sicherheit in der Informationstechnik (BSI) als zentraler Behörde für Fragen der IT-Sicherheit des Bundes bislang lediglich eine beratende Rolle in der IT- Konsolidierung zu? 11. Ist angesichts der deutlichen Kritik durch den Haushaltsausschuss und/ oder den Bundesrechnungshof, auch und vor allem bezüglich der IT- Sicherheit, von Seiten der Bundesregierung im Zuge der Neuaufstellung auch angedacht, die Rolle des Bundesamts für Sicherheit in der Informationstechnik (BSI) zu stärken, und falls ja, wie konkret? 12. Teilt die Bundesregierung die Auffassung der Fragesteller, wonach das Bundesamt für Sicherheit in der Informationstechnik (BSI) über seine bislang bei der IT-Konsolidierung allein beratende Rolle hinaus weitergehende Befugnisse wie beispielsweise ein Vortrags- und/ oder Vorschlagsrechts hinsichtlich der genannten Fragen des Risikomanagements und der IT- Sicherheitsrichtlinie haben sollte, und falls ja, welche konkret, und wenn nein, warum nicht? 13. Welche Ressorts haben ihre eigenen ihnen im Rahmen der IT- Konsolidierung zugewiesenen Projekte bereits abgeschlossen (bitte konkret nach Ressorts und Projekten aufschlüsseln)? 14. Gab es bereits vor der Kritik durch den Haushaltsausschuss und/oder den Bundesrechnungshof interne kritische Bewertungen insbesondere der Projektorganisation, und wenn ja, wann, und wie wurde mit diesen Bewertungen durch das Bundesministerium des Innern, für Bauen und Heimat verfahren? 15. Welche Anregungen der seit 2014 vom Bundesrechnungshof geäußerten Kritik sind von der Bundesregierung konkret aufgenommen bzw. umgesetzt worden? 16. Wann konkret ist vor dem Hintergrund welcher Entwicklungen die Entscheidung gefallen, ein Controlling des Projekts durch das Bundeskanzleramt zu etablieren? 17. Macht sich die Bundesregierung die „Kernaussagen zur Neuaufstellung des Projektes IT-Konsolidierung Bund“ des IT-Rates vom 31. Oktober 2019 vollumfänglich zu eigen, und wenn nein, welche konkret, und inwiefern nicht? 18. Ist die Auffassung zutreffend, wonach die Ausführungen im Papier des IT- Rates vom 31. Oktober 2019 zu bisherigen Mängeln der Projektorganisation dahingehend zu verstehen sind, dass notwendige Entscheidungen zwischen den nach dem Ressortprinzip zu beteiligenden Ministerien von BMI, BMF und dem Bundesministerium der Verteidigung (BMVg) aufgrund der Uneinigkeit der Beteiligten nicht getroffen werden konnten? 19. Entfällt durch die zukünftig weiterhin mögliche Unterbeauftragung der BWI GmbH eine Mitsprache des BMVg im Wege der strategischen Steuerung ihres IT-Dienstleisters, und wenn nein, worin liegt dann die Verbesserung der Neuorganisation im Sinne einer beabsichtigten effektiveren Entscheidungsstruktur? 20. Teilt die Bundesregierung die Auffassung des Bundesrechnungshofes, wonach der Wegfall der BWI GmbH als regelmäßiger Dienstleister und die zukünftig alleinige Durchführung durch das ohnehin an der Belastungsgrenze laufende ITZ Bund eine fristgemäße Weiterführung der Projektplanung unmöglich erscheinen lassen, und wenn nein, warum nicht? 21. Warum bedarf es nach Auffassung der Bundesregierung im Papier des IT- Rates vom 31. Oktober 2019 der Festlegung auf ein gemeinsames Verständnis, wonach keine IT-Leistung auf einem „qualitativ geringeren Niveau erbracht wird als vor der IT-Konsolidierung“ und „die Erfüllung der Fachaufgaben unter der IT-Konsolidierung nicht leiden“ dürfe, und teilt die Bundesregierung die Auffassung der Fragesteller, dass es sich hierbei um eine Selbstverständlichkeit handelt, die, sollte sie nicht Beachtung finden, die Intention des Projekts, nämlich deutliche Verbesserungen des Niveaus bei der Erbringung von IT-Leistungen sowie bei der Erfüllung von Fachaufgaben, ad absurdum geführt werden würfe? 22. Inwiefern kann nach Ansicht der Bundesregierung der IT-Rat als Lenkungsausschuss eine stringentere und zielorientiertere Umsetzung des Gesamtprojektes tatsächlich garantieren, wenn statt der bislang beteiligten drei Ressorts nunmehr alle Ministerien beteiligt werden, auch vor dem Hintergrund, dass der IT-Rat nur bei Zweidrittelmehrheit entscheidungsfähig ist? 23. Inwiefern kann der von einem Ressort im Rahmen der Dienstekonsolidierung vortragbare Einwand der „Einschränkung bei der Erfüllung eigener Aufträge“ überhaupt von anderen Mitgliedern des Lenkungsausschusses überwunden werden, und auf wessen Betreiben konkret wurde diese Bestimmung aufgenommen? 24. Handelt es sich bei dem zukünftig im Bundeskanzleramt zu führenden übergreifenden Projektcontrolling um das erste jemals verantwortete IT- Projektcontrolling dieses Hauses, und wenn ja, was spricht aus Sicht der Bundesregierung für diese zusätzliche Controllingebene, bis wann wird diese personell wie inhaltlich voll operativ sein, und woher wird das hierfür eingesetzte Personal rekrutiert? 25. Teilt die Bundesregierung die Auffassung, dass die für die Betriebskonsolidierung im Grundsatz geplante Projektleitung durch das ITZ Bund nur dann eine standardisierte, stringente und ressourcenschonende Durchführung sicherstellt, wenn die beteiligten Behörden nicht in größerem Umfange auf einer gemeinsamen Projektverantwortung bestehen, und unter welchen Umständen bedarf es nach Ansicht der Bundesregierung für diesen Fall einer Umsteuerung? 26. Ist aus Sicht der Bundesregierung sichergestellt, dass die zur zielgerichteten und konstruktiven Mitwirkung verpflichteten Behörden BSI, die Bundesanstalt für den Digitalfunk (BDBOS) und das Konrad-Zuse-Zentrum für Informationstechnik Berlin (ZIB) dieser Aufgabe tatsächlich gerecht werden können, und inwiefern hat die Bundesregierung haushalterisch sichergestellt, dass dafür ggf. die erforderlichen zusätzlichen Mittel zur Verfügung gestellt werden? 27. Um wie viele Konsolidierungsprojekte in welchen Ressorts bzw. Behörden geht es bei den von der BWI GmbH begonnenen, aber nun abgebrochenen Projekten, und innerhalb welcher Zeithorizonte sollen die zwischen BMF, BMVg und BWI notwendigen Entscheidungen zur Fortführung getroffen werden? 28. In welchem Umfang ist das BMVg in Bezug auf die vier bislang unterschiedenen Handlungsstränge bereits als konsolidiert zu betrachten, bzw. welcher Zeitplan besteht hinsichtlich der nicht erreichten Anteile, und auf welche Weise wird die Einbeziehung und Harmonisierung der Konsolidierung beim ITZ Bund mit derjenigen des BMVg sichergestellt? 29. Auf welche Weise wird übergreifend und für alle Einzelprojekte der verschiedenen Ressorts und Behörden sichergestellt, dass einheitliche und höchste IT-Sicherheits- und Datenschutzvorgaben umgesetzt werden? 30. Ist es zutreffend, dass es im Rechtsstreit zwischen der BWI GmbH und dem Bundesministerium des Innern, für Bauen und Heimat über durch das Bundesministerium bislang unbezahlte Rechnungen in Höhe von 21 Mio. Euro (vgl. www.spiegel.de/netzwelt/web/bundes-it-bundeseigener-betrieb- will-innenministerium-verklagen-a-1287831.html) inzwischen zu einer außergerichtlichen Einigung kam, und wenn ja, wie genau sieht diese aus? 31. Warum hat das Bundesministerium des Innern, für Bau und Heimat zu Beginn der Inanspruchnahme der BWI GmbH keine schriftliche vertragliche Vereinbarung mit dem Unternehmen abgeschlossen? 32. Welche konkreten Maßnahmen stellen die Hoheit und Kontrollfähigkeit über die eigene IT im Rahmen der IT-Konsolidierung sowie darüber hinaus strategisch dauerhaft sicher? 33. Teilt die Bundesregierung die Auffassung, dass die IT des Bundes dringend vor der zunehmenden Abhängigkeit durch einzelne Anbieter geschützt werden muss und es nicht zuletzt vor dem Hintergrund der vielfach, auch durch das BSI, beworbenen Vorteile und notwendigen Stärkung digitaler Souveränität dringend angeraten ist, verstärkt auf freie und offene Software zu setzen, und welche konkreten Schritte und Vorkehrungen hat die Bundesregierung getroffen oder wird sie treffen, um diese Ziele zu erreichen? 34. Teilt die Bundesregierung das Ergebnis der vom Bundesministerium des Innern, für Bau und Heimat in Auftrag gegebenen Studie, dass Bundesministerien und oberste Behörden „in hohem Maße von dem Software- Anbieter Microsoft abhängig“ sind? Plant die Bundesregierung, im Rahmen der Neuaufstellung der IT- Konsolidierung die Nutzung von offene Standards und offener Software stärker zu fördern, und wenn ja, mit welchen Schritten konkret? 35. Welche Vorkehrungen hat die Bundesregierung für den möglichen Fall einer Abschaltung, Unbrauchbarmachung oder eines anderweitigen Ausfalls von in der Bundesverwaltung im Einsatz befindlichen IT-Produkten im Zusammenhang mit möglichen Handelskonflikten mit Drittstaaten getroffen? 36. Teilt die Bundesregierung die Ansicht der Fragesteller, dass es – auch angesichts einer global zunehmend unübersichtlichen politischen Lage – im Sinne vielfältiger digitaler Ökosysteme und der damit zusammenhängenden Verringerung der Abhängigkeit von einzelnen Herstellern/Staaten sinnvoll erscheint, vermehrt auf Eigenentwicklungen und Open-Source- Software zu setzen, und welche Vorteile sieht die Bundesregierung in solchen sicheren IT-Lösungen, die in Deutschland und der EU entwickelt und gehostet werden? 37. Verschiebt sich durch die Verzögerungen und Schwierigkeiten der IT- Konsolidierung des Bundes die aktuelle Zeitplanungen für die Einführung der nach dem Gesetz zur Förderung der elektronischen Verwaltung bereits für 2020 vorgesehenen E-Akte, und wenn ja, bis wann soll in wie vielen Behörden der Basisdienst E-Akte verfügbar sein? 38. Welche konkreten Schritte hat die Bundesregierung unternommen, um das latente Problem der Personalgewinnung bzw. der Gewinnung von geeignetem Personal, auch und gerade im Wettbewerb mit der Privatwirtschaft, zu lösen und die Rahmenbedingungen für die Einstellung qualifizierter IT- Spezialistinnen und Spezialisten für die Verwaltung zu verbessern, und ist die Bundesregierung der Ansicht, dass die bisherigen Maßnahmen angesichts der großen Herausforderungen bislang zu zufriedenstellenden Ergebnissen geführt haben? 39. Teilt die Bundesregierung die Auffassung der Fragesteller, wonach zur besseren Abstimmung zwischen Fachverwaltungen und IT auch Verwaltungsexpertinnen und Experten zusätzlich in Bezug auf die Digitalisierung der öffentlichen Verwaltung ausgebildet werden sollten, und wenn ja, in welchem Rahmen werden entsprechende Ausbildungsinhalte inzwischen angeboten und in welchem Umfang in der Bundesverwaltung genutzt? 40. Warum hat die Bundesregierung bislang keinen Chief Information Security Officer (CISO) für das Projekt „IT Konsolidierung“ benannt, und wird dies Teil der jetzt geplanten Umstellung sein, wenn nein, warum nicht? 41. Wird das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Funktion des CISO für die IT-Konsolidierung erhalten, und wenn nein, warum nicht? 42. Wird die Bundesregierung eine operative Cyberabwehr CSOC für den Bereich der IT-Konsolidierung unter der Leitung des Bundesamtes für die Sicherheit in der Informationstechnik schaffen, und wenn nein, warum nicht? 43. Teilt die Bundesregierung die Auffassung der Fragesteller, wonach gegenwärtig der Bund über kein übergreifendes IT-Risikomanagement-Projekt verfügt, und wenn ja, warum gibt es ein solches bis heute nicht? 44. Teilt die Bundesregierung die Auffassung der Fragesteller, wonach dieses übergreifende IT-Risikomanagement sinnvollerweise ebenfalls beim IT- Rat angesiedelt sein sollte, und wenn ja, warum findet dies in den bisherigen Planungen bislang keine Berücksichtigung? 45. Warum gibt es bislang keine übergreifende IT-Sicherheitsrichtlinie zur Vereinheitlichung und Standardisierung der IT-Sicherheit der Bundesbehörden in der IT-Konsolidierung? 46. Welche Behörde hat gegenüber dem einzig verbleibenden IT-Dienstleister des Bundes ITZ Bund Prüfungs- und Kontrollrechte für den Bereich der IT-Sicherheit in Bezug auf dessen Projekte und auf die Umsetzung der für diesen Dienstleister geltenden Vorgaben? 47. Welche konkreten Vorgaben und Strukturen stellen sicher, dass das Bundesministerium der Finanzen (BMF) als weisungsgebende Behörde nicht über den Weg der Steuerung des in seinem Weisungsstrang verbleibenden einzigen Dienstleisters ITZ Bund weitere Anstrengungen der IT- Konsolidierung primär an eigenen Interessen orientiert, sondern dass eine in den Aspekten IT-Sicherheit, Datenschutz, effizienter Einsatz von Steuermitteln, Transparenz und im Ergebnis sowohl bürger- als auch unternehmensfreundliche Dienstleistungen die Gemeinwohlinteressen und die Interessen anderer beteiligter Behörden berücksichtigende IT-Konsolidierung tatsächlich gelingt? 48. Teilt die Bundesregierung die Auffassung der Fragesteller, dass bei der Errichtung des ITZ Bund als Anstalt des öffentlichen Rechts auch Vorschlagsrechte des Bundesamtes für die Sicherheit in der Informationstechnik berücksichtigt werden sollten, und wenn nein, warum nicht? Hält die Bundesregierung einen Verwaltungsrat mit Vertretern mehrerer Ministerien für eine zielführende Struktur für zeitnahe Entscheidungen? 49. Soweit beschlossen wurde, die VS-NfD-Plattform der BWI nicht auch anderweitig nutzbar zu machen oder auszubauen, wie lautet der Status Quo einer Konsolidierung von VS-NfD-Inhalten? 50. Welche konkreten Mehrwerte hatte man sich von dem Projekt einer vereinheitlichten VS-NfD-Plattform versprochen, und welche Kosten wurden bislang und damit vergebens investiert? 51. Welchen Ersatz plant die Bundesregierung für die nunmehr nicht mehr fertigzustellende VS-NfD-Plattform, und bis wann hofft die Bundesregierung, damit startklar zu sein? Berlin, den 10. Dezember 2019 Katrin Göring-Eckardt, Dr. Anton Hofreiter und Fraktion Gesamtherstellung: H. Heenemann GmbH & Co. KG, Buch- und Offsetdruckerei, Bessemerstraße 83–91, 12103 Berlin, www.heenemann-druck.de Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln, Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.betrifft-gesetze.de ISSN 0722-8333]

[Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Dr. Konstantin von Notz, Tabea Rößner, Dr. Tobias Lindner, weiterer Abgeordneter und der Fraktion BÜNDNIS 90/DIE GRÜNEN – Drucksache 19/16776 – IT-Konsolidierung des Bundes sicherstellen – IT-Sicherheit und Datenschutz bei Bundesbehörden gewährleisten V o r b e m e r k u n g d e r F r a g e s t e l l e r Die Digitalisierung der öffentlichen Verwaltung ist nach Ansicht der Fragesteller dringend notwendig. Sie ist Voraussetzung eines modernen, bürgerorientierten Staates mit modernen, bürgerorientierten Leistungen, der in Europa und weltweit verbunden handelt und in Zugänglichkeit, Effizienz und Synergieeffekten digitaler Dienstleistungen auch im Wettbewerb steht. Doch Deutschland ist nach Ansicht der Fragesteller in internationalen und europaweiten Vergleichen der Verfügbarkeit von E-Government-Angeboten regelmäßig allenfalls im Mittelfeld anzutreffen und kommt insgesamt kaum voran. Im derzeit größten laufenden IT-Projekt des Bundes versucht die Bundesregierung eine Neuaufstellung des seit 2015 laufenden Vorhabens „IT- Konsolidierung des Bundes“. Das Bundeskabinett hatte sich dazu am 6. November 2019 mit einem Bericht der Bundesregierung zur Neuorganisation der IT-Konsolidierung befasst, nachdem der Beauftragte der Bundesregierung für Informationstechnik (CIO), Staatssekretär Klaus Vitt, bereits am 16. Oktober 2019 dem Ausschuss Digitale Agenda Bericht erstattet hatte. Im federführenden Innenausschuss berichtete die Bundesregierung eine Woche nach dem Kabinettsbeschluss. Das bereits seit vier Jahren laufende Projekt soll die nach Ansicht der Fragesteller auch weiterhin völlig zersplitterte IT-Landschaft der Behörden des Bundes neu sortieren, Prozesse und Verfahren, wo dies möglich ist, bündeln und letztlich vor allem auch für größere IT-Sicherheit und Effizienz der Datenverarbeitung sorgen. Dabei sollten sowohl die Beschaffung, die Betriebe (Rechenzentren), die IT-Dienste sowie die Dienstleister soweit als möglich zusammengeführt und zentralisiert werden. Das bislang unter der Federführung des Bundesministeriums des Innern, für Bau und Heimat (BMI) laufende Projekt befindet sich nach Ansicht der Fragesteller mittlerweile in größten Schwierigkeiten, nachdem insbesondere der Bundesrechnungshof in mehreren Berichten den faktischen Sillstand des Projektes moniert sowie massive Fehler und Verschwendung der verantwortlichen Stellen beklagt hat. Der Ausgabenbedarf hat sich gegenüber der ersten Schät- Deutscher Bundestag Drucksache 19/17166 19. Wahlperiode 12.02.2020 Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums des Innern, für Bau und Heimat vom 10. Februar 2020 übermittelt. Die Drucksache enthält zusätzlich – in kleinerer Schrifttype – den Fragetext. zung 2014 mittlerweile verfünffacht und wird auf ca. 3,5 Mrd. Euro veranschlagt (vgl. „Modernisierung der Behörden-IT: Das teuerste Digitalprojekt der Regierung droht zu scheitern“, SPON vom 13. September 2019, abrufbar unter www.spiegel.de/netzwelt/netzpolitik/bundesrechnungshof-zerpflueckt-pl aene-zur-it-konsolidierung-des-bundes-a-1286674.html). Der Haushaltsausschuss des Deutschen Bundestages hat wegen zahlreicher bislang nicht ausgeräumter Unklarheiten wiederholt Mittel gesperrt und weitreichende Korrekturen gefordert. Die erst kürzlich bekannt gewordene, vom sogenannten IT-Rat als Ausweg erdachte Neuorganisation des Großprojektes unter gleichrangiger Federführung des Bundesministeriums der Finanzen (BMF) und des Bundesministeriums des Innern, für Bau und Heimat, der gleichzeitigen Reduktion auf künftig nur noch einen IT-Dienstleister (ITZ Bund) sowie der Einführung eines zentralen Controllings durch das Bundeskanzleramt begegnet allerdings bereits neuen Bedenken insbesondere durch den Bundesrechnungshof. Nach Ansicht der Prüferinnen und Prüfer des Bundesrechnungshofes bestehen beispielsweise Zweifel, ob die immer noch fünf verschiedenen, zukünftig für die Leitung zuständigen Stellen, tatsächlich eine Verbesserung bewirken können, ob der alleinig verbleibende Dienstleister ITZ Bund der gewachsenen Verantwortung gerecht werden kann, ob der Zeitplan realistisch ist und ob hinsichtlich der formulierten Ziele das Großthema IT-Sicherheit bislang ausreichend abgebildet wird. Insgesamt fehle es an grundlegenden sicherheitstechnischen Rahmenbedingungen (vgl. www.spiegel.de/netzwelt/web/bundesrechnu ngshof-zweifelt-am-rettungsplan-fuer-bundes-it-a-1296701-druck.html). Die unter anderem vom Bundesrechnungshof aufgeworfenen Fragen haben nach Ansicht der Fragesteller eine erhebliche Relevanz für die erfolgreiche Realisierung des Projekts. Gerade die Fragen hinsichtlich der nach Ansicht der Fragesteller mit dem Projekt bislang verfehlten Mehrwerte bei der Erhöhung der IT-Sicherheit der Behörden des Bundes geben Anlass zu erheblicher Besorgnis. Denn die Behörden des Bundes sind in den zurückliegenden Jahren wiederholt zur Zielscheibe erfolgreicher, teils gravierender IT-Angriffe geworden, sodass auch in Zukunft mit erheblichen Risiken für die Kritischen Infrastrukturen, den Geheimschutz sowie die persönlichen Informationen von Bediensteten wie Bürgerinnen und Bürgern zu rechnen ist. Trotz alledem kommt dem Bundesamt für Sicherheit in der Informationstechnik (BSI) als zentraler Behörde für Fragen der IT-Sicherheit des Bundes bislang lediglich eine beratende Rolle in der IT-Konsolidierung zu. Vor dem Hintergrund der erheblichen Risiken des an der Schwelle zum Scheitern laufenden Milliarden-Projektes in finanzieller, sicherheitstechnischer und datenschutzrechtlicher Hinsicht ist die Beantwortung zahlreicher, bislang ungeklärter Fragen von höchster Relevanz – auch, um die nunmehr zu treffenden Entscheidungen nachvollziehbar zu machen und insgesamt auf eine sach- und problemgerechte Neuorganisation des Projekts hinwirken zu können.  1. Wie erklärt die Bundesregierung den im Vergleich zu ersten Schätzungen aus dem Jahr 2014 mittlerweile verfünffachten finanziellen Mehrbedarf? Seit den ersten Planungen wurde mit Vorlage des Fortschrittsberichts 2018 die Planung im Gesamtprojekt umfangreich vervollständigt. Die verbesserte zugrundliegende Datenbasis und die Einbeziehung praktischer Erfahrungswerte führten im Vergleich zu den zuvor erfolgten Schätzungen zu erheblichen Mehrbedarfen in der Ausgabenplanung der IT-K Bund. Gleichzeitig wurden alle wesentlichen Kostentreiber im Gesamtprojekt identifiziert und berücksichtigt, sowie wesentliche finanzielle Risiken des Projekts adressiert. Ferner wurden die Ausgaben vollständig über die gesamte Projektlaufzeit ausgeplant. Damit war die mit dem Fortschrittsbericht 2018 vorgelegte Ausgabenplanung als Gesamtbudget über die Projektlaufzeit bis 2025 angelegt. Demzufolge sollte für die weiteren Planungen im Gesamtprojekt ein „Design-to-Budget“-Ansatz verfolgt werden. Gemäß dem Prinzip der jährlichen Fortschreibung bspw. der RZ-/ Netzentwicklungsplanung und des IT-Rahmenkonzepts, sollten Maßnahmen noch stärker unter Kosten-Nutzen-Gesichtspunkten priorisiert und ggf. an den bestehenden Finanzrahmen angepasst werden. Nach der Neuaufstellung des Projekts ab 1. Januar 2020 und den angepassten Rahmenbedingungen für die Betriebskonsolidierung sind die Gesamtausgaben des Projekts neu zu ermitteln.  2. Teilt die Bundesregierung die Einschätzung des Bundesministeriums des Innern, für Bauen und Heimat, wonach die voraussichtlichen Gesamtausgaben auf 3,5 Mrd. zu schätzen sind, und wenn nein, welche Gesamtkosten hält die Bundesregierung nach gegenwärtigem Stand für welchen Zeitraum für realistisch? Nach der Neuaufstellung des Projekts ab 1. Januar 2020 und den angepassten Rahmenbedingungen für die Betriebskonsolidierung sind die Gesamtausgaben des Projekts neu zu ermitteln. Für das Projekt der Dienstekonsolidierung gilt ergänzend: Die Planansätze der Dienstekonsolidierung werden auf Basis des jährlich fortzuschreibenden IT Rahmenkonzepts des Bundes aktualisiert. Der Aufwuchs der Planausgaben beruht insbesondere auf der Erhöhung der Maßnahmenanzahl von ursprünglich 25 (ITRK 2018) auf 42 Maßnahmen (ITRK 2021), konkretisierten Planungen der Maßnahmen im Zuge des Projektfortschritts und der erheblichen Erweiterung der zentralen Finanzierung durch das Programm Dienstekonsolidierung. Während zunächst „nur“ Entwicklung zentral finanziert werden sollte, wurde zur Sicherstellung der Auftragserreichung und aus Praktikabilitätsgründen auch, Rollout und Einführung aller Maßnahmen in 200 Bundesbehörden und damit verbundener Aufbau der Backend-Infrastrukturkosten der Maßnahmen (besonders des Bundesclients) bei den IT-Dienstleistern im zentralen Budget der Dienstekonsolidierung veranschlagt. Sofern keine weiteren wesentlichen Projektinhalte verändert werden, wird davon ausgegangen, dass diese Kalkulationen weiterhin Bestand haben. Für die IT-Betriebskonsolidierung Bund sind auf Grundlage der bisherigen Planungen derzeit 1,5 Milliarden Euro bis zum Jahr 2023 veranschlagt. Der Haushaltsausschuss des Deutschen Bundestags hat zuletzt in seiner 50. Sitzung am 14. November 2019 entschieden, dass er für die IT-Betriebskonsolidierung Bund ein „Design to budget“ erwartet.  3. Bis wann wird bei realistischer Betrachtung voraussichtlich, auch vor dem Hintergrund der geplanten Neuorganisation und der zwischenzeitlich nicht fortgelaufenen Projekte, die IT-Konsolidierung in den beiden bei BMF und BMI verbleibenden Projekten fertiggestellt sein? Die Dienstekonsolidierung im BMI hat eine Projektlaufzeit bis Ende 2025. Mit dem Beschluss der Bundesregierung vom 6. November 2019 wurde dem Bundesministerium der Finanzen (BMF) die Verantwortung für die Durchführung eines eigenständigen Projekts zur IT-Betriebskonsolidierung Bund ab dem 1. Januar 2020 übertragen. Dessen Ende und damit der Abschluss der IT-Betriebskonsolidierung Bund wird vom Abschluss des letzten Behördenprojekts zur Umsetzung der IT- Betriebskonsolidierung abhängen. Die entsprechende Planung war in der bisherigen „Reihenfolgeplanung“ enthalten, die mittlerweile veraltet ist. Teil der IT- Betriebskonsolidierung Bund, ist daher die Überarbeitung der bestehenden Reihenfolgeplanung. Die Bundesregierung hat dem BMF aufgetragen, dabei zukünftig auch fachliche Aspekte zu berücksichtigen. Der Bundesrechnungshof hat zuletzt in einem Bericht zur IT-Konsolidierung an den Haushaltsausschuss des Deutschen Bundestages ebenfalls Hinweise gegeben, welche Aspekte berücksichtigt werden sollten. Zusätzlich hat der Haushaltsausschuss des Deutschen Bundestages in seinem oben genannten Beschluss vom 14. November 2019 weitere Rahmenbedingungen für die Erstellung der neuen Reihenfolgeplanung gesetzt. Bei der IT-Betriebskonsolidierung Bund wird unter Berücksichtigung dieser Vorgaben zunächst das Vorgehen für die neue Reihenfolgeplanung konzipiert und dem IT-Rat zur Abnahme vorgelegt. Auf dieser Basis wird das BMF dann mit allen Behörden den Kontakt suchen und anhand der festgelegten Kriterien eine neue Reihenfolgeplanung erstellen. Diese wird als zentrale Projektgrundlage ebenfalls dem IT-Rat zur Abnahme vorzulegen sein. Erst danach kann ein Endtermin für die IT-Betriebskonsolidierung Bund benannt werden.  4. Bleibt die Bundesregierung bei ihrer Auffassung, wonach weitere IT- Projekte des Bundes mit ihren je eigenen Fertigstellungszielen, z. B. der Portalverbund nach dem Onlinezugangsgesetz (OZG) bis 2022, von den zu Tage getretenen Schwierigkeiten der IT-Konsolidierung unberührt bleiben bzw. ihre Fristen der Fertigstellung werden halten können? Grundsätzlich werden die IT-Projekte des Bundes (hier: Umsetzung des Onlinezugangsgesetz [OZG]) von den Projektfortschritten der IT-Konsolidierung nicht beeinflusst. Jedoch sind mittelbare Auswirkungen kaum zu verhindern, da die IT-Konsolidierung Ressourcen des ITZBund in Anspruch nimmt, die dadurch anderen Projekten nur bedingt zur Verfügung stehen. Zum gegenwärtigen Zeitpunkt bleibt die Bundesregierung bei ihrer Auffassung.  5. Ist angesichts der äußerst knappen Personalressourcen des übergreifend in verschiedenen IT-Projekten tätigen IT-Dienstleisters des Bundes über eine Aufstockung des Personals nachgedacht worden, um die entstandene Mehrbelastung im Zuge der geplanten Neuaufstellung der IT- Konsolidierung auf Bundesebene gerecht zu werden? Mit wie vielen Stellen plant die Bundesregierung, das Controlling der IT- Konsolidierung zu stärken, und sind diese haushälterisch hinterlegt? Im Haushalt 2020 stehen dem Einzelplan 04 (Bundeskanzleramt, Kapitel 0412) acht Planstellen für ein von den Projektleitungen unabhängiges, übergreifendes Controlling der IT-Konsolidierung Bund zur Verfügung. Mit dem Haushalt 2020 wurden aus dem Einzelplan 06 für die IT- Konsolidierung des Bundes insgesamt 68 Planstellen in den Einzelplan 08 verlagert. Davon stehen dem ITZBund insgesamt 30 Stellen zur Verfügung. Die übrigen 38 Stellen sind für das BMF vorgesehen. Die Bundesregierung hat damit nicht nur über eine Aufstockung des Personals nachgedacht, sondern diese bereits realisiert.  6. Welche IT-Sicherheitsziele werden nach Auffassung der Bundesregierung mit der IT-Konsolidierung im Einzelnen verfolgt (bitte im Einzelnen konkret darlegen)? Die Sicherheitsziele für die Bundesverwaltung sind in der „Leitlinie für Informationssicherheit in der Bundesverwaltung“ („Umsetzungsplan Bund 2017“ www.bmi.bund.de/SharedDocs/downloads/DE/publikationen/themen/it-digitalp olitik/up-bund-2017.pdf?__blob=publicationFile&v=3) verbindlich festgelegt. Der Umsetzungsplan 2017 (UP Bund 2017) gibt als übergeordnetes und verbindliches Dokument die drei Schutzziele der Informationssicherheit – Vertraulichkeit, Verfügbarkeit und Integrität – vor. a) Vertraulichkeit: Die Daten der Bundesverwaltung dürfen lediglich von autorisierten Benutzern gelesen und angepasst werden. b) Integrität: Die Daten der Bundesverwaltung dürfen nicht unbemerkt verändert werden. Alle Änderungen müssen nachvollziehbar sein. c) Verfügbarkeit: Der Zugriff auf Daten muss innerhalb eines vereinbarten Zeitrahmens ungehindert und ohne technische Störung/ Ausfälle zur Verfügung stehen. Die IT-Konsolidierung soll diese Schutzziele fördern und nachhaltig verbessern z. B. durch die Schaffung von Redundanzen oder Standardisierung bestimmter IT-Infrastrukturkomponenten und Prozesse. Dies ist dezentral nicht immer in dem notwendigen Umfang möglich. Mit der IT-Konsolidierung werden im Einzelnen die Ziele der Erhöhung der Informations- und IT-Sicherheit gemäß IT-Strategie Bund und Strategie Dienstekonsolidierung (vgl. www.cio.bund.de und www.cio.bund.de/SharedDocs/Pub likationen/DE/Strategische-The-men/it_strategie_der_bundesverwaltung_down load.pdf?__blob=publicationFile) verfolgt. Ergänzend wurden im „Grobkonzept zur IT-Konsolidierung Bund“, das vom Bundeskabinett am 20.05.2015 beschlossen wurde, die „IT-Sicherheit vor dem Hintergrund steigender Komplexität zu gewährleisten“ als erstes genannt. Im Abschnitt 8 „IT-Sicherheit und Datenschutz“ werden fünf Ziele genannt: 1. Die zentrale Umsetzung geltender und künftiger Sicherheitsstandards, 2. Bündelung der notwendigen Fachexpertise – auch gegenüber den Marktteilnehmern – an wenigen Stellen, 3. Verkürzung der Reaktionszeiten bei Vorfällen und Krisensituationen und 4. Erleichterung der Bereitstellung von an verschiedenen Schutzbedarfen ausgerichteten IT-Leistungen, 5. Eingrenzung von Risiken durch zentrale und dezentrale Gegenmaßnahmen (z. B. das Risiko „single point of failure“).  7. Bei welchen der genannten Sicherheitsziele wurden bislang bereits nachweisbare Ergebnisse im Sinne von messbaren Verbesserungen der IT- Sicherheit des Bundes erreicht (bitte im Einzelnen darlegen)? Im Rahmen der Prüfungen nach HV-Benchmark kompakt im Auftrag des Haushaltsausschusses des Deutschen Bundestages werden Rechenzentren von Institutionen des Bundes untersucht. Insgesamt wurden fünf Teilprüfungen in fünf Jahren durchgeführt. Dienstleister der IT-Konsolidierung und deren Rechenzentren wurden mittlerweile auch Wiederholungsprüfungen unterzogen. Der Untersuchungsgegenstand ist aber nicht deckungsgleich mit den Projekten der Dienste- und Betriebskonsolidierung. Im Rahmen des bisherigen Projektverlaufs lässt sich feststellen, dass insbesondere kleinere Verwaltungseinrichtungen bei der Einhaltung von Sicherheitszielen deutlich entlastet werden.  8. Teilt die Bundesregierung die Auffassung der Fragesteller, wonach die IT-Konsolidierung des Bundes aus sicherheitstechnischer Perspektive durchaus auch neue Risiken mit sich bringt, und wenn ja, welche konkret? Die Zentralisierung des IT-Betriebs in wenigen Rechenzentren erhöht deren Attraktivität für Angriffe von außen. Gleichzeitig können dort zentrale Infrastrukturen geschaffen werden, die ein Höchstmaß an professionellem Umgang mit diesen Angriffen garantieren. Die Bundesregierung verfügt bereits über Erfahrungen mit dem zentralen Betrieb großer IT-Systeme und -Anwendungen. Die daraus resultierenden Angriffsmöglichkeiten sind den zuständigen Bundesbehörden bekannt. Ihnen wird durch geeignete Maßnahmen begegnet. Die IT-Konsolidierung des Bundes bietet zunächst auch unter IT- Sicherheitsgesichtspunkten Vorteile; z. B. können Sicherheitsmaßnahmen für die gesamte IT des Bundes an einer zentralen Stelle umgesetzt werden. Informationssicherheitsrisiken im IT-Verbund können jedoch potenziell mehrere Behörden/Ressorts betreffen, sodass ggf. höhere Schäden bei Ausfällen zentraler Komponenten (Single Point of Failure) oder bei Cyberangriffen (Single Point of Attack) entstehen könnten. Um diesen Risiken in einer konsolidierten IT durch adäquate Sicherheitsmaßnahmen zu begegnen, berät das Bundesamt für Sicherheit in der Informationstechnik (BSI) bei der Umsetzung angemessener und wirksamer Sicherheitsmaßnahmen. Der BSI IT-Grundschutz (www.bsi.bun d.de/DE/Themen/ITGrundschutz/itgrundschutz_node.html) bildet dafür die fachliche und methodische Grundlage.  9. Welche Folgen werden die nach Auffassung des Bundesrechnungshofes in drei von vier der verfolgten Handlungsstränge zu erwartenden Projektverzögerungen auf die geplanten Verbesserungen der IT-Sicherheit der davon betroffenen Behörden haben, und welche konkreten Maßnahmen sind geplant, um mögliche negative Konsequenzen zu kompensieren? Die IT-Maßnahmen der Dienstekonsolidierung befinden sich im Rahmen der Entwicklung von (neuen) IT-Lösungen in engem Austausch mit dem BSI um höchste IT-Sicherheit zu gewährleisten. Die in der Antwort zu Frage 8 dargestellten Vorteile zentraler Strukturen werden bei einer verzögerten IT-Betriebskonsolidierung später eintreten. Allerdings hat die Bundesregierung mit dem UP Bund und den dort enthaltenen Verpflichtungen für alle Behörden hinreichende Maßnahmen beschrieben, um trotzdem das erforderliche Mindestmaß an IT-Sicherheit sicherstellen zu können. 10. Aus welchen Gründen kommt dem Bundesamt für Sicherheit in der Informationstechnik (BSI) als zentraler Behörde für Fragen der IT- Sicherheit des Bundes bislang lediglich eine beratende Rolle in der IT- Konsolidierung zu? Das BSI wird im Rahmen der im Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) geregelten gesetzlichen Aufgaben tätig. Für die Wahrnehmung darüberhinausgehender Aufgaben besteht keine gesetzliche Grundlage. 11. Ist angesichts der deutlichen Kritik durch den Haushaltsausschuss und/ oder den Bundesrechnungshof, auch und vor allem bezüglich der IT- Sicherheit, von Seiten der Bundesregierung im Zuge der Neuaufstellung auch angedacht, die Rolle des Bundesamts für Sicherheit in der Informationstechnik (BSI) zu stärken, und falls ja, wie konkret? Es wird auf die Antwort zu Frage 12 verwiesen. 12. Teilt die Bundesregierung die Auffassung der Fragesteller, wonach das Bundesamt für Sicherheit in der Informationstechnik (BSI) über seine bislang bei der IT-Konsolidierung allein beratende Rolle hinaus weitergehende Befugnisse wie beispielsweise ein Vortrags- und/ oder Vorschlagsrechts hinsichtlich der genannten Fragen des Risikomanagements und der IT-Sicherheitsrichtlinie haben sollte, und falls ja, welche konkret, und wenn nein, warum nicht? Die Bundesregierung stellt fest, dass eine zielgerichtete Mitwirkung des BSI an der IT-Konsolidierung erforderlich ist. Aus diesem Grund wird das BSI bereits aktuell sowohl bei der Betriebs- als auch bei der Dienstekonsolidierung durch die IT-Dienstleister des Bundes entsprechend eingebunden. Dabei begleitet das BSI die Sicherheitskonzeption der wesentlichen IT-Plattformen ausgerichtet am IT-Grundschutz. Zudem ist insbesondere für alle Masterrechenzentren des ITZ- Bund eine Grundschutz-Zertifizierung durch das BSI geplant. Ohne entsprechende Freigabe des BSI werden diese Systeme nicht produktiv gesetzt. Das BSI hat, wie im Umsetzungsplan Bund 2017 gefordert, einen Entwurf einer Richtlinie zur Informationssicherheit in der IT-Konsolidierung erstellt. In dieser ist die Rolle eines „IT-Sicherheitsbeauftragten Konsolidierung“ vorgesehen, die auch vom BSI übernommen werden könnte. Die Richtlinie befindet sich derzeit in der Abstimmung. Gemäß Maßgabebeschluss des Haushaltsausschusses des Deutschen Bundestages zur Neuorganisation der IT- Konsolidierung vom 14. November 2019 ist diese Richtlinie bis zum 30. Juni 2020 zu erarbeiten. Über seine beratende Rolle hinaus hat das BSI ein eingeschränktes Mandat, die IT-Sicherheit der zu konsolidierenden Behörden und der IT-Dienstleister zu untersuchen (s. o. Untersuchung nach HV-Benchmark kompakt). Dieses Mandat hat der Haushaltsausschuss Ausschuss des Deutschen Bundestages dem BSI erteilt. 13. Welche Ressorts haben ihre eigenen ihnen im Rahmen der IT- Konsolidierung zugewiesenen Projekte bereits abgeschlossen (bitte konkret nach Ressorts und Projekten aufschlüsseln)? Grundsätzlich sind alle Vorhaben der Dienstekonsolidierung gemeinsame Maßnahmen der Ressorts. Folgende IT-Maßnahmen wurden in der Dienstekonsolidierung abgeschlossen bzw. befinden sich im Wirkbetrieb: Audiokonferenzanlage, Bund-TV, DE-Mail, eNorm, PKP, bund.de, GSB, FMS. Zudem befinden sich folgende IT-Maßnahmen der Dienstekonsolidierung im Rollout: E-Akte Bund, Social Intranet Bund, E-Payment Bund, E-Rechnung, PVS Bund, Digitales Zwischenarchiv, Bundesportal, Bundescloud. Ein Abschluss eines Behördenprojektes der Betriebskonsolidierung wird nach bisherigen Überlegungen nach ca. 3 Jahren (nach Projektstart) erreicht. Bisher sind Abschlüsse auf Grund von Verzögerungen ausständig. 14. Gab es bereits vor der Kritik durch den Haushaltsausschuss und/oder den Bundesrechnungshof interne kritische Bewertungen insbesondere der Projektorganisation, und wenn ja, wann, und wie wurde mit diesen Bewertungen durch das Bundesministerium des Innern, für Bauen und Heimat verfahren? Im Rahmen eines kontinuierlichen Verbesserungsprozesses erfolgte regelmäßig eine Bewertung des Projekts. Die Ergebnisse dieser kritischen Bewertung und der Projektfortschritt wurden in den jährlichen Fortschrittsberichten an den Haushaltsausschuss dokumentiert. In der Dienstekonsolidierung erfolgte der Aufbau der Projektorganisation sukzessive nach Aufwuchs neuen Personals. Die aufgelegten Prozesse wurden (und werden weiterhin) nach und nach weiter ausgestaltet und verbessert. 15. Welche Anregungen der seit 2014 vom Bundesrechnungshof geäußerten Kritik sind von der Bundesregierung konkret aufgenommen bzw. umgesetzt worden? Alle Anregungen, die bisher vom Bundesrechnungshof im Rahmen unterschiedlicher Prüfungen der IT-Konsolidierung Bund erfolgt sind, wurden analysiert und in den kontinuierlichen Verbesserungsprozessen der Dienstekonsolidierung und der Betriebskonsolidierung berücksichtigt. Eine Prüfung, die die Dienstekonsolidierung betrifft, findet derzeit statt und wird zur weiteren Optimierung der Prozesse beitragen. 16. Wann konkret ist vor dem Hintergrund welcher Entwicklungen die Entscheidung gefallen, ein Controlling des Projekts durch das Bundeskanzleramt zu etablieren? Der IT-Rat hat am 31. Oktober 2019 die Kernaussagen zur Neuaufstellung des Projektes IT-Konsolidierung Bund beschlossen (Beschluss Nr. 2019/05 des IT- Rats vom 31. Oktober 2019). Diese Kernaussagen sehen u. a. vor, dass das Bundeskanzleramt ein von den Projektleitungen unabhängiges, übergreifendes Controlling durchführt. Die Entscheidung für die Durchführung des Controllings erfolgte in Abstimmung mit den Ressorts unter Einbeziehung der Stellungnahmen des Bundesrechnungshofs sowie den Berichterstattergesprächen zum Einzelplan 06 und den Gesprächen im Haushaltsausschuss des Deutschen Bundestages. 17. Macht sich die Bundesregierung die „Kernaussagen zur Neuaufstellung des Projektes IT-Konsolidierung Bund“ des IT-Rates vom 31. Oktober 2019 vollumfänglich zu eigen, und wenn nein, welche konkret, und inwiefern nicht? Ja. Alle Bundesministerien haben als stimmberechtigte Mitglieder des IT-Rates dem Beschluss zugestimmt. Das Bundeskabinett hat in seiner 74. Sitzung vom 6. November 2019 einen entsprechenden Beschluss gefasst. 18. Ist die Auffassung zutreffend, wonach die Ausführungen im Papier des IT-Rates vom 31. Oktober 2019 zu bisherigen Mängeln der Projektorganisation dahingehend zu verstehen sind, dass notwendige Entscheidungen zwischen den nach dem Ressortprinzip zu beteiligenden Ministerien von BMI, BMF und dem Bundesministerium der Verteidigung (BMVg) aufgrund der Uneinigkeit der Beteiligten nicht getroffen werden konnten? Die dargestellte Auffassung ist nicht zutreffend. In dem genannten Papier werden keine „Mängel der Projektorganisation“ genannt. Es wird lediglich die bisherige Projektorganisation dargestellt und dass diese von außen kritisiert wurde. 19. Entfällt durch die zukünftig weiterhin mögliche Unterbeauftragung der BWI GmbH eine Mitsprache des BMVg im Wege der strategischen Steuerung ihres IT-Dienstleisters, und wenn nein, worin liegt dann die Verbesserung der Neuorganisation im Sinne einer beabsichtigten effektiveren Entscheidungsstruktur? Die strategische Steuerung der BWI GmbH durch das Bundesministerium der Verteidigung (BMVg) bleibt für alle Geschäftsvorfälle jederzeit erhalten und wird in diesem Verständnis in allen heutigen und künftigen Entscheidungsstrukturen entsprechend berücksichtigt. 20. Teilt die Bundesregierung die Auffassung des Bundesrechnungshofes, wonach der Wegfall der BWI GmbH als regelmäßiger Dienstleister und die zukünftig alleinige Durchführung durch das ohnehin an der Belastungsgrenze laufende ITZ Bund eine fristgemäße Weiterführung der Projektplanung unmöglich erscheinen lassen, und wenn nein, warum nicht? Nein. Die „fristgemäße Weiterführung der Projektplanung“ ist aus anderen Gründen zu überprüfen. Auf die Antwort zu Frage 3 wird verwiesen. 21. Warum bedarf es nach Auffassung der Bundesregierung im Papier des IT-Rates vom 31. Oktober 2019 der Festlegung auf ein gemeinsames Verständnis, wonach keine IT-Leistung auf einem „qualitativ geringeren Niveau erbracht wird als vor der IT-Konsolidierung“ und „die Erfüllung der Fachaufgaben unter der IT-Konsolidierung nicht leiden“ dürfe, und teilt die Bundesregierung die Auffassung der Fragesteller, dass es sich hierbei um eine Selbstverständlichkeit handelt, die, sollte sie nicht Beachtung finden, die Intention des Projekts, nämlich deutliche Verbesserungen des Niveaus bei der Erbringung von IT-Leistungen sowie bei der Erfüllung von Fachaufgaben, ad absurdum geführt werden würde? Die Festlegung auf das gemeinsame Verständnis, wonach keine IT-Leistung auf einem „qualitativ geringeren Niveau erbracht wird als vor der IT- Konsolidierung“ wird u. a. als Maßnahme des Veränderungsmanagements gesehen. Sie erhöht die Akzeptanz der IT-Konsolidierung bei den involvierten Mitarbeiterinnen und Mitarbeitern der verschiedenen Ressorts und Behörden und weist zudem die IT-Dienstleister nochmals explizit auf den Mindeststandard der Konsolidierung hin. Somit wurde zunächst das gemeinsame Verständnis entwickelt und festgehalten. Darüber hinaus teilt die Bundesregierung die Auffassung, dass es sich hierbei um eine Selbstverständlichkeit handelt, da die Sicherstellung der Erfüllbarkeit der Fachaufgaben der Behörden stets Priorität hat. 22. Inwiefern kann nach Ansicht der Bundesregierung der IT-Rat als Lenkungsausschuss eine stringentere und zielorientiertere Umsetzung des Gesamtprojektes tatsächlich garantieren, wenn statt der bislang beteiligten drei Ressorts nunmehr alle Ministerien beteiligt werden, auch vor dem Hintergrund, dass der IT-Rat nur bei Zweidrittelmehrheit entscheidungsfähig ist? Ein bislang nur aus drei Ressorts bestehendes Entscheidungsgremium ist hier nicht bekannt. Auch nach der bisherigen Projektorganisation waren alle Ressorts in die Entscheidungsfindung eingebunden. Dies erfolgte über die Abstimmung aller relevanten Dokumente in Ressortabstimmungen, der Konferenz der IT-Beauftragten und dem IT-Rat. Das ist auch weiterhin notwendig, um eine größtmögliche Akzeptanz des Vorgehens in allen Ressorts zu erhalten. Allerdings greifen durch die Festlegung der Rolle als Lenkungsausschuss allgemeine Projektmanagementmethoden, die zu klaren Entscheidungsstrukturen und – abläufen führen. Zudem kann die festgelegte Zweidrittel-Mehrheit zu einer zügigeren Beschlussfassung als bei der bislang geltenden Einstimmigkeitsregelung führen. 23. Inwiefern kann der von einem Ressort im Rahmen der Dienstekonsolidierung vortragbare Einwand der „Einschränkung bei der Erfüllung eigener Aufträge“ überhaupt von anderen Mitgliedern des Lenkungsausschusses überwunden werden, und auf wessen Betreiben konkret wurde diese Bestimmung aufgenommen? Im Rahmen der Diskussion im IT-Rat hat sich dieser auf das gemeinsame Vorgehen geeinigt. Ein aktuell bestehender Einwand kann daher nicht nachvollzogen werden. 24. Handelt es sich bei dem zukünftig im Bundeskanzleramt zu führenden übergreifenden Projektcontrolling um das erste jemals verantwortete IT- Projektcontrolling dieses Hauses, und wenn ja, was spricht aus Sicht der Bundesregierung für diese zusätzliche Controllingebene, bis wann wird diese personell wie inhaltlich voll operativ sein, und woher wird das hierfür eingesetzte Personal rekrutiert? Innerhalb der Dienste- und Betriebskonsolidierung besteht bereits ein Controlling für die dortigen Projekte und Maßnahmen. Bei dem im Bundeskanzleramt aufzubauenden Controlling handelt es sich um ein von den Projekten unabhängiges, übergreifendes Controlling der beteiligten Projekte. Das IT-Projektcontrolling wird durch die jeweilige Projektleitung der einzelnen Projekte durchgeführt. Das übergreifende Controlling soll die Transparenz zu den Fortschritten aller Projekte herstellen und eine Lageeinschätzung ermöglichen. Der Aufbau erfolgt sukzessive, innerhalb der zweiten Hälfte 2020 soll das übergreifende Controlling inhaltlich und personell voll operativ werden. Die Mitarbeiterinnen und Mitarbeiter werden sich vors. aus vorhandenem Personal des Bundeskanzleramtes und neu gewonnenen Kräften zusammensetzen. 25. Teilt die Bundesregierung die Auffassung, dass die für die Betriebskonsolidierung im Grundsatz geplante Projektleitung durch das ITZ Bund nur dann eine standardisierte, stringente und ressourcenschonende Durchführung sicherstellt, wenn die beteiligten Behörden nicht in größerem Umfange auf einer gemeinsamen Projektverantwortung bestehen, und unter welchen Umständen bedarf es nach Ansicht der Bundesregierung für diesen Fall einer Umsteuerung? Nein. Die Bundesregierung geht davon aus, dass der Fall nicht eintreten wird, da er nach ihrem Beschluss voraussetzt, dass sich die Projektleitung durch das ITZBund nicht bewährt hat. Auch wenn von der (Ausnahme-)Möglichkeit Gebrauch gemacht werden sollte, geht die Bundesregierung davon aus, dass die Behörden ausschließlich qualifiziertes Personal für die Projektleitung benennen würden. In diesem Fall wird es zwar eines einmaligen Mehraufwandes einer sorgfältigen Aufgabenabgrenzung bedürfen, aber auf die genannten Kriterien dürfte das dauerhaft keine Auswirkungen haben. 26. Ist aus Sicht der Bundesregierung sichergestellt, dass die zur zielgerichteten und konstruktiven Mitwirkung verpflichteten Behörden BSI, die Bundesanstalt für den Digitalfunk (BDBOS) und das Konrad-Zuse- Zentrum für Informationstechnik Berlin (ZIB) dieser Aufgabe tatsächlich gerecht werden können, und inwiefern hat die Bundesregierung haushalterisch sichergestellt, dass dafür ggf. die erforderlichen zusätzlichen Mittel zur Verfügung gestellt werden? Im laufenden Haushalt 2020 sind das BSI, die Bundesanstalt für den Digitalfunk der Behörden und Organisationen mit Sicherheitsaufgaben (BDBOS) und das Beschaffungsamt des Bundesministeriums des Innern (BeschA) auskömmlich veranschlagt. Für den Haushalt 2021 läuft das regierungsinterne Aufstellungsverfahren. Die gemäß Grobkonzept zur IT-Konsolidierung vom 20. Mai 2015 einzurichtende Zentralstelle für IT-Beschaffung (ZIB) wurde zum 1. Januar 2017 eingerichtet. Sie ist entsprechend mit den erforderlichen personellen und sächlichen Mitteln ausgestattet, um die gemäß „Soll-Konzeption IT-Beschaffung“ vom 26. November 2018 vorgesehenen Leistungsumfänge auch im Kontext eines schwierigen Personalmarktes erfüllen zu können. Eine Übersicht über den aktuellen Leistungskatalog der ZIB kann der Rahmenvertrags-Roadmap (RV- Roadmap) www.e-beschaffung.bund.de/DE/Wissenswertes/ZIB/RVRoadmap/ RVRoadmap_node.html entnommen werden. Das BSI ist durch seinen gesetzlichen Auftrag zu einer konstruktiven Mitarbeit verpflichtet. Insbesondere durch eine entsprechende Aufgabenpriorisierung wird sichergestellt, dass die zur Mitwirkung verpflichteten Behörden ihren Aufgaben gerecht werden können. 27. Um wie viele Konsolidierungsprojekte in welchen Ressorts bzw. Behörden geht es bei den von der BWI GmbH begonnenen, aber nun abgebrochenen Projekten, und innerhalb welcher Zeithorizonte sollen die zwischen BMF, BMVg und BWI notwendigen Entscheidungen zur Fortführung getroffen werden? Für die nachfolgenden Behörden war die BWI GmBH laut bisheriger Reihenfolgeplanung als IT-Dienstleister vorgesehen: Behörde Ressort Konsolidierungsfenster BPjM BMFSFJ 3 (2019-2021) MRI BMEL 5 (2021-2023) BSA BMEL 5 (2021-2023) BASt BMVI 2 (2018-2020) BMVI BMVI 2 (2018-2020) BDBOS BMI 1 (2017-2019) BVAmt BMAS 1 (2017-2019) BMAS BMAS 1 (2017-2019) BAuA BMAS 2 (2018-2020) BMEL BMEL 2 (2018-2020) BRH BRH 2 (2018-2020) BAFzA BMFSFJ 3 (2019-2021) BMFSFJ BMFSFJ 3 (2019-2021) BMI BMI 3 (2019-2021) BArch BKM 4 (2020-2022) BStU BKM 4 (2020-2022) BfArM BMG 4 (2020-2022) BMG BMG 4 (2020-2022) BZgA BMG 4 (2020-2022) DIMDI BMG 4 (2020-2022) PEI BMG 4 (2020-2022) RKI BMG 4 (2020-2022) THW BMI 4 (2020-2022) BMUB BMUB 4 (2020-2022) BfG BMVI 4 (2020-2022) BSH BMVI 4 (2020-2022) BSU BMVI 4 (2020-2022) DWD BMVI 4 (2020-2022) BAM BMWi 4 (2020-2022) BKartA BMWi 4 (2020-2022) BKAmt BKAmt 5 (2021-2023) BVL BMEL 5 (2021-2023) FLI BMEL 5 (2021-2023) JKI BMEL 5 (2021-2023) BGR BMWi 3 (2019-2021) TI BMEL 5 (2021-2023) BKA BMI 5 (2021-2023) BPOL BMI 5 (2021-2023) BfE BMUB 5 (2021-2023) BfN BMUB 5 (2021-2023) BfS BMUB 5 (2021-2023) UBA BMUB 5 (2021-2023) BNetzA BMWi 5 (2021-2023) BMZ BMZ 5 (2021-2023) BSI BMI 1 (2017-2019) Das BMF stimmt sich derzeit mit den Behörden, die in den Jahren bis 2019 ihre Projekte mit der BWI GmbH hätten starten sollen, zum eventuellen Projektstand sowie zum weiteren gemeinsamen Vorgehen ab. 28. In welchem Umfang ist das BMVg in Bezug auf die vier bislang unterschiedenen Handlungsstränge bereits als konsolidiert zu betrachten, bzw. welcher Zeitplan besteht hinsichtlich der nicht erreichten Anteile, und auf welche Weise wird die Einbeziehung und Harmonisierung der Konsolidierung beim ITZ Bund mit derjenigen des BMVg sichergestellt? Die IT-Konsolidierung innerhalb der Bundeswehr über das Projekt bzw. Folgeprojekt HERKULES läuft seit dem 28. Dezember 2006 erfolgreich. Dabei wurde die BWI GmbH als IT-Dienstleister der Bundeswehr ertüchtigt, die administrative IT der Bundeswehr zu konsolidieren, IT-Dienste zu vereinheitlichen und zu modernisieren sowie zu betreiben. Dies betrifft u. a. Netzwerke, Rechenzentren, Dienste, Anwendungen, Endgeräte und übergreifende Angelegenheiten wie IT-Sicherheit und User-Help-Desk. Deren ständige Weiterentwicklung ist für den Geschäftsbereich (GB) BMVg im Rahmen des technologischen Fortschritts ein dauerhafter Prozess. Eine vollständige Harmonisierung der IT des GB BMVg mit derjenigen des ITZBund ist aufgrund teilweiser unterschiedlicher Anforderungen nicht möglich, da auch Vorgaben der „militärischen IT“ sowie der Nordatlantischen Vertragsorganisation (NATONorth Atlantic Treaty Organization) zu berücksichtigen sind. Dort wo es möglich ist, beteiligt sich der GB BMVg an den Harmonisierungsaktivitäten im Rahmen der IT-Konsolidierung Bund. 29. Auf welche Weise wird übergreifend und für alle Einzelprojekte der verschiedenen Ressorts und Behörden sichergestellt, dass einheitliche und höchste IT-Sicherheits- und Datenschutzvorgaben umgesetzt werden? Die in der Bundesverwaltung geltenden Sicherheitsvorgaben sind im Umsetzungsplan Bund 2017 definiert, welcher die Umsetzung von IT-Grundschutz und Mindeststandards nach § 8 BSIG fordert. Damit gelten sie auch für die IT- Konsolidierung. Im Rahmen der IT-Konsolidierung berät das BSI bei der Umsetzung angemessener Sicherheitsmaßnahmen in Einzelprojekten bei Behörden und beim zentralen IT-Dienstleister. Zudem unterliegen alle Einzelprojekte den Vorgaben der Allgemeinen Verwaltungsvorschrift zum materiellen Geheimschutz (Verschlusssachenanweisung – VSA). Zur Sicherstellung der Einhaltung der Vorgaben wären Revisionen besonders geeignet. Aktuell besteht jedoch nur ein Mandat für das BSI, die IT des Bundes basierend auf HV-Benchmark kompakt zu untersuchen, was Revisionen nicht ersetzt. In der Dienstekonsolidierung erfolgt eine enge Abstimmung mit dem BSI und dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) von Beginn an (Security by Design). Zudem wird der BfDI in Datenschutzangelegenheiten bei der Erarbeitung einheitlicher Vorgaben beteiligt. Der Betrieb der IT-Lösungen erfolgt auf entsprechend des Schutzbedarfes abgesicherter und standardisierter IT-Infrastruktur beim IT-Dienstleister. Darüber hinaus wird aktuell die Erstellung einer Informationssicherheitsrichtlinie für die IT-Konsolidierung Bund diskutiert. 30. Ist es zutreffend, dass es im Rechtsstreit zwischen der BWI GmbH und dem Bundesministerium des Innern, für Bauen und Heimat über durch das Bundesministerium bislang unbezahlte Rechnungen in Höhe von 21 Mio. Euro (vgl. www.spiegel.de/netzwelt/web/bundes-it-bundeseigen er-betrieb-will-innenministerium-verklagen-a-1287831.html) inzwischen zu einer außergerichtlichen Einigung kam, und wenn ja, wie genau sieht diese aus? Zwischen der BWI GmbH und dem Bundesministerium des Innern, für Bau und Heimat (BMI) bestand kein Rechtsstreit. Ergänzend siehe Frage 31. 31. Warum hat das Bundesministerium des Innern, für Bau und Heimat zu Beginn der Inanspruchnahme der BWI GmbH keine schriftliche vertragliche Vereinbarung mit dem Unternehmen abgeschlossen? Der BWI GmbH wurden Haushaltsmittel zur Eigenertüchtigung über das BMVg als Vertreter des Gesellschafters zur Verfügung gestellt. Für Leistungen, welche das BMI als Kunde in Anspruch genommenen hat, lag zu Beginn der jeweiligen Leistungserbringung eine schriftliche Vereinbarung zu Grunde. Die BWI GmbH hat mit dem BMI eine Abschlussvereinbarung getroffen, welche der nunmehr veränderten Rolle der BWI GmbH Rechnung trägt. Im Rahmen des Projektes IT-Konsolidierung Bund sind der Bundesregierung keine offenen Forderungen oder Rechtsstreitigkeiten mit der BWI GmbH bekannt. 32. Welche konkreten Maßnahmen stellen die Hoheit und Kontrollfähigkeit über die eigene IT im Rahmen der IT-Konsolidierung sowie darüber hinaus strategisch dauerhaft sicher? Hoheit und Kontrollfähigkeit des Bundes über die IT des Bundes ist schon seit dem ursprünglichen Beschluss der Bundesregierung aus dem Jahr 2015 ein Ziel der IT-Konsolidierung. Zentrale Maßnahmen zur Zielerreichung sind • die perspektivisch zentrale Datenhaltung ausschließlich bei einem IT- Dienstleister der Bundesverwaltung, • der Betrieb aller zentralen IT-Infrastrukturen inklusive der Netze durch bundeseigenes Personal sowie • die Verpflichtung auf zentrale Regelwerke wie etwa die IT- Architekturrichtlinie des Bundes, den UP Bund und weitere. Ergänzend wird auf die Antworten zu den Fragen 8 und 12 verwiesen. 33. Teilt die Bundesregierung die Auffassung, dass die IT des Bundes dringend vor der zunehmenden Abhängigkeit durch einzelne Anbieter geschützt werden muss und es nicht zuletzt vor dem Hintergrund der vielfach, auch durch das BSI, beworbenen Vorteile und notwendigen Stärkung digitaler Souveränität dringend angeraten ist, verstärkt auf freie und offene Software zu setzen, und welche konkreten Schritte und Vorkehrungen hat die Bundesregierung getroffen oder wird sie treffen, um diese Ziele zu erreichen? Eine für den Beauftragten der Bundesregierung für Informationstechnik (BfIT) durchgeführte strategische Marktanalyse (siehe auch Antwort zu Frage 34) zur Untersuchung von Abhängigkeiten von Softwareanbietern in der Bundesverwaltung ergab konkrete Anhaltspunkte für Beeinträchtigungen der Digitalen Souveränität. Aufgrund der fortschreitenden IT-Anbieterkonzentration am Markt werden derartige Abhängigkeiten potentiell weiter zunehmen. Zusätzlich erhöhen technologische und geopolitische Trends, wie etwa angespannte Handelsbeziehungen oder der Umstieg auf Public Cloud-Lösungen, die Relevanz dieses Themas. Softwarealternativen sollten vorzugsweise, aber nicht zwingend, auf Open Source-Produkten basieren, mindestens jedoch auf offenen Standards und Schnittstellen. Hierzu steht der Bund neben den Ländern und Kommunen auch mit der Open Source Business Alliance im Dialog, um die Festlegung gemeinsamer Standards voranzutreiben. Ergebnisse fließen in die Architektur-Richtlinie des Bundes ein. 34. Teilt die Bundesregierung das Ergebnis der vom Bundesministerium des Innern, für Bau und Heimat in Auftrag gegebenen Studie, dass Bundesministerien und oberste Behörden „in hohem Maße von dem Software- Anbieter Microsoft abhängig“ sind? Plant die Bundesregierung, im Rahmen der Neuaufstellung der IT- Konsolidierung die Nutzung von offene Standards und offener Software stärker zu fördern, und wenn ja, mit welchen Schritten konkret? Die Bundesregierung teilt die Einschätzung der Strategischen Marktanalyse (Studie) in Bezug auf bestehende Abhängigkeiten zu IT-Anbietern. Diese beschränken sich aber nicht auf einen einzigen IT-Anbieter. Auf die Antwort zu Frage 33 wird verwiesen. 35. Welche Vorkehrungen hat die Bundesregierung für den möglichen Fall einer Abschaltung, Unbrauchbarmachung oder eines anderweitigen Ausfalls von in der Bundesverwaltung im Einsatz befindlichen IT-Produkten im Zusammenhang mit möglichen Handelskonflikten mit Drittstaaten getroffen? Ein Großteil der IT-Produkte in der Bundesregierung wird derzeit noch dezentral betrieben. Die Bundesregierung kann daher nicht auf alle einzelnen Fälle eingehen. Bei den bereitgestellten Infrastrukturen werden vielfältige Maßnahmen der Notfallvorsorge umgesetzt. Die Bunderegierung verfolgt dort, wo es möglich ist, punktuell eine „Two- Vendor“-Strategie. Für den GB BMVg lässt sich feststellen, dass dieser immer Vorkehrungen trifft für den Fall einer Abschaltung, Unbrauchbarmachung oder eines anderweitigen Ausfalls der im Einsatz befindlichen IT-Produkte, zum Beispiel im Rahmen der betrieblichen Notfallvorsorge. 36. Teilt die Bundesregierung die Ansicht der Fragesteller, dass es – auch angesichts einer global zunehmend unübersichtlichen politischen Lage – im Sinne vielfältiger digitaler Ökosysteme und der damit zusammenhängenden Verringerung der Abhängigkeit von einzelnen Herstellern/Staaten sinnvoll erscheint, vermehrt auf Eigenentwicklungen und Open-Source- Software zu setzen, und welche Vorteile sieht die Bundesregierung in solchen sicheren IT-Lösungen, die in Deutschland und der EU entwickelt und gehostet werden? Die Bundesregierung teilt die Einschätzung insofern, dass Abhängigkeiten von Technologieanbietern, die zu kritischen Schmerzpunkten führen, reduziert werden sollen. Die Bundesregierung setzt sich zum Ziel, dass zukünftige Softwarealternativen vorzugsweise, aber nicht zwingend, auf Open Source-Produkten basieren, mindestens jedoch auf offenen Standards und Schnittstellen. Nationale und europäische IT Lösungen unterliegen den entsprechenden Gesetzgebungen und bieten daher rechtliche Sicherheit. 37. Verschiebt sich durch die Verzögerungen und Schwierigkeiten der IT- Konsolidierung des Bundes die aktuelle Zeitplanungen für die Einführung der nach dem Gesetz zur Förderung der elektronischen Verwaltung bereits für 2020 vorgesehenen E-Akte, und wenn ja, bis wann soll in wie vielen Behörden der Basisdienst E-Akte verfügbar sein? Bislang sind keine Auswirkungen auf die Zeitplanung der Einführung der E- Akte in der Bundesverwaltung feststellbar. Nach der seit 2017 bestehenden Zeitplanung der E-Akte Bund sollen alle Behörden der unmittelbaren Bundesverwaltung bis Ende 2021 die E-Akte eingeführt haben. 38. Welche konkreten Schritte hat die Bundesregierung unternommen, um das latente Problem der Personalgewinnung bzw. der Gewinnung von geeignetem Personal, auch und gerade im Wettbewerb mit der Privatwirtschaft, zu lösen und die Rahmenbedingungen für die Einstellung qualifizierter IT-Spezialistinnen und Spezialisten für die Verwaltung zu verbessern, und ist die Bundesregierung der Ansicht, dass die bisherigen Maßnahmen angesichts der großen Herausforderungen bislang zu zufriedenstellenden Ergebnissen geführt haben? Die ZIB hat im schwierigen Umfeld der Gewinnung geeigneten Personals umfangreiche und innovative Maßnahmen angestoßen und durchgeführt, um die angespannte Personalsituation zu entlasten. Hierzu zählen die Formulierung eines Arbeitgeber-Branding und die Erarbeitung einer Kommunikationsstrategie, die Teilnahme an Fachkonferenzen (Vorträge, Panels etc.), Gestaltung einer Micro-Page für Stellenanzeigen und Vorstellung interessanter Projekte, die Kooperation mit Outplacement-Organisationen und die Gestaltung für die Präsentation von Flyern und Plakaten in Universitäten. Nicht zuletzt die Entscheidung den zweiten Dienstsitz des Beschaffungsamtes in Erfurt anzusiedeln wurde auch vor dem Hintergrund der besseren Personalgewinnung getroffen. Die Gewinnung geeigneten Personals gestaltet sich nach ersten Erkenntnissen an diesem Standort verglichen mit der Region Bonn, erfolgreicher. 39. Teilt die Bundesregierung die Auffassung der Fragesteller, wonach zur besseren Abstimmung zwischen Fachverwaltungen und IT auch Verwaltungsexpertinnen und Experten zusätzlich in Bezug auf die Digitalisierung der öffentlichen Verwaltung ausgebildet werden sollten, und wenn ja, in welchem Rahmen werden entsprechende Ausbildungsinhalte inzwischen angeboten und in welchem Umfang in der Bundesverwaltung genutzt? Der Kabinettausschuss Digitalisierung hat bereits am 13. März 2019 eine interministerielle Arbeitsgruppe „Personal in der Digitalen Verwaltung“ (AG Pers- DiV) unter Federführung des BMI eingesetzt. Die AG hat dem Kabinettausschuss im September 2019 erste Handlungsempfehlungen (administrativer und legislativer Art) zu Personalentwicklung und -gewinnung vorlegt. Ziel der Arbeitsgruppe war es, ressortübergreifend Maßnahmen für eine zukunftsgerichtete Personalpolitik auszuarbeiten, damit die Bundesverwaltung im Hinblick auf die Herausforderungen der Digitalisierung leistungsfähig bleibt. Der Ansatz der AG war dabei umfassend angelegt und beinhaltete u. a. sowohl die Befassung mit Instrumenten zur Gewinnung und Bindung von IT-Personal für die Bundesverwaltung einerseits als auch die Erhöhung der eigenen Ausbildungsleistung des Bundes und inhaltliche Anpassung und Ergänzung der sonstigen Ausbildungsangebote des Bundes im Hinblick auf die Digitalisierung andererseits sowie die Fort- und Weiterbildung aller Bundesbediensteten in der Breite. Zu diesem Zweck sollen auch die sonstigen Ausbildungsangebote des Bundes überprüft und – soweit erforderlich – ergänzt und angepasst werden. Ein unmittelbarer Einfluss auf die Ausbildungsinhalte besteht bezüglich der Ausbildungen zur Beamtin /zum Beamten des Bundes. Die Hochschule des Bundes für öffentliche Verwaltung (HS Bund) ist als „verwaltungsinterne“ Hochschule in zehn verschiedenen Fachbereichen für die Ausbildung des gehobenen nichttechnischen Dienstes in der Bundesverwaltung verantwortlich. In den genannten Ausbildungsgängen erfolgen kurz- bis mittelfristig Anpassungen der Curricula an die Erfordernisse der Digitalisierung der öffentlichen Verwaltung. Ein besonderer Stellenwert zur Heranbildung von Verwaltungsexpertinnen und -experten in Bezug auf die Digitalisierung der öffentlichen Verwaltung kommt den von der Hochschule des Bundes angebotenen Studiengängen „Verwaltungsinformatik“ (VIT) und „Digital Administration and Cyber Security“ (DACS) zu. In Kooperation zwischen dem Fachbereich Finanzen und dem Zentralbereich der Hochschule werden bereits seit dem Jahr 2012 IT-Spezialistinnen und Spezialisten konkret für Aufgaben in der Bundesverwaltung ausgebildet. Aufgrund des hohen Bedarfs der Bundesbehörden, hier insbesondere im Ressort des Bundesministeriums der Finanzen, wurde die Anzahl der Studienplätze von ca. 50 im Jahr 2012 auf ca. 120 im Jahr 2020 erhöht. Curricular besteht der Studiengang jeweils zur Hälfte aus Inhalten auf dem Gebiet der IT / Digitalisierung und des Verwaltungsmanagements und trägt damit dem insgesamt auf diesem Sektor steigenden Bedarf bereits zum Teil Rechnung. Eine weitergehende Aufstockung der Anzahl der Studienplätze stößt jedoch an Kapazitätsgrenzen. Der auch deshalb in Kürze startende Studiengang „Digital Administration and Cyber Security“ besteht ebenfalls je zur Hälfte aus Inhalten des Verwaltungsmanagements und der IT / Digitalisierung jedoch mit deutlich abweichender Schwerpunktsetzung im Hinblick auf IT-Sicherheit. Adressiert werden mit dem Studiengang im Schwerpunkt „Cyber Security“ insbesondere auch die Sicherheitsbehörden des Bundes (z. B. der Bundesnachrichtendienst [BND], das Bundeskriminalamt [BKA], das Bundesamt für Verfassungsschutz [BfV], die Zentrale Stelle für Informationstechnik im Sicherheitsbereich [ZITIS], BSI. u. s. w.), im Schwerpunkt „Digital Administration“ die gesamte Bundesverwaltung. Der Studienbetrieb soll zum 1. Öktober 2020 aufgenommen werden und zunächst 50 Studienplätze je Semester (= 100 / Jahr) umfassen. Bedarfsmeldungen der Bundesbehörden weisen bereits jetzt einen höheren Bedarf aus als Studienplätze angeboten werden können. Nach Schaffung der erforderlichen haushalterischen, organisatorischen und infrastrukturellen Rahmenbedingungen wird daher eine Ausweitung des Studienplatzangebotes angestrebt. Die Bundesregierung ist der Ansicht, dass das Thema Digitalisierung in allen relevanten Bereichen der Aus- und Fortbildungen Bestandteil sein muss, um die Bundesbeschäftigten systematisch für die Anforderungen der Digitalisierung zu qualifizieren. Neben der Ausbildung muss auch die Fortbildung einen Beitrag zu Qualifizierung der Bundesbeschäftigten leisten. Die Bundesakademie für öffentliche Verwaltung passt ihr Fortbildungsangebot kontinuierlich an die Entwicklungen der Digitalisierung und den diesbezüglichen Bedarf in der Bundesverwaltung an. So sind bereits einige Digitalisierungsthemen (u. a. IT- Konsolidierung) insbesondere in den Angeboten zum Organisations-, Projekt- und Prozessmanagement, sowie in den Angeboten zur Informationssicherheit, zum Datenschutz und zur Systemadministration enthalten. Diese Angebote der Bundesakademie werden von zahlreichen Behörden der Bundesverwaltung genutzt. Um den künftigen Entwicklungen in der Digitalisierung der Bundesverwaltung noch besser Rechnung zu tragen, wird die Bundesakademie die Bundesverwaltung künftig mit Fortbildungen bei der Entwicklung digitaler Strategien unterstützen und ein Fortbildungsangebot für „Digitalisierungsbeauftragte in der öffentlichen Verwaltung“ anbieten. In diesem Zusammenhang wird es auch darum gehen, der Bundesverwaltung Hilfestellungen zu geben, wie im Rahmen der Personalentwicklung künftige Fortbildungsbedarfe mit Bezug zur Digitalisierung identifiziert werden können, um Bundesbeschäftigte systematisch zu qualifizieren. 40. Warum hat die Bundesregierung bislang keinen Chief Information Security Officer (CISO) für das Projekt „IT Konsolidierung“ benannt, und wird dies Teil der jetzt geplanten Umstellung sein, wenn nein, warum nicht? Mit dem UP Bund 2017 sowie dem Grundschutz-Kompendium des BSI gibt es für alle Behörden / Einrichtungen des Bundes verbindliche Rahmenbedingungen zur Gewährleistung der Informationssicherheit. Ob es darüberhinausgehende Maßnahmen geben soll, wird die anstehende Abstimmung zur Erstellung einer Informationssicherheitsrichtlinie für die IT-Konsolidierung Bund zeigen. Im aktuellen Entwurf der Sicherheitsrichtlinie für die IT-Konsolidierung ist die Rolle eines IT-Sicherheitsbeauftragten vorgesehen. Diese Rolle könnte vom BSI übernommen werden. Die Richtlinie befindet sich derzeit in der Ressortabstimmung. Gemäß Maßgabebeschluss des Haushaltsausschusses des Deutschen Bundestages zur Neuorganisation der IT-Konsolidierung vom 14. November 2019 ist diese Richtlinie bis zum 30. Juni 2020 zu erarbeiten. Ergänzend wird auf die Antwort zu Frage 29 wird verwiesen. 41. Wird das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Funktion des CISO für die IT-Konsolidierung erhalten, und wenn nein, warum nicht? Auf die Antwort zu Frage 40 wird verwiesen. 42. Wird die Bundesregierung eine operative Cyberabwehr CSOC für den Bereich der IT-Konsolidierung unter der Leitung des Bundesamtes für die Sicherheit in der Informationstechnik schaffen, und wenn nein, warum nicht? Als Cybersicherheitsbehörde des Bundes nimmt das BSI bereits seit Jahren alle Aufgaben einer operativen Cyberabwehr auf Basis der bestehenden gesetzlichen Grundlagen für wesentliche Teile der IT des Bundes wahr. Hierzu gehören z. B. die zentrale Meldestelle gem. § 4 BSIG, die zentrale Vorfallskoordinierung (CERT-Bund) gem. § 3 BSIG, die Unterstützung vor Ort (Mobile Incident Response Team) gem. § 5a BSIG ebenso wie die Erkennung und Abwehr von Cyberangriffen auf die Kommunikationstechnik des Bundes (Bundes Security Operation Center) gem. § 5 BSIG. Das BSI kooperiert hierbei mit den entsprechenden Organisationseinheiten in den Einrichtungen des Bundes und leistet u. a. durch Detektionsunterstützung und die Herausgabe von Mindeststandards Hilfe bei der Umsetzung der notwendigen Maßnahmen. Eine formelle Leitungsrolle für das BSI im Rahmen der IT-Konsolidierung besteht bislang allerdings nicht. 43. Teilt die Bundesregierung die Auffassung der Fragesteller, wonach gegenwärtig der Bund über kein übergreifendes IT-Risikomanagement- Projekt verfügt, und wenn ja, warum gibt es ein solches bis heute nicht? Ein IT-Risikomanagement ist integraler Bestandteil jedes IT-Projektes und als Teil des Controllings und Projektmanagement grundsätzlich in jedem Projekt zu instanziieren. Bei ressortübergreifenden Projekten wie dem der IT- Konsolidierung Bund sei auf die Antwort zu Frage 24 (übergreifendes Controlling im BKAmt) verwiesen. 44. Teilt die Bundesregierung die Auffassung der Fragesteller, wonach dieses übergreifende IT-Risikomanagement sinnvollerweise ebenfalls beim IT-Rat angesiedelt sein sollte, und wenn ja, warum findet dies in den bisherigen Planungen bislang keine Berücksichtigung? Nein. Der IT-Rat beschließt die politisch-strategischen Vorgaben zur ressortübergreifenden Steuerung der IT des Bundes und ist das zentrale politischstrategische Gremium für übergreifende strategische Themen der Digitalisierung der Bundesverwaltung. Er ist somit für die strategische Steuerung der Informationstechnik in der Bundesverwaltung verantwortlich. Die operativen Aktivitäten zum Informationssicherheitsmanagement in der IT- Konsolidierung werden im BMI bzw. in dessen Geschäftsbereich (BSI) koordiniert und durchgeführt. Das BMI/BSI berichtet dem IT-Rat regelmäßig über die Informationssicherheitslage. 45. Warum gibt es bislang keine übergreifende IT-Sicherheitsrichtlinie zur Vereinheitlichung und Standardisierung der IT-Sicherheit der Bundesbehörden in der IT-Konsolidierung? Auf die Antwort zu Frage 40 wird verwiesen. 46. Welche Behörde hat gegenüber dem einzig verbleibenden IT- Dienstleister des Bundes ITZ Bund Prüfungs- und Kontrollrechte für den Bereich der IT-Sicherheit in Bezug auf dessen Projekte und auf die Umsetzung der für diesen Dienstleister geltenden Vorgaben? Neben den auch für das ITZBund geltenden Prüfrechten des BSI sowie des BRH sehen die zwischen den Gründungsressorts vereinbarten „Gemeinsamen Geschäftsbedingungen zur Zusammenarbeit mit dem ITZBund“, die die Basis der Zusammenarbeit des ITZBund mit seinen Auftraggebern im regelbetrieb abbilden, Regelungen zum Informationssicherheitsmanagement zwischen den Behörden als Auftraggeber und dem ITZBund als Auftragnehmer vor. Die Behörden haben in ihrer Rolle als Kunden des IT-Dienstleisters gemäß BSI-Baustein „OPS. 2.1 Outsourcing für Kunden“ (vgl. www.bsi.bund.de/DE/ Themen/ITGrundschutz/ITGrundschutzKompendium/bausteine/OPS/OPS_2_ 1_Outsourcing_f%C3%BCr_Kunden.html) Prüfrechte hinsichtlich ihrer beim IT-Dienstleister verarbeiteten Daten. Entsprechende Prüfrechte haben der Bundesrechnungshof aufgrund seiner übergeordneten Aufgaben als Kontrollorgan des BMF als Fachaufsicht des ITZBund. Bei entsprechendem Bedarf unterstützt das BSI. 47. Welche konkreten Vorgaben und Strukturen stellen sicher, dass das Bundesministerium der Finanzen (BMF) als weisungsgebende Behörde nicht über den Weg der Steuerung des in seinem Weisungsstrang verbleibenden einzigen Dienstleisters ITZ Bund weitere Anstrengungen der IT-Konsolidierung primär an eigenen Interessen orientiert, sondern dass eine in den Aspekten IT-Sicherheit, Datenschutz, effizienter Einsatz von Steuermitteln, Transparenz und im Ergebnis sowohl bürger- als auch unternehmensfreundliche Dienstleistungen die Gemeinwohlinteressen und die Interessen anderer beteiligter Behörden berücksichtigende IT- Konsolidierung tatsächlich gelingt? Alle strategischen Vorgaben für die Umsetzung der IT-Konsolidierung werden vom Lenkungsausschuss und damit von den Ressorts beschlossen. Im Regelbetrieb bestimmt sich die Leistung des ITZBund ausschließlich nach den mit den jeweiligen Auftraggebern abgeschlossenen Vereinbarungen. 48. Teilt die Bundesregierung die Auffassung der Fragesteller, dass bei der Errichtung des ITZ Bund als Anstalt des öffentlichen Rechts auch Vorschlagsrechte des Bundesamtes für die Sicherheit in der Informationstechnik berücksichtigt werden sollten, und wenn nein, warum nicht? Hält die Bundesregierung einen Verwaltungsrat mit Vertretern mehrerer Ministerien für eine zielführende Struktur für zeitnahe Entscheidungen? Die genaue Ausgestaltung der Anstalt des öffentlichen Rechts (AöR) ITZBund inklusive ihres Verwaltungsrats wird derzeit zwischen den Ressorts abgestimmt. 49. Soweit beschlossen wurde, die VS-NfD-Plattform der BWI nicht auch anderweitig nutzbar zu machen oder auszubauen, wie lautet der Status Quo einer Konsolidierung von VS-NfD-Inhalten? Für den GB BMVg stellt die BWI GmbH eine VS-NfD-fähige Plattform zur Verfügung. Die Erfahrungen daraus bringt die BWI GmbH in die IT-K Bund bereits ein und wird diese Erfahrungen mit dem ITZBund auch in Zukunft teilen. Die Konsolidierung von IT-Lösungen mit der VSA-Einstufung „VS – Nur für den Dienstgebrauch“ ist Bestandteil der IT-Konsolidierung Bund. Die Konzeptionierung und Umsetzung der technischen Plattform erfolgt jeweils nach den Anforderungen der Informationssicherheit und der Verschlusssachenanweisung bis „VS – Nur für den Dienstgebrauch“ und in Abstimmung mit dem BSI. 50. Welche konkreten Mehrwerte hatte man sich von dem Projekt einer vereinheitlichten VS-NfD-Plattform versprochen, und welche Kosten wurden bislang und damit vergebens investiert? Mit der Realisierung von VS-NfD-Plattformen bei den IT-Dienstleistern des Bundes soll die Bereitstellung von Diensten ermöglicht werden, die für die Verarbeitung von Daten bis einschließlich dem Geheimhaltungsgrad „VS – Nur für den Dienstgebrauch“ ausgelegt ist. Sie sollen alle für die Bundesverwaltung relevanten Informationssicherheits-, Datenschutz- und Geheimschutzstandards erfüllen. Das in dieser Umgebung bereitgestellte Diensteportfolio soll cloudfähig gestaltet werden und für die Zukunft performante, skalierbare, kompatible, technologisch auf dem neuesten Stand und kostengünstige Dienste sicherstellen. Die Höhe der an die BWI GmbH zum Zwecke der Grundertüchtigung (u. a. Konzeption und Aufbau einer technischen Plattform) zugeleiteten Projektmittel sind im letzten Fortschrittsbericht aus dem Jahr 2019 ersichtlich. Aus dem Einzelplan 06 wurden der BWI GmbH in den Jahren 2017 und 2018 insgesamt 61,1 Millionen Euro und aus dem Einzelplan 14 insgesamt 28 Millionen Euro zur Verfügung gestellt. Im Jahr 2019 wurden keine darüberhinausgehenden Projektmittel gezahlt. Weiterhin hat die BWI GmbH ihre Absicht bekundet die im Rahmen der IT- Konsolidierung Bund aufgebaute Plattform nach Möglichkeit einer anderen sachgerechten Nutzung (z. B. durch BMVg oder BWI selbst) nach ihrem billigem Ermessen zuzuführen. Vereinheitlichte Plattformen bei den IT-Dienstleistern bieten diverse Vorteile, etwa die Möglichkeit eines standardisierten Betriebs und der zentralen Implementierung von Maßnahmen der IT-Sicherheit. Die Mehrwerte werden weiterhin gesehen. 51. Welchen Ersatz plant die Bundesregierung für die nunmehr nicht mehr fertigzustellende VS-NfD-Plattform, und bis wann hofft die Bundesregierung, damit startklar zu sein? Das ITZBund wird für die IT-Konsolidierung Bund weiterhin technische Plattformen zur Aufnahme von IT-Lösungen mit der VSA-Einstufung „VS – Nur für den Dienstgebrauch“ aufbauen. Gesamtherstellung: H. Heenemann GmbH & Co. KG, Buch- und Offsetdruckerei, Bessemerstraße 83–91, 12103 Berlin, www.heenemann-druck.de Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln, Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.betrifft-gesetze.de ISSN 0722-8333]