Digitalisierungsstrategie erstellen: Schritt für Schritt vom Ist-Zustand zur Roadmap

Warum eine Digitalisierungsstrategie mehr als eine Softwareliste ist

Eine Digitalisierungsstrategie beschreibt, wie digitale Technologien konkrete Ziele unterstützen. Dazu gehören nicht nur neue Anwendungen, sondern auch Prozesse, Verantwortlichkeiten, Daten, Sicherheitsmaßnahmen und die Fähigkeiten der beteiligten Menschen. Wer ausschließlich einzelne Programme beschafft, löst häufig ein lokales Problem, erzeugt aber neue Medienbrüche oder zusätzliche Schnittstellen an anderer Stelle.

Eine belastbare Strategie verbindet deshalb drei Perspektiven: den aktuellen Zustand, den gewünschten Zielzustand und einen umsetzbaren Weg dazwischen. Der Ist-Zustand zeigt, wo Prozesse, Systeme und Kompetenzen stehen. Die Zielperspektive legt fest, welche Verbesserungen erreicht werden sollen. Die Roadmap übersetzt diese Ziele in priorisierte Vorhaben mit Zuständigkeiten, Abhängigkeiten und überprüfbaren Ergebnissen.

Für kleinere wie größere Organisationen ist außerdem eine klare Abgrenzung wichtig. Nicht jede moderne Technologie gehört automatisch auf die Agenda. Cloud-Dienste, Automatisierung, künstliche Intelligenz oder mobile Arbeitsplätze sind Werkzeuge. Ihr Nutzen hängt davon ab, welches Problem gelöst werden soll, welche Daten verarbeitet werden und welche Risiken akzeptabel sind.

Schritt 1: Auftrag, Geltungsbereich und Entscheidungsgremium festlegen

Am Anfang steht ein klarer Auftrag. Die Strategie sollte festhalten, für welchen Bereich sie gilt, welche Ziele verfolgt werden und wer Entscheidungen trifft. Ohne diese Festlegung wachsen Digitalisierungsprojekte leicht zu einer Sammlung nicht verbundener Einzelideen.

Folgende Fragen schaffen eine belastbare Grundlage:

• Welche Organisationseinheiten, Standorte oder Arbeitsabläufe werden betrachtet?
• Welche geschäftlichen, fachlichen oder administrativen Probleme sollen verbessert werden?
• Wer trägt die Verantwortung für die Gesamtentscheidung?
• Welche Fachbereiche, IT-Verantwortlichen, Datenschutz- und Sicherheitsrollen müssen beteiligt werden?
• Welche Rahmenbedingungen gelten für Budget, Beschaffung, Datenhaltung und gesetzliche Anforderungen?

Ein kleines, entscheidungsfähiges Steuerungsgremium kann Anforderungen bündeln und Zielkonflikte sichtbar machen. Die operative Arbeit darf dabei verteilt werden. Wichtig ist, dass Zuständigkeiten schriftlich festgehalten werden. Ein Rollenmodell nach dem Prinzip „verantwortlich“, „entscheidend“, „beratend“ und „zu informieren“ verhindert, dass kritische Aufgaben zwischen Fachbereich und IT verloren gehen.

Der Geltungsbereich sollte weder zu eng noch zu weit ausfallen. Ein Vorhaben zur digitalen Bearbeitung von Eingangsrechnungen kann beispielsweise zunächst einen definierten Prozess betrachten, muss aber angrenzende Systeme, Freigaben, Aufbewahrung und Berechtigungen berücksichtigen.

Schritt 2: Den Ist-Zustand systematisch erfassen

Die Ist-Analyse liefert die Fakten für alle späteren Entscheidungen. Sie sollte nicht bei der vorhandenen Hardware beginnen, sondern bei den Arbeitsabläufen und den dabei entstehenden Informationen. Ein Prozess kann technisch modern wirken und dennoch viele manuelle Übertragungen, unklare Freigaben oder unnötige Wartezeiten enthalten.

Für jeden wichtigen Prozess empfiehlt sich eine standardisierte Bestandsaufnahme:

1. Auslöser und gewünschtes Ergebnis beschreiben.
2. Arbeitsschritte, beteiligte Rollen und Übergaben dokumentieren.
3. Verwendete Anwendungen, Dateien, Schnittstellen und Kommunikationswege erfassen.
4. Medienbrüche, Mehrfacheingaben, Wartezeiten und Fehlerquellen markieren.
5. Verarbeitete Daten, Aufbewahrungsregeln und Zugriffsrechte zuordnen.
6. Abhängigkeiten zu anderen Prozessen und Systemen festhalten.

Ergänzend sollten Anwendungen und technische Komponenten in einem Inventar erfasst werden. Dazu gehören Version, Zweck, verantwortliche Stelle, Datenarten, Integrationen, Lizenzmodell, Supportstatus und bekannte Schwachstellen. Bei Cloud-Diensten kommen Fragen zur Datenregion, zu Unterauftragnehmern, zur Vertragsbeendigung und zur Exportierbarkeit der Daten hinzu.

Die Perspektive der Anwender ist unverzichtbar. Interviews, strukturierte Workshops und die Beobachtung typischer Arbeitsabläufe zeigen oft Probleme, die in Systemdokumentationen nicht auftauchen. Aussagen sollten mit Dokumenten, Prozessdaten oder konkreten Beispielen abgeglichen werden. So werden Einzelfälle nicht vorschnell zu allgemeinen Anforderungen erklärt.

Schritt 3: Reifegrad, Risiken und Engpässe bewerten

Nach der Datensammlung folgt die Bewertung. Ein Reifegradmodell kann dabei helfen, Themen vergleichbar zu machen. Es sollte jedoch kein Selbstzweck sein. Entscheidend ist nicht eine möglichst hohe Bewertung, sondern die Frage, welche Lücken die Zielerreichung behindern.

Bewertet werden können beispielsweise Prozessstandardisierung, Datenqualität, Systemintegration, Automatisierungsgrad, Informationssicherheit, Änderungsfähigkeit und digitale Kompetenzen. Eine nachvollziehbare Skala reicht aus, wenn ihre Kriterien definiert sind. Eine niedrige Ausprägung bei Datenqualität bedeutet etwa, dass Stammdaten uneinheitlich gepflegt werden oder Verantwortlichkeiten fehlen. Eine hohe Ausprägung setzt dagegen dokumentierte Regeln, Zuständigkeiten und überprüfbare Verfahren voraus.

Risiken sollten nach Eintrittswahrscheinlichkeit und möglicher Auswirkung betrachtet werden. Dabei geht es nicht nur um Cyberangriffe. Auch ein Ausfall kritischer Anwendungen, fehlende Wiederherstellungsverfahren, veraltete Schnittstellen, Abhängigkeiten von einzelnen Personen oder unklare Vertragsbedingungen können die digitale Handlungsfähigkeit gefährden.

Für die Sicherheitsbewertung bietet der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik eine anerkannte Orientierung. Datenschutzfragen sollten anhand der konkreten Verarbeitung personenbezogener Daten und der Anforderungen der Datenschutz-Grundverordnung geprüft werden. Eine Strategie ersetzt keine rechtliche oder sicherheitstechnische Prüfung, macht deren Bedarf aber sichtbar.

Schritt 4: Zielbild und messbare Ziele formulieren

Das Zielbild beschreibt, wie digitale Arbeit nach der Umsetzung aussehen soll. Es sollte verständlich genug für Fachbereiche sein und zugleich so konkret, dass daraus Anforderungen abgeleitet werden können. Formulierungen wie „modern arbeiten“ oder „mehr Digitalisierung“ geben keine belastbare Richtung vor.

Ein gutes Zielbild beantwortet unter anderem diese Fragen:

• Welche Prozesse sollen durchgängig digital bearbeitet werden?
• Wo sollen Informationen zentral verfügbar sein, und wer darf darauf zugreifen?
• Welche Entscheidungen sollen durch verlässliche Daten unterstützt werden?
• Welche manuellen Tätigkeiten sollen entfallen, reduziert oder besser kontrolliert werden?
• Wie werden Sicherheit, Datenschutz, Verfügbarkeit und Notfallfähigkeit gewährleistet?
• Welche Kompetenzen benötigen die Nutzerinnen und Nutzer?

Aus dem Zielbild werden konkrete Ziele abgeleitet. Ein Ziel sollte einen Ausgangspunkt, einen gewünschten Zustand, einen Termin oder Zeitraum und eine Messgröße enthalten. Geeignete Messgrößen können die Durchlaufzeit eines definierten Prozesses, die Zahl manueller Übergaben, die Quote vollständig erfasster Datensätze oder die Bearbeitungszeit einer Anfrage sein. Die Messung muss vor der Umsetzung definiert werden, damit später nicht nachträglich passende Ergebnisse gesucht werden.

Bei Qualitätszielen sind qualitative Nachweise möglich. Dazu zählen eine dokumentierte Notfallübung, ein genehmigtes Berechtigungskonzept oder eine abgeschlossene Schulung mit überprüfter Teilnahme. Jede Kennzahl sollte einen klaren Zweck haben. Zu viele Kennzahlen erhöhen den Pflegeaufwand und verwässern die Aufmerksamkeit.

Schritt 5: Anforderungen aus dem Zielbild ableiten

Anforderungen verbinden die strategische Ebene mit der späteren Auswahl von Lösungen. Sie sollten nach Muss-, Soll- und Kann-Kriterien geordnet werden. Zusätzlich ist eine Trennung zwischen funktionalen und nicht funktionalen Anforderungen sinnvoll.

Funktionale Anforderungen beschreiben, was ein System oder Prozess leisten soll. Beispiele sind strukturierte Freigaben, Suchfunktionen, Rollenverwaltung, revisionssichere Protokollierung oder eine definierte Schnittstelle. Nicht funktionale Anforderungen betreffen Eigenschaften wie Verfügbarkeit, Antwortzeit, Barrierearmut, Skalierbarkeit, Protokollierung, Verschlüsselung und Wiederherstellbarkeit.

Besondere Aufmerksamkeit verdienen Daten und Schnittstellen. Vor einer Entscheidung sollte geklärt werden:

• Welche Daten werden erzeugt, verändert, importiert oder exportiert?
• Wer ist für Datenqualität und fachliche Freigabe zuständig?
• Welche Standards oder Formate werden verwendet?
• Wie werden Dubletten, Löschungen und Korrekturen behandelt?
• Welche Programmierschnittstellen oder Exportmöglichkeiten sind verfügbar?
• Wie kann ein Wechsel der Lösung erfolgen, wenn Anforderungen oder Anbieterbedingungen sich ändern?

Ein Anforderungskatalog sollte auch Sicherheits- und Datenschutzvorgaben enthalten. Dazu gehören Mehrfaktor-Authentisierung für privilegierte Zugänge, ein Rollen- und Berechtigungskonzept, Protokollierung sicherheitsrelevanter Vorgänge, regelmäßige Datensicherungen und ein Verfahren für Sicherheitsvorfälle. Die konkrete Ausgestaltung hängt von Schutzbedarf, Datenarten und Einsatzumgebung ab.

Schritt 6: Vorhaben bewerten und sinnvoll priorisieren

Eine Roadmap kann nicht alle wünschenswerten Projekte gleichzeitig enthalten. Priorisierung schafft eine Reihenfolge und macht Zielkonflikte transparent. Dafür werden Vorhaben anhand einheitlicher Kriterien bewertet.

Bewährte Kriterien sind der erwartete Nutzen, die Dringlichkeit, der Beitrag zu strategischen Zielen, die Risikoreduktion, der Aufwand, technische Abhängigkeiten und die Veränderungsfähigkeit der betroffenen Bereiche. Sicherheitsmaßnahmen können eine hohe Priorität erhalten, auch wenn sie keinen unmittelbar sichtbaren Produktivitätsgewinn erzeugen. Sie schützen die Verfügbarkeit, Vertraulichkeit und Integrität digitaler Arbeitsabläufe.

Eine Bewertungsmatrix kann so aufgebaut sein:

Kriterium	Leitfrage	Beispiel für einen Nachweis
Strategischer Beitrag	Unterstützt das Vorhaben ein priorisiertes Ziel?	Zuordnung zu einem dokumentierten Ziel
Nutzen	Welche Verbesserung entsteht für Prozess, Nutzer oder Sicherheit?	Messgröße mit Ausgangswert
Aufwand	Welche Ressourcen, Anpassungen und Betriebsleistungen sind erforderlich?	Grobe Aufwandsschätzung und Rollen
Abhängigkeit	Müssen Daten, Schnittstellen oder Grundlagen vorher geschaffen werden?	Abhängigkeitsliste
Risiko	Welche neuen oder verbleibenden Risiken entstehen?	Risikobewertung und Gegenmaßnahmen

Die Matrix ersetzt keine Entscheidung. Sie sorgt dafür, dass Entscheidungen begründet und später nachvollziehbar bleiben. Ein kleines Vorhaben mit hohem Nutzen und überschaubarem Aufwand kann als Pilot dienen. Ein Vorhaben mit großer Reichweite sollte dagegen erst starten, wenn Daten, Prozesse und Verantwortlichkeiten ausreichend geklärt sind.

Schritt 7: Die Roadmap mit Etappen und Abhängigkeiten entwickeln

Eine Roadmap ist mehr als ein Kalender. Sie zeigt, welche Ergebnisse in welcher Reihenfolge entstehen und welche Voraussetzungen dafür erforderlich sind. Zeitangaben sollten realistisch und als Planwerte gekennzeichnet sein. Der genaue Aufwand hängt von Ausgangslage, Umfang, Datenqualität und verfügbaren Ressourcen ab.

Eine robuste Roadmap enthält für jedes Vorhaben mindestens:

• das zu lösende Problem und das zugehörige strategische Ziel,
• den erwarteten Nutzen und die Messgröße,
• verantwortliche Rollen und beteiligte Fachbereiche,
• benötigte Daten, Schnittstellen und technische Grundlagen,
• Sicherheits-, Datenschutz- und Betriebsanforderungen,
• Entscheidungspunkte, Abnahmekriterien und Rückfalloptionen,
• Schulungs-, Kommunikations- und Supportmaßnahmen.

Die Umsetzung kann in Phasen gegliedert werden. Eine mögliche Reihenfolge lautet: Grundlagen und Bestandsbereinigung, Pilot mit begrenztem Umfang, Auswertung anhand vorher definierter Kriterien, schrittweise Ausweitung und anschließende Betriebsoptimierung. Zwischen den Phasen sollten Entscheidungstore liegen. Dort wird geprüft, ob die Voraussetzungen erfüllt sind oder ob Anpassungen notwendig werden.

Abhängigkeiten verdienen besondere Beachtung. Eine automatisierte Auswertung setzt möglicherweise verlässliche Stammdaten voraus. Eine zentrale Identitätsverwaltung kann vor der Einführung weiterer Cloud-Dienste erforderlich sein. Ein digitales Archiv benötigt Regeln für Aufbewahrung, Zugriff, Löschung und Export. Werden solche Grundlagen übersprungen, verschiebt sich der Aufwand lediglich in spätere Projektphasen.

Schritt 8: Technologie auswählen, ohne sich an ein Produkt zu binden

Die Auswahl einer Lösung sollte aus den Anforderungen hervorgehen. Produktnamen oder Trendbegriffe sind keine Strategie. Vor einer Beschaffung sollten mehrere Lösungswege verglichen werden: bestehende Systeme erweitern, eine standardisierte Anwendung einsetzen, eine individuelle Entwicklung beauftragen oder einen Prozess organisatorisch neu gestalten.

Für die Bewertung sind neben Funktionen auch Betriebs- und Wechselkosten relevant. Zu prüfen sind unter anderem Datenexport, Schnittstellen, Authentisierungsverfahren, Protokollierung, Berechtigungsmodell, Updateverfahren, Support, Verfügbarkeit, Integrationsaufwand und Vertragsbedingungen. Bei extern betriebenen Diensten kommen Fragen zur Datenverarbeitung, zu Unterauftragnehmern, zur Löschung nach Vertragsende und zur Wiederherstellung hinzu.

Ein Pilot sollte eine reale, aber begrenzte Aufgabe abbilden. Er braucht vorher definierte Erfolgskriterien und eine Abbruchmöglichkeit. Testdaten müssen angemessen geschützt werden. Produktive personenbezogene Daten gehören nicht ungeprüft in Testumgebungen. Nach dem Pilot werden nicht nur Funktionen, sondern auch Bedienbarkeit, Prozesspassung, Supportaufwand, Sicherheitskontrollen und Datenqualität bewertet.

Technische Schulden sollten sichtbar bleiben. Eine schnelle Integration über manuelle Exporte kann kurzfristig helfen, darf aber nicht als dauerhafte Architektur ausgegeben werden. Für jede Übergangslösung sollte feststehen, wann sie überprüft, ersetzt oder stabilisiert wird.

Schritt 9: Informationssicherheit und Datenschutz in die Planung integrieren

Sicherheit ist eine Querschnittsaufgabe und kein Prüfschritt am Ende. Schon bei der Ist-Analyse sollte der Schutzbedarf der Daten und Prozesse betrachtet werden. Vertraulichkeit, Integrität und Verfügbarkeit können je nach Anwendungsfall unterschiedlich wichtig sein.

Zum Mindestumfang einer strategischen Planung gehören:

• ein dokumentiertes Rollen- und Berechtigungskonzept nach dem Prinzip notwendiger Zugriffe,
• starke Authentisierung für besonders geschützte oder administrative Zugänge,
• regelmäßige, getestete Datensicherungen mit geschütztem Zugriff,
• Update- und Schwachstellenmanagement für Systeme und Geräte,
• Protokollierung sicherheitsrelevanter Ereignisse und definierte Aufbewahrung,
• ein Verfahren zur Meldung, Bewertung und Behandlung von Sicherheitsvorfällen,
• Notfallpläne mit benannten Verantwortlichkeiten und Wiederanlaufprioritäten.

Datenschutz sollte bereits bei der Gestaltung berücksichtigt werden. Zu klären sind Zweck, Rechtsgrundlage, Datenumfang, Zugriffsrechte, Aufbewahrung und Löschung. Datenminimierung bedeutet, nur Informationen zu erheben und zu speichern, die für den festgelegten Zweck erforderlich sind. Bei neuen Verarbeitungen mit voraussichtlich hohem Risiko kann eine Datenschutz-Folgenabschätzung erforderlich sein. Die Prüfung sollte durch fachkundige zuständige Stellen erfolgen.

Auch Lieferanten- und Schnittstellenrisiken gehören in die Betrachtung. Ein sicherer Dienst kann durch unsichere Konten, falsch konfigurierte Freigaben oder fehlende Überwachung gefährdet werden. Verantwortlichkeiten müssen deshalb über Systemgrenzen hinweg dokumentiert sein.

Schritt 10: Menschen, Fähigkeiten und Veränderung berücksichtigen

Neue Technik verändert Aufgaben, Rollen und Entscheidungswege. Widerstände entstehen häufig nicht aus grundsätzlicher Ablehnung, sondern aus fehlender Information, zusätzlichem Aufwand oder unklaren Auswirkungen auf den Arbeitsalltag. Eine Digitalisierungsstrategie braucht deshalb ein eigenes Veränderungskonzept.

Zu Beginn sollte geklärt werden, welche Nutzergruppen betroffen sind und welche Tätigkeiten sich verändern. Daraus lassen sich Schulungsformate ableiten: Einführungstrainings, rollenbezogene Übungen, kurze Nachschlagehilfen und Support für die erste Nutzungsphase. Schulungen sollten an realen Abläufen ansetzen und Sicherheitsregeln einschließen.

Fachbereiche sollten nicht erst bei der Abnahme beteiligt werden. Sie kennen Ausnahmen, informelle Arbeitsschritte und praktische Hindernisse. Rückmeldungen aus Pilotphasen müssen dokumentiert, bewertet und entweder umgesetzt oder begründet abgelehnt werden. Für den laufenden Betrieb braucht es klare Ansprechstellen, Eskalationswege und eine Pflege der Dokumentation.

Kompetenzen können durch interne Weiterbildung, externe Unterstützung oder eine Kombination aufgebaut werden. Entscheidend ist, dass kritisches Wissen nicht ausschließlich bei einer einzelnen Person oder einem einzelnen Dienstleister liegt. Übergaben, technische Dokumentation und Vertretungsregelungen erhöhen die Betriebsfähigkeit.

Schritt 11: Umsetzung steuern und Wirkung überprüfen

Nach der Freigabe der Roadmap beginnt die eigentliche Steuerungsarbeit. Jedes Vorhaben benötigt einen klaren Auftrag, ein begrenztes Ergebnis und eine Regelung für Änderungen. Neue Anforderungen sollten bewertet werden, bevor sie in den Umfang aufgenommen werden. Andernfalls verliert die Roadmap ihre Verbindlichkeit.

Ein regelmäßiges Berichtswesen sollte wenige, aussagekräftige Informationen liefern: erreichte Ergebnisse, offene Entscheidungen, Risiken, Abweichungen, Ressourcenbedarf und nächste Meilensteine. Ampelfarben können einen Überblick geben, ersetzen aber keine Erläuterung. Besonders bei Sicherheits- und Datenschutzrisiken muss die konkrete Auswirkung beschrieben werden.

Die Wirkung wird anhand der vorher festgelegten Messgrößen geprüft. Dabei sollte auch nach unbeabsichtigten Folgen gefragt werden. Ein Prozess kann schneller werden, während Fehler oder Rückfragen zunehmen. Eine neue Anwendung kann mehr Transparenz schaffen, aber durch zu weit gefasste Zugriffe ein Datenschutzrisiko erzeugen. Nachsteuerung ist daher ein normaler Bestandteil der Strategie.

Mindestens nach Abschluss größerer Etappen sollte die Planung aktualisiert werden. Technische Rahmenbedingungen, gesetzliche Anforderungen, Bedrohungen und interne Prioritäten verändern sich. Eine Roadmap ist ein lebendes Steuerungsdokument und keine einmalige Präsentation.

Typische Fehler bei der Erstellung einer Digitalisierungsstrategie

Mehrere Muster führen regelmäßig zu unnötigem Aufwand oder enttäuschenden Ergebnissen:

• Technik vor Problem: Eine Anwendung wird ausgewählt, bevor Prozess, Ziel und Nutzen geklärt sind.
• Unvollständige Ist-Analyse: Schattenprozesse, Tabellen und manuelle Übergaben bleiben unsichtbar.
• Unklare Verantwortung: Fachbereich, IT und Datenschutz gehen von unterschiedlichen Zuständigkeiten aus.
• Keine Datenstrategie: Systeme werden verbunden, obwohl Begriffe, Stammdaten und Datenqualität nicht geregelt sind.
• Sicherheit als Nachtrag: Berechtigungen, Sicherungen und Notfallverfahren werden erst kurz vor dem Start geprüft.
• Zu große erste Phase: Ein umfassendes Programm wird gestartet, ohne Annahmen in einem begrenzten Pilot zu testen.
• Fehlende Betriebsplanung: Nach der Einführung sind Support, Updates, Lizenzverwaltung und Verantwortlichkeiten ungeklärt.
• Messgrößen ohne Zweck: Es werden viele Daten gesammelt, ohne daraus Entscheidungen abzuleiten.

Die Gegenmittel sind nachvollziehbare Kriterien, begrenzte Etappen, dokumentierte Entscheidungen und regelmäßige Überprüfung. Eine Strategie gewinnt an Qualität, wenn auch bewusst festgehalten wird, was zunächst nicht umgesetzt wird und warum.

Praktische Vorlage für das Strategiedokument

Ein kompakter Aufbau erleichtert die Abstimmung und spätere Pflege. Das Dokument kann folgende Kapitel enthalten:

1. Auftrag und Geltungsbereich: Zweck, betroffene Bereiche, Annahmen und Entscheidungsrollen.
2. Ist-Zustand: Prozesse, Systeme, Daten, Schnittstellen, Kompetenzen und Risiken.
3. Bewertung: Reifegrad, Handlungsfelder, Abhängigkeiten und dringende Lücken.
4. Zielbild: gewünschte Arbeitsweise, Sicherheitsniveau, Daten- und Systemprinzipien.
5. Ziele und Messgrößen: konkrete Ergebnisse, Ausgangswerte, Zielwerte und Prüfzeitpunkte.
6. Vorhabenportfolio: Beschreibung, Nutzen, Aufwand, Risiken, Verantwortliche und Priorität.
7. Roadmap: Phasen, Meilensteine, Entscheidungstore und Abhängigkeiten.
8. Betriebs- und Sicherheitsmodell: Support, Berechtigungen, Sicherung, Notfall und Datenschutz.
9. Kommunikation und Befähigung: Zielgruppen, Schulungen, Dokumentation und Rückmeldeschleifen.
10. Governance: Entscheidungswege, Änderungsmanagement, Berichtswesen und Aktualisierung.

Vor der Freigabe sollte jede geplante Maßnahme auf drei Ebenen geprüft werden: Passt sie zum Zielbild? Ist sie unter den vorhandenen Bedingungen umsetzbar? Kann ihr Nutzen oder ihre Risikoreduktion später nachvollziehbar belegt werden? Bleibt eine dieser Fragen offen, braucht das Vorhaben zunächst eine Klärungsphase.

FAQ zur Digitalisierungsstrategie

Wie lang sollte eine Digitalisierungsstrategie sein?

Die Länge hängt von Umfang und Komplexität ab. Entscheidend sind nachvollziehbare Inhalte, nicht ein bestimmter Seitenumfang. Ein übersichtliches Entscheidungsdokument kann durch Anhänge mit Prozesskarten, Inventaren, Risikoanalysen und Anforderungen ergänzt werden.

Wer sollte an der Erstellung beteiligt sein?

Die Kernarbeit sollte Fachbereiche, IT, Informationssicherheit, Datenschutz und die für Entscheidungen zuständigen Rollen einbeziehen. Je nach Thema können Einkauf, Recht, Betrieb und besonders betroffene Nutzergruppen hinzukommen. Die Beteiligung muss zur Verarbeitung und zum Schutzbedarf passen.

Wann lohnt sich ein Pilot?

Ein Pilot eignet sich, wenn zentrale Annahmen noch unsicher sind und sich Nutzen, Bedienbarkeit, Datenqualität oder Integration in einem begrenzten Umfang prüfen lassen. Vor Beginn müssen Erfolgskriterien, Testdaten, Verantwortlichkeiten und eine Abbruch- oder Anpassungsentscheidung feststehen.

Wie werden Cloud-Dienste strategisch bewertet?

Neben Funktionen und Kosten sind Datenverarbeitung, Zugriffsmodell, Sicherheitsnachweise, Verfügbarkeit, Vertragsbedingungen, Unterauftragnehmer, Exportmöglichkeiten und die Beendigung des Dienstes zu prüfen. Die Bewertung sollte sich am Schutzbedarf der betroffenen Daten und Prozesse orientieren.

Wie bleibt die Roadmap aktuell?

Sie sollte regelmäßig anhand von Fortschritt, neuen Risiken, geänderten Anforderungen und verfügbaren Ressourcen überprüft werden. Eine Änderung braucht eine dokumentierte Entscheidung. So bleibt erkennbar, welche Vorhaben verschoben, angepasst oder bewusst nicht weiterverfolgt werden.