Wenn Einsatzfähigkeit zählt: IT-Beschaffung für Sicherheitsbehörden neu gedacht

Bei Behörden entscheidet sich die Qualität einer IT-Lösung nicht allein an Funktionen, Lizenzmodellen oder dem Preis. In Sicherheitsbereichen muss ein System auch dann verlässlich arbeiten, wenn viele Stellen gleichzeitig darauf zugreifen, ein Ausfall besonders weitreichende Folgen hätte oder sensible Informationen geschützt werden müssen. Eine passende Beschaffung beginnt deshalb mit einer präzisen Beschreibung des Arbeitsalltags.

Das gilt für Polizeien, Krisenstäbe und kantonale Verwaltungsstellen ebenso wie für die sicherheitsdirektion kanton zürich. Wer IT für solche Organisationen plant, sollte die spätere Nutzung von Anfang an mitdenken: Wer erfasst Informationen? Wer darf sie sehen? Welche Abläufe müssen auch bei einer Störung weitergehen? Und wie lässt sich prüfen, ob ein Anbieter diese Anforderungen tatsächlich erfüllt?

Eine besondere Perspektive bietet dabei die Beschaffung nach Einsatzfähigkeit. Statt zuerst nach einzelnen Produkten zu suchen, richtet die Behörde ihren Blick auf konkrete Situationen. Das verändert die Auswahl. Ein digitales Fachverfahren muss nicht nur auf dem Papier leistungsfähig sein. Es muss bei Schichtwechseln, hoher Auslastung, mobilen Arbeitsplätzen und zeitkritischen Vorgängen verständlich und stabil bleiben.

Vom Produktkatalog zum Einsatzszenario

Viele Ausschreibungen starten mit einer Liste technischer Eigenschaften. Gefordert werden bestimmte Schnittstellen, Speichergrößen, Verschlüsselungsverfahren oder Reaktionszeiten. Diese Angaben sind notwendig, reichen allein aber nicht aus. Eine Behörde sollte zusätzlich beschreiben, wie Mitarbeitende die Lösung verwenden und welche Folgen ein Fehler im Ablauf hätte.

Ein sinnvolles Szenario kann etwa eine Lagebesprechung sein, bei der Informationen aus mehreren Quellen zusammengeführt werden. Ein anderes Szenario beschreibt die Arbeit unterwegs, wenn Mitarbeitende mit mobilen Geräten auf Akten, Karten oder Meldungen zugreifen. Aus solchen Beispielen entstehen Anforderungen, die näher am tatsächlichen Bedarf liegen als eine reine Aufzählung von Produktmerkmalen.

Auch die beteiligten Rollen verdienen Aufmerksamkeit. Sachbearbeitung, Leitung, externe Partner und technische Administration benötigen oft unterschiedliche Ansichten und Berechtigungen. Die Ausschreibung sollte deshalb klar benennen, welche Nutzergruppen welche Aufgaben erledigen und welche Informationen sie dafür benötigen. Das erleichtert später die Bewertung und verhindert, dass ein System wegen einer unklaren Rollenlogik nachgebessert werden muss.

Sicherheit beginnt vor dem Vertrag

Informationssicherheit lässt sich nicht als einzelne Prüfposition am Ende des Auswahlverfahrens behandeln. Sie gehört in die Grundlagen der Beschaffung. Dazu zählen Anforderungen an Zugriffsrechte, Protokollierung, Verschlüsselung, Datensicherung und den Umgang mit Sicherheitsvorfällen. Ebenso wichtig ist die Frage, wo Daten verarbeitet werden und welche Unterauftragnehmer beteiligt sind.

Die Behörde sollte festlegen, welche Nachweise Anbieter einreichen müssen. Dazu können Sicherheitskonzepte, Prüfberichte, Angaben zur technischen Organisation oder dokumentierte Wiederanlaufverfahren gehören. Entscheidend ist, dass die Nachweise zum Schutzbedarf passen. Eine allgemein gehaltene Selbstauskunft hilft weniger als eine nachvollziehbare Beschreibung, wie ein Anbieter Zugriffe kontrolliert und Vorfälle behandelt.

Auch der Vertragsentwurf braucht klare Regeln. Er sollte festhalten, wie schnell der Anbieter auf Störungen reagiert, welche Informationspflichten bei einem Vorfall gelten und wie die Rückgabe oder Löschung von Daten nach Vertragsende funktioniert. Solche Punkte schaffen eine belastbare Grundlage für den Betrieb und reduzieren spätere Auslegungsfragen.

Bewertung mit realistischen Tests

Ein überzeugendes Angebot entsteht nicht allein durch viele Seiten Dokumentation. Behörden können die Auswahl verbessern, indem sie einen kleinen, realistischen Testfall vorgeben. Anbieter zeigen dabei, wie ihre Lösung eine typische Aufgabe bearbeitet. Die Testaufgabe sollte überschaubar bleiben, aber mehrere Anforderungen verbinden, etwa Rechteverwaltung, Suche, Dokumentation und den Umgang mit einer fehlerhaften Eingabe.

Für die Bewertung empfiehlt sich ein vorher festgelegtes Raster. Neben der technischen Eignung sollten Verständlichkeit, Bedienaufwand, Integrationsfähigkeit und Support betrachtet werden. Auch die Qualität der Einführung gehört dazu. Eine Lösung mit vielen Funktionen kann im Alltag enttäuschen, wenn Schulungen fehlen oder Anpassungen nur mit hohem Aufwand möglich sind.

• Abbildung der wichtigsten Einsatzszenarien
• Verlässliche Rollen- und Berechtigungsverwaltung
• Nachvollziehbare Protokollierung sicherheitsrelevanter Vorgänge
• Klare Schnittstellen zu vorhandenen Fachverfahren
• Belastbarer Support mit definierten Reaktionszeiten
• Plan für Migration, Schulung und laufenden Betrieb

Die Schnittstellen entscheiden über den Alltag

Neue IT-Lösungen arbeiten selten isoliert. Sie müssen Daten aus bestehenden Registern, Dokumentenablagen, Kommunikationssystemen oder Fachverfahren übernehmen. Fehlen passende Schnittstellen, entstehen manuelle Zwischenschritte. Mitarbeitende übertragen Informationen dann mehrfach, kontrollieren unterschiedliche Datenstände und verlieren Zeit bei Aufgaben, die ein integriertes System erledigen könnte.

Die Beschaffung sollte deshalb konkrete Integrationsfälle beschreiben. Welche Daten werden aus welchem System übernommen? In welchem Format liegen sie vor? Wie erkennt die Lösung doppelte, unvollständige oder veraltete Datensätze? Wer entscheidet über Änderungen? Solche Fragen geben Anbietern eine klare Arbeitsgrundlage und helfen der Behörde, technische Abhängigkeiten früh zu erkennen.

Eine Schnittstelle ist zudem eine langfristige Verpflichtung. Die Behörde sollte prüfen, ob sie dokumentiert ist, welche Rechte für ihre Nutzung gelten und wie Änderungen angekündigt werden. Offene Standards können die spätere Ablösung erleichtern, ersetzen aber keine vertragliche Regelung zu Betrieb, Pflege und Verantwortlichkeiten.

Nach der Vergabe beginnt die Belastungsprobe

Mit dem Zuschlag endet die Beschaffung nicht. In den ersten Betriebsmonaten zeigt sich, ob die Lösung die beschriebenen Aufgaben tatsächlich unterstützt. Ein geplanter Übergang hilft dabei. Dazu gehören ein abgestimmter Zeitplan, Verantwortliche auf beiden Seiten, Schulungen für unterschiedliche Nutzergruppen und eine Liste von Abnahmekriterien.

Die Abnahme sollte sich an den ursprünglichen Einsatzszenarien orientieren. Eine Behörde kann prüfen, ob Berechtigungen korrekt greifen, Protokolle vollständig sind, Ausfälle erkannt werden und Nutzer ihre wichtigsten Aufgaben ohne unnötige Umwege erledigen. Werden Abweichungen dokumentiert, lassen sich Nachbesserungen klarer verfolgen.

Auch nach der Einführung braucht die Lösung eine feste Betreuung. Sicherheitsanforderungen ändern sich, Zuständigkeiten wechseln und neue Systeme kommen hinzu. Regelmäßige Überprüfungen der Konten, Schnittstellen und Notfallabläufe halten die Beschaffungsergebnisse im Betrieb stabil. Wer die IT als Teil der organisatorischen Einsatzbereitschaft versteht, bewertet Anbieter, Verträge und Prozesse mit einem anderen Maßstab. Genau dieser Maßstab führt zu Lösungen, die im Verwaltungsalltag belastbar bleiben.