Webentwicklung für den öffentlichen Sektor: Behörden und öffentliche Unternehmen

Q: Braucht der Website-Dienstleister eine zertifizierte Informationssicherheit?

In Spanien legt das Nationale Sicherheitsschema (ENS), Real Decreto 311/2022, die Sicherheitsmaßnahmen für Systeme fest, die der Verwaltung dienen, und gilt auch für Unternehmen, die ihr Leistungen erbringen: Die Ausschreibungen verlangen es. Für die Kategorien MITTEL und HOCH ist eine Zertifizierung durch eine akkreditierte Stelle nötig. Kiwop ist seit September 2026 im ENS in der Kategorie MITTEL zertifiziert, außerdem nach ISO/IEC 27001, dem in ganz Europa anerkannten Sicherheitsstandard.

Wir entwickeln, migrieren und warten Websites und Plattformen öffentlicher Einrichtungen: barrierefrei nach der Norm EN 301 549, auf der die EU-Vorgaben zur Barrierefreiheit öffentlicher Websites beruhen, abgesichert nach dem spanischen Nationalen Sicherheitsschema (ENS) und ISO/IEC 27001, in beiden sind wir zertifiziert, auf Open Source und ohne eine einzige URL zu verlieren, wenn ein Versionswechsel ansteht. Fünfzehn Websites von barcelona.cat und die Website des öffentlichen Energieunternehmens der Generalitat de Catalunya belegen es.

Über mein Projekt sprechen Was wir machen

15 Websites von barcelona.cat entwickelt und auf Drupal 10 migriert
ENS Kategorie MITTEL, zertifiziert 2026
RELI Seit 2019 im Bieterregister Kataloniens

01 · Anforderungen Was das Geschäft braucht
02 · Architektur Dokumentierte Entscheidungen
03 · Code Geprüft und getestet
04 · Deployment Automatisch und umkehrbar
05 · Performance Core Web Vitals im grünen Bereich
06 · Weiterentwicklung Ihr Team fragt, wir liefern
Jede Kennzahl bestimmt die nächste Iteration

Scroll

Definition

Was ist Webentwicklung für den öffentlichen Sektor?

Das ist Konzeption, Entwicklung und Wartung von Websites, Portalen und Plattformen für Verwaltungen, Behörden und öffentliche Unternehmen, mit den Anforderungen, die das Gesetz an sie stellt und die eine private Website nicht hat: verpflichtende Barrierefreiheit, nachweisbare Informationssicherheit, Transparenz, mehrere Amtssprachen und Vergabe über öffentliche Ausschreibungen.

In der EU müssen Websites und Apps öffentlicher Stellen Anforderungen an die Barrierefreiheit erfüllen, die auf der harmonisierten Norm EN 301 549 beruhen; diese verweist formal auf WCAG 2.1 Stufe AA. In Deutschland gilt für öffentliche Stellen die BITV 2.0, in Spanien das Real Decreto 1112/2018. Die Sicherheit der Systeme, die der spanischen Verwaltung dienen, regelt das Nationale Sicherheitsschema (ENS), Real Decreto 311/2022, das auch für die Unternehmen gilt, die ihr Leistungen erbringen.

Zusammenfassung

Was eine öffentliche Einrichtung von ihrem Webdienstleister erwartet und wie wir es erfüllen.

Eine öffentliche Website kann sich nicht leisten, was sich eine private manchmal leistet: dass ein Screenreader nicht durchkommt, dass eine Migration Links bricht, die seit Jahren in Amtsblättern und Suchmaschinen stehen, oder dass nur der Dienstleister weiß, wie man veröffentlicht. Deshalb ist die Messlatte nicht nur technisch. Sie heißt geprüfte Barrierefreiheit, Sicherheit, die sich in einer Ausschreibung nachweisen lässt, Open Source, das die Einrichtung zu einem anderen Anbieter mitnehmen kann, und Kommunikationsteams, die selbstständig veröffentlichen.

Wir haben das in großem Maßstab umgesetzt. Vier Jahre lang haben wir fünfzehn Websites des Kulturinstituts von Barcelona (ICUB) innerhalb von barcelona.cat entwickelt und gewartet (Festivals, Museen und Beteiligungsgremien) und sie unter Erhalt von Inhalten und URLs von Drupal 7, 8 und 9 auf Drupal 10 migriert. Außerdem haben wir in Laravel die Website von L’Energètica entwickelt, dem öffentlichen Energieunternehmen der Generalitat de Catalunya, mit Transparenzportal, Stellenangeboten im öffentlichen Dienst und Hinweisgeberkanal in vier Sprachen, im Rahmen eines im Dezember 2023 vergebenen Auftrags.

Wir arbeiten mit denselben Kontrollen, die öffentliche Verwaltungen verlangen: Seit September 2026 sind wir nach dem spanischen Nationalen Sicherheitsschema (Kategorie MITTEL), ISO/IEC 27001 und ISO/IEC 42001 zertifiziert und seit 2019 im offiziellen Bieterregister Kataloniens eingetragen. Wir beteiligen uns an öffentlichen Ausschreibungen und verfassen das technische Angebot mit Blick auf diejenigen, die die Leistungsbeschreibung schreiben.

15 Websites von barcelona.cat
D7→D10 Migration mit Inhalten und URLs
3 Zertifizierungen: ENS, ISO 27001 und ISO 42001

Leistungsumfang

Was eine öffentliche Website erfüllen muss

Die Anforderungen, die wir in jedem Projekt prüfen, von der Leistungsbeschreibung bis zur Wartung.

Barrierefreiheit nach WCAG 2.2 AA, die die WCAG 2.1 AA abdeckt, auf die die EN 301 549 verweist, manuell mit Tastatur und Screenreader geprüft
Erklärung zur Barrierefreiheit gemäß EN 301 549, veröffentlicht und bei jeder Änderung der Website aktualisiert
Sicherheit nach dem ENS: persönliche Zugänge, Aktivitätsprotokolle, Backups, Patches und Schwachstellenmanagement
Open Source: Drupal, Laravel oder der Stack, den die Einrichtung vorgibt, mit Code und Daten in ihrer Hand
Mehrere Amtssprachen pro Website, mit Übersetzungsabläufen, die das Kommunikationsteam steuert
Transparenz, Stellenangebote und Hinweisgeberkanal, mit Rollen, die trennen, was jede Abteilung veröffentlicht
Migrationen ohne URL-Verlust: Inventar, Weiterleitungen und geprüfte Inhalte, bevor die alte Version abgeschaltet wird
Nachvollziehbare Deployments: Konfiguration in Git und Pipeline, nichts wird in der Produktion von Hand geändert
Redaktionelle Eigenständigkeit: Inhaltshandbuch und Schulung, damit der Alltag nicht vom Dienstleister abhängt

Kernpunkte

Was wir für öffentliche Einrichtungen machen

Sechs Projektarten, die wir in Verwaltungen, Zweckverbänden und öffentlichen Unternehmen sehen.

01
Websites von Institutionen und Einrichtungen

Websites von Kommunen, Behörden, Museen, Festivals und öffentlichen Diensten, mit Inhaltstypen für die Menschen, die täglich veröffentlichen. Innerhalb der Unternehmensplattform der Einrichtung, wenn es eine gibt, wie bei den Profilen und Themes von barcelona.cat, und nicht gegen sie.
02
Landschaften aus vielen Websites

Wenn eine Einrichtung Dutzende Websites betreibt, besteht die Herausforderung darin, dass keine bei der Version zurückbleibt. Dasselbe Deployment-Rezept, dieselbe Komponentenbasis und dieselbe Messlatte bei Barrierefreiheit und Sicherheit für alle. Mehr dazu unter Drupal-Entwicklung.
03
Versions- und Plattformmigrationen

Von Drupal 7, 8 oder 9 auf Drupal 10 oder von einem CMS ohne Support auf eines mit Support. Inventar des Bestands, Migration von Inhalten und URLs, Weiterleitungen und Prüfung vor dem Umstieg. Genau das haben wir mit den fünfzehn Websites des ICUB gemacht.
04
Barrierefreiheit und Erklärung zur Barrierefreiheit

Audit nach WCAG 2.2 AA, Korrektur im Code (keine Overlays) und Erklärung zur Barrierefreiheit gemäß EN 301 549. Wenn Sie nur diesen Teil brauchen, finden Sie ihn unter Web-Barrierefreiheit.
05
Individuelle Plattformen für öffentliche Unternehmen

Wenn das CMS nicht reicht: Verwaltungsoberflächen mit Rollen pro Abteilung, Stellenbesetzung im öffentlichen Dienst mit Bewerbungen und Unterlagen, Hinweisgeberkanal mit Verlauf und Daten aus den Systemen der Einrichtung. Wie die Website von L’Energètica in Laravel.
06
Wartung und laufende Sicherheit

Patches, Backups, Überwachung und Weiterentwicklung, mit einem sichtbaren Protokoll jedes Eingriffs. Mehr dazu unter Website-Wartung und, falls die Einrichtung ihr eigenes Managementsystem für Informationssicherheit führen muss, unter Nexo SGSI.

Warum

Öffentliche Vergabe: Wir beteiligen uns an Ausschreibungen

Was eine technische Leistungsbeschreibung verlangt und was wir im Angebot mitbringen.

Die meisten öffentlichen Projekte kommen über eine Ausschreibung. Wir sind seit November 2019 im Register der Bieterunternehmen Kataloniens (RELI) eingetragen und haben eine aktive Registrierung bei SAM.gov, dem Vergabesystem der US-Bundesbehörden. Ausschreibungen für öffentliche Websites verlangen meist dasselbe: technische Leistungsfähigkeit mit vergleichbaren Projekten, ein Team mit definierten Profilen, ein Barrierefreiheitskonzept, zertifizierte Informationssicherheit (in Spanien ist das ENS Standardanforderung) und einen Übergangsplan für die Übernahme und Rückgabe des Dienstes. Wir verfassen das technische Angebot so, dass es diese Kriterien Punkt für Punkt beantwortet, mit echten Projekten dahinter, nicht mit einer Vorlage. Wenn Ihre Einrichtung gerade die Leistungsbeschreibung erstellt, sagen wir Ihnen auch, was sinnvoll zu fordern ist.

technisches-angebot.yaml

# Was wir in einem Angebot nachweisen

sicherheit:

ens: Kategorie MITTEL, zertifiziert

iso_27001: zertifiziert

barrierefreiheit:

ziel: WCAG 2.2 AA (EN 301 549)

- RELI (Katalonien), seit 2019

- SAM.gov (USA)

uebergang:

Code, Daten und Zugänge der Einrichtung

Mittel ENS
Seit 2019 RELI
WCAG 2.2 AA Barrierefreiheit

So arbeiten wir

Von der Ausschreibung oder dem ersten Termin bis zu einer Website, die die Einrichtung selbst steuert.

01
Inventar

Bestandsaufnahme, bevor wir etwas anfassen: Websites, Versionen, Module, Inhalte, URLs, Integrationen, Zugänge und wer was veröffentlicht. Ohne Inventar verliert eine öffentliche Migration Links.
02
Architektur und Barrierefreiheit von Anfang an

Inhaltstypen, Rollen pro Abteilung, Sprachen und Vorlagen, die WCAG 2.2 AA ab der ersten Komponente erfüllen, statt am Ende korrigiert zu werden.
03
Entwicklung und Migration

Versionierte Konfiguration in Git, Deployments über eine Pipeline, Migration der Inhalte mit ihren URLs und Weiterleitungen für alles, was sich ändert. Jede Lieferung wird mit Tastatur und Screenreader geprüft.
04
Go-live

Die alte Version läuft bis zum Umstieg weiter. Wir prüfen Inhalte, Links und Formulare vorher und nachher, mit vorbereitetem Rollback.
05
Schulung und Eigenständigkeit

Inhaltshandbuch und Schulung der Redakteure, damit das Kommunikationsteam veröffentlichen kann, ohne von uns abzuhängen. Und Wartung, wenn die Einrichtung sie wünscht.

Für wen

Passt das zu Ihnen?

Es passt, wenn die Website ein öffentlicher Dienst ist und das Gesetz erfüllen muss, nicht nur funktionieren.

Für wen

Kommunen, Kreise, regionale Körperschaften und Behörden mit Websites, die migriert oder neu aufgebaut werden müssen.
Öffentliche Unternehmen und Zweckverbände, die Transparenz, Stellenangebote und einen Hinweisgeberkanal auf ihrer Website brauchen.
Einrichtungen mit vielen Websites (Häuser, Festivals, Museen), die auf Versionen ohne Support stehen geblieben sind.
Abteilungen, die eine Website-Ausschreibung vorbereiten und einen Anbieter mit zertifizierter Sicherheit und vergleichbaren öffentlichen Projekten suchen.
Öffentliche Stellen, die die Barrierefreiheitsanforderungen der EN 301 549 erfüllen müssen und nicht wissen, wo sie stehen.

Für wen nicht

Aufträge, bei denen nur der niedrigste Preis für eine Vorlage zählt: Unser Angebot stützt sich auf echte Barrierefreiheit und Migrationen, die nichts verlieren.
Projekte, die die Kategorie HOCH des spanischen Nationalen Sicherheitsschemas verlangen: Heute sind wir in der Kategorie MITTEL zertifiziert.
Einrichtungen, die nur ein einmaliges Barrierefreiheits-Audit wollen: Dafür passt unser Service Web-Barrierefreiheit besser.

Lieferumfang

Was wir liefern

Was am Ende in der Hand der Einrichtung bleibt.

Enthalten

Website oder Plattform in Produktion, mit Code und Konfiguration im Repository der Einrichtung
Barrierefreiheitsbericht nach WCAG 2.2 AA und Erklärung zur Barrierefreiheit gemäß EN 301 549
Übersicht der migrierten URLs und Weiterleitungen für die geänderten
Deployment-Pipeline und technische Dokumentation
Inhaltshandbuch und Schulung der Redakteure
Übergangsplan, damit ein anderer Anbieter übernehmen kann, wenn die Einrichtung das entscheidet

Nicht enthalten

Hosting, Lizenzen Dritter und Domainzertifikate (separat kalkuliert oder von der Einrichtung gestellt)

Der Beweis

Öffentliche Projekte, die es belegen

Vier Jahre lang haben wir fünfzehn Websites des Kulturinstituts von Barcelona auf barcelona.cat entwickelt und gewartet: die Festivals der Stadt, ihre Museen und ihre Beteiligungsgremien, auf Katalanisch, Spanisch und Englisch. Wir haben die Landschaft unter Erhalt von Inhalten und URLs von Drupal 7, 8 und 9 auf Drupal 10 migriert, 22 virtuelle Ausstellungen des Stadtarchivs neu veröffentlicht und die Kommunikationsteams so geschult, dass sie selbstständig veröffentlichen. Für L’Energètica, das öffentliche Unternehmen für erneuerbare Energie der Generalitat de Catalunya, haben wir 2024 und 2025 eine individuelle Website in Laravel entwickelt, mit Transparenzportal nach dem katalanischen Gesetz 19/2014, Stellenangeboten im öffentlichen Dienst, Hinweisgeberkanal und vier Sprachen; seit 2026 hostet sie ein anderer Anbieter, und sie läuft weiter mit unserem Code. Genau das muss eine öffentliche Einrichtung können. Bei der Barrierefreiheit erfüllt das Portal der Fundació Ampans WCAG 2.1 AA.

15 Websites von barcelona.cat entwickelt und migriert
22 Virtuelle Ausstellungen in Drupal 10 neu veröffentlicht
4 Sprachen der Website von L’Energètica
2009 Wir entwickeln Websites seit

Für den CTO

Zusammenfassung für die technische Leitung

Wie wir es intern umsetzen.

In Drupal arbeiten wir mit in Git exportierter Konfiguration und Deployments über eine Pipeline (GitLab CI beim ICUB, mit lokalen DDEV-Umgebungen), sodass eine Strukturänderung geprüft und ausgerollt und nie von Hand in der Produktion geändert wird. Dasselbe Rezept dient fünfzehn Websites. Versionsmigrationen beginnen mit einem Inventar von Modulen, Themes und URLs, und Inhalte werden mit ihren Pfaden migriert; was sich ändert, bekommt seine Weiterleitung.

Barrierefreiheit wird bei jeder Lieferung mit axe-core und manuell mit Tastatur und Screenreader getestet, weil automatische Werkzeuge nur einen Teil der Barrieren erkennen. Die Sicherheit folgt den Kontrollen, für die wir nach dem ENS zertifiziert sind: Zugang mit persönlichem Schlüssel jedes Technikers, Zugangsdaten in einem verschlüsselten Passwortmanager, geprüfte Backups, Patches nach Sicherheitshinweisen und ein Protokoll jedes Eingriffs. Bei mehrsprachigen Websites mit viel Inhalt kann die Übersetzung KI-gestützt erfolgen, wobei HTML und Links erhalten bleiben, wie bei L’Energètica, und das Original immer unverändert bleibt.

Technologien

Drupal 10
Laravel
PHP 8.3
MySQL
PostgreSQL
Redis
Twig
GitLab CI/CD
DDEV
axe-core

Versionierte Konfiguration und Deployments über Pipeline
Migrationen mit vorherigem Inventar, erhaltenen URLs und Weiterleitungen
Barrierefreiheit bei jeder Lieferung geprüft, automatisch und manuell
Persönliche Zugänge, verschlüsselte Zugangsdaten und Eingriffsprotokoll
Code und Daten gehören der Einrichtung, kein Lock-in beim Anbieter

Risiken und wie wir sie abdecken

Die Risiken, die wir vermeiden

Was wir sehen, wenn wir eine geerbte öffentliche Website übernehmen.

01
Eine Migration, die Links aus Amtsblättern, Suchmaschinen und anderen Websites bricht

Abhilfe
URL-Inventar vor dem Start, Migration der Inhalte mit ihren Pfaden und Weiterleitung für alles, was sich ändert, geprüft, bevor die alte Version abgeschaltet wird.
02
Websites, die auf einer Version ohne Support stehen bleiben

Abhilfe
Ein einziges Deployment-Rezept und ein Update-Kalender für die gesamte Landschaft, damit keine Website zurückbleibt.
03
Barrierefreiheit, die am Launch-Tag stimmt und mit der Nutzung verloren geht

Abhilfe
Standardmäßig barrierefreie Komponenten, Prüfung bei jeder Lieferung und Schulung der Redakteure zu dem, was von ihnen abhängt: Alternativtexte, Überschriften und Dokumente.
04
An einen Anbieter gebunden zu sein, der als Einziger weiß, wie man veröffentlicht

Abhilfe
Open Source, Code und Daten der Einrichtung, Dokumentation und Übergangsplan. L’Energètica hat 2026 den Anbieter gewechselt, und die Website funktioniert weiter.

Technologien

Technologien und Standards

Mit denen wir öffentliche Websites bauen und prüfen.

Drupal 10
Laravel
PHP
Symfony
MySQL
PostgreSQL
Redis
GitLab CI/CD
WCAG 2.2
EN 301 549
WAI-ARIA
axe-core
ENS
ISO/IEC 27001

Häufige Fragen

Häufige Fragen zu Websites für den öffentlichen Sektor

Was uns Verantwortliche aus Kommunikation und IT fragen.

Welche Regeln zur Barrierefreiheit gelten für Websites öffentlicher Stellen?

Die EU-Vorgaben zur Barrierefreiheit öffentlicher Websites verlangen, dass Websites und Apps öffentlicher Stellen die harmonisierte Norm EN 301 549 erfüllen, die formal auf WCAG 2.1 Stufe AA verweist. Für öffentliche Stellen in Deutschland gilt weiterhin die BITV 2.0, in Spanien das Real Decreto 1112/2018. Wir prüfen und entwickeln nach WCAG 2.2 AA, das diese Kriterien abdeckt und die neuen der Version 2.2 ergänzt.

Braucht der Website-Dienstleister eine zertifizierte Informationssicherheit?

In Spanien legt das Nationale Sicherheitsschema (ENS), Real Decreto 311/2022, die Sicherheitsmaßnahmen für Systeme fest, die der Verwaltung dienen, und gilt auch für Unternehmen, die ihr Leistungen erbringen: Die Ausschreibungen verlangen es. Für die Kategorien MITTEL und HOCH ist eine Zertifizierung durch eine akkreditierte Stelle nötig. Kiwop ist seit September 2026 im ENS in der Kategorie MITTEL zertifiziert, außerdem nach ISO/IEC 27001, dem in ganz Europa anerkannten Sicherheitsstandard.

Beteiligen Sie sich an öffentlichen Ausschreibungen?

Ja. Wir sind seit dem 7. November 2019 im Register der Bieterunternehmen Kataloniens (RELI) eingetragen und haben eine aktive Registrierung bei SAM.gov (USA). Wir erstellen das technische Angebot mit vergleichbaren öffentlichen Projekten, zertifizierter Sicherheit und einem Barrierefreiheits- und Übergangskonzept.

Warum Drupal für eine öffentliche Website?

Weil es Open Source ist, in institutionellen Umgebungen ausgereift, gut mit mehreren Sprachen, Rollen und Veröffentlichungsabläufen umgeht und eine Community hat, die ihre Sicherheitshinweise veröffentlicht. Es ist nicht die einzige Option: Wenn das Projekt eigene Logik braucht (Stellenbesetzung, Hinweisgeberkanal, Daten aus anderen Systemen), setzen wir Laravel ein, wie bei L’Energètica.

Wie migrieren Sie eine öffentliche Website, ohne URLs oder Rankings zu verlieren?

Wir beginnen mit einem Inventar aller URLs und Inhalte. Wir migrieren die Inhalte unter Erhalt ihrer Pfade, leiten alles weiter, was sich ändert, und prüfen das, bevor die alte Version abgeschaltet wird. So haben wir die fünfzehn Websites des ICUB von Drupal 7, 8 und 9 auf Drupal 10 migriert.

Was ist mit Drupal 7, wenn unsere Einrichtung es noch nutzt?

Drupal 7 hat keinen Community-Support mehr, also bleibt jede neue Schwachstelle ohne offiziellen Patch. Vernünftig ist es, die Migration auf Drupal 10 mit vorherigem Inventar als eigenes Projekt mit Budget zu planen, statt auf einen Vorfall zu warten.

Gehören Code und Daten der Einrichtung?

Ja. Wir arbeiten mit Open Source und überlassen Code, Konfiguration und Daten der Einrichtung, mit Dokumentation und Übergangsplan. Wenn sie eines Tages den Anbieter wechseln will, kann sie das: Die Website von L’Energètica wird seit 2026 von einem anderen Anbieter gehostet und läuft weiter mit unserem Code.

Können Sie innerhalb der Unternehmensplattform einer Stadtverwaltung arbeiten?

Ja, das ist bei großen Städten die Regel. Auf barcelona.cat haben wir innerhalb der Drupal-Plattform der Stadt Barcelona gearbeitet, auf Basis ihrer Unternehmensprofile und -themes, und die Inhaltstypen und Ansichten entwickelt, die jede Einrichtung brauchte.

Was kostet eine Website für eine öffentliche Einrichtung?

Das hängt von der Zahl der Websites, der Migration, den Integrationen und den Vorgaben der Leistungsbeschreibung ab. Wir veröffentlichen keinen Tarif: Nach Prüfung des Inventars oder der Ausschreibung geben wir ein Festpreisangebot nach Phasen ab. Wird das Projekt ausgeschrieben, legt die Bekanntmachung selbst den Betrag fest.

Arbeiten Sie mit öffentlichen Einrichtungen außerhalb Spaniens?

Unsere bisherigen Projekte im öffentlichen Sektor liegen in Spanien, und wir sind bereit, für öffentliche Einrichtungen anderswo zu arbeiten. Wir arbeiten auf Deutsch, Englisch, Spanisch, Katalanisch, Französisch, Niederländisch und Portugiesisch, mit der europäischen Norm EN 301 549 als Referenz für Barrierefreiheit und ISO/IEC 27001 als auch außerhalb Spaniens anerkanntem Sicherheitsrahmen.

Nächster Schritt

Sagen Sie uns, welche Websites Ihre Einrichtung betreibt und in welchem Zustand sie sind

Ein 30-minütiger Videocall mit den Menschen, die das Projekt umsetzen. Wenn Sie eine Ausschreibung in Vorbereitung oder bereits veröffentlicht haben, bringen Sie sie mit.

Über mein Projekt sprechen