Bericht zur Informationssicherheit beim Bund 2025
Vorangetrieben wurden insbesondere der Aufbau einer kohärenten Sicherheits- und Lieferkettengovernance, die Ablösung veralteter Systeme sowie die Stärkung der Resilienz gegenüber Cyberbedrohungen. Es waren keine schwerwiegenden Vorfälle zu verzeichnen.
Der Bericht Informationssicherheit Bund 2025 zeigt auf, dass die Bundesverwaltung beim Aufbau der Informationssicherheit weitere Fortschritte erzielt hat. Gleichzeitig benennt der Bericht prioritäre Handlungsfelder für die Stärkung der Informationssicherheit, darunter die flächendeckende Inbetriebnahme von Informationssicherheitsmanagementsystemen (ISMS), die Harmonisierung von Prozessen und Tools, die Weiterentwicklung des Betriebssicherheits- und Personensicherheitsregimes sowie die Verankerung eines wirksamen Lieferantenmanagements.
Der Bericht basiert auf einer strukturierten Umfrage bei den Informationssicherheitsbeauftragten der Departemente (ISBD) und der Bundeskanzlei (BK) sowie auf den Sicherheitsmeldungen und Berichten der internen Leistungserbringer (LE).
Sicherheitsvorfälle im Berichtsjahr
2025 gab es Sicherheitsvorfälle, darunter DDoS-Angriffe, einen Ransomware-Vorfall bei der Gesundheitsstiftung Radix, Schwachstellen in SharePoint-Systemen sowie Phishing- und Spoofing-Vorfälle. Diese Vorfälle blieben ohne schwerwiegende Folgen für Informationen und Daten des Bundes. Die Vorfälle zeigen aber auch, dass Prävention und Stärkung der Resilienz weiterhin wichtig sind.
Stand der Arbeiten in den Departementen
Die Departemente nahmen gezielte organisatorische, technische und prozessuale Anpassungen zur Stärkung der Informationssicherheit vor. Ausgangspunkt bildeten die Überarbeitung der Weisung zur integralen Sicherheit sowie die Anpassung der Beschaffungs- und Projektführungsprozesse unter systematischer Einbindung der Datenschutz- und Informationssicherheitsbeauftragten. Auch Schulungen wurden systematisch durchgeführt, wobei insbesondere bei externen Mitarbeitenden Potenzial für eine höhere Teilnahmerate und eine bessere Erfassung besteht.
Des Weiteren schreitet der Aufbau der Informationssicherheitsmanagementsysteme (ISMS) voran. Der Stand der Umsetzung variiert, insgesamt führen die Arbeiten aber zu einer stärkeren Verankerung der Informationssicherheit in der Bundesverwaltung. Weiterhin bestehen Herausforderungen bei der Harmonisierung von Prozessen und Werkzeugen, bei der Revision technischer Vorgaben, sowie beim Lieferantenmanagement.
Sicherheitsvorgaben und Beratung: die Fachstelle des Bundes für Informationssicherheit
Für die Umsetzung der Informationssicherheit fungiert die Fachstelle des Bundes für Informationssicherheit (FS BIS), angesiedelt beim Staatssekretariat für Sicherheitspolitik SEPOS, als zentrale Anlaufstelle. Sie sorgt für eine einheitliche Anwendung der Sicherheitsvorgaben, berät die verpflichteten Behörden in rechtlichen, organisatorischen sowie technischen Fragen und erlässt Verwaltungsverordnungen zur Sicherung der Verwaltungstätigkeit. Bei schwerwiegenden Informationssicherheitsvorfällen unterstützt sie die betroffenen Stellen, um Risiken zu begrenzen und den Schutz schutzwürdiger Informationen sicherzustellen.
2025 wurde zudem die Grundlage für die Einführung des Informationssicherheitsmanagementsystems DigiSec als standardisierte und bundesweit einheitliche ISMS‑Anwendung gelegt. Mit DigiSec können die sicherheitsrelevanten Managementprozesse digitalisiert, automatisiert und standardisiert werden, in konsequenter Übereinstimmung mit den gesetzlichen Vorgaben. DigiSec soll künftig als gemeinsamer Fachdienst unter Verantwortung des SEPOS betrieben werden.
