Öffentliche IT-Projekte scheitern selten an einem einzelnen Gerät oder an einer fehlenden Softwarefunktion. Häufiger entstehen Probleme dort, wo Zuständigkeiten, Sicherheitsvorgaben und Arbeitsabläufe aufeinandertreffen. Eine Behörde beschafft deshalb nicht einfach Technik. Sie entscheidet, wie Informationen künftig fliessen, wer darauf zugreifen darf und wie Mitarbeitende ihre Aufgaben im Alltag erledigen.

Ein anschauliches Beispiel liefert die sicherheitsdirektion kanton zürich. Bei einer Sicherheitsdirektion treffen besonders unterschiedliche Anforderungen zusammen: vertrauliche Personendaten, zeitkritische Vorgänge, Zusammenarbeit mit anderen Stellen und ein hoher Anspruch an die Nachvollziehbarkeit. Daraus lässt sich eine Beschaffungsregel ableiten, die auch für kleinere Verwaltungen und öffentliche Betriebe gilt: Die Qualität eines IT-Systems zeigt sich an den Übergängen zwischen Menschen, Anwendungen und Organisationen.

Die unsichtbaren Übergänge im Behördenalltag

Ein System kann technisch stabil laufen und dennoch den Arbeitsprozess bremsen. Das passiert etwa, wenn Mitarbeitende Informationen aus einer Fachanwendung manuell in ein anderes Programm übertragen müssen. Auch doppelte Anmeldungen, unklare Freigaben oder fehlende Suchfunktionen kosten Zeit. In einer Sicherheitsorganisation wiegt das stärker als in vielen anderen Verwaltungsbereichen, weil Verzögerungen die Bearbeitung dringender Fälle beeinflussen können.

Bei der Vorbereitung einer Ausschreibung lohnt sich daher ein Blick auf den gesamten Vorgang. Wer erstellt einen Datensatz? Wer ergänzt ihn? Welche Stelle prüft die Angaben? Wann braucht eine externe Organisation Zugriff? Und wie lässt sich später nachvollziehen, welche Änderung zu welchem Zeitpunkt erfolgt ist? Diese Fragen beschreiben den praktischen Bedarf genauer als eine lange Liste einzelner Produktmerkmale.

Interoperabilität gehört in die Leistungsbeschreibung

Viele Beschaffungen behandeln Schnittstellen erst dann, wenn der Zuschlag bereits erteilt wurde. Das verschiebt eine zentrale Entscheidung in eine Phase, in der Zeitdruck und Abhängigkeiten wachsen. Besser ist es, die erwarteten Übergaben schon in den Ausschreibungsunterlagen zu beschreiben. Dazu gehören Datenformate, Rollenmodelle, Protokollierung, Exportmöglichkeiten und Regeln für den Betrieb.

Eine gute Leistungsbeschreibung fragt nicht nur, ob eine Anwendung eine Funktion besitzt. Sie klärt auch, wie diese Funktion in der vorhandenen Umgebung eingesetzt wird. Kann ein Berechtigungskonzept aus dem zentralen Verzeichnis übernommen werden? Lassen sich Vorgänge über eine dokumentierte Schnittstelle an ein anderes System weitergeben? Können Verantwortliche Daten in einem nutzbaren Format exportieren, wenn die Lösung später ersetzt wird? Solche Punkte schützen die Verwaltung vor unnötigen Insellösungen.

Sicherheit entsteht durch klare Zuständigkeiten

Technische Schutzmechanismen bilden nur einen Teil der Sicherheitsarchitektur. Ebenso wichtig ist die Frage, wer Entscheidungen trifft und wer im Störungsfall handelt. Eine Ausschreibung sollte deshalb Rollen und Reaktionswege abbilden. Der Anbieter muss wissen, welche Informationen bei einer Sicherheitsmeldung benötigt werden. Die Behörde muss festlegen, wer Meldungen entgegennimmt, bewertet und an weitere Stellen weiterleitet.

Besonders hilfreich sind konkrete Szenarien. Ein Szenario kann beschreiben, wie ein kompromittiertes Benutzerkonto gesperrt wird. Ein anderes kann den Zugriff eines externen Partners während eines begrenzten Zeitfensters behandeln. Auch der Ausfall eines zentralen Dienstes gehört in die Planung. Solche Beispiele machen Anforderungen prüfbar und helfen verschiedenen Abteilungen, dasselbe Risiko einheitlich zu bewerten.

Was vor dem Zuschlag geprüft werden sollte

Die Bewertung eines Angebots sollte den späteren Betrieb möglichst realistisch abbilden. Eine Präsentation unter Idealbedingungen reicht dafür kaum aus. Besser sind strukturierte Nachweise und kurze Tests mit typischen Arbeitsabläufen. Dabei sollten Fachabteilung, IT, Datenschutz und Einkauf gemeinsam prüfen, ob die Lösung ihre jeweiligen Anforderungen erfüllt.

• Ein realistischer Prozess wird vom Eingang einer Information bis zur Ablage vollständig durchgespielt.
• Berechtigungen werden mit mehreren Rollen getestet, darunter interne, externe und zeitlich begrenzte Zugänge.
• Die Protokollierung wird anhand konkreter Änderungen und Zugriffe geprüft.
• Export und Import werden mit repräsentativen Datenformaten nachvollzogen.
• Ein Ausfallszenario zeigt, welche Tätigkeiten weiterlaufen können und welche Wiederanlaufzeit der Anbieter zusagt.
• Die Verantwortlichen halten fest, welche Leistungen im Grundpreis enthalten sind und welche später Zusatzkosten auslösen.

Beschaffung endet mit dem Vertrag nicht

Nach dem Zuschlag beginnt die Phase, in der sich die Qualität der Vorbereitung zeigt. Ein System braucht klare Betriebsprozesse, geschulte Nutzer und feste Termine für die Überprüfung von Berechtigungen. Auch Schnittstellen verändern sich. Eine Anwendung erhält Updates, ein Partner wechselt seine technische Plattform oder eine gesetzliche Vorgabe verlangt eine Anpassung. Wer diese Veränderungen früh erfasst, kann reagieren, bevor der Arbeitsablauf ins Stocken gerät.

Ein praktikabler Vertrag enthält deshalb Regeln für Wartung, Sicherheitsmeldungen, Dokumentation und Datenrückgabe. Er beschreibt auch, wie die Behörde bei einem Anbieterwechsel unterstützt wird. Das klingt trocken, entscheidet aber über die langfristige Beweglichkeit einer Organisation. Öffentliche Stellen müssen ihre Systeme über viele Jahre verantworten. Eine Beschaffung, die den späteren Betrieb mitdenkt, senkt Abhängigkeiten und schafft verlässlichere Abläufe.

Der beste Ausgangspunkt für eine neue IT-Beschaffung ist damit nicht der Produktkatalog, sondern der konkrete Weg einer Information durch die Organisation. Wer Übergänge, Rollen und Ausnahmen sauber beschreibt, erhält vergleichbare Angebote und erkennt Schwachstellen früher. Gerade im sicherheitsnahen Umfeld schafft diese Arbeitsweise eine belastbare Verbindung zwischen Technik, Recht und täglicher Verwaltungspraxis.