Im vergangenen April hat der Kanton Basel-Stadt mit dem Rollout
von Microsoft 365 begonnen. Dies nahm Grossrätin Anina Ineichen (Grüne) zum Anlass für eine Motion "Schaffung einer gesetzlichen Grundlage für die Auslagerung von Informatikdienstleistungen". Mit der Nutzung von Cloud-Technologien sei zwangsläufig eine Auslagerung verbunden, schrieb sie. Diese bringe neue Herausforderungen für Informationssicherheit, Datenschutz und Archivierung.
Mit einem Gesetz sollen klare Regeln zu Voraussetzungen, Zuständigkeiten, Verantwortlichkeiten und zum Risikomanagement geschaffen werden,
forderten Ineichen und Mitunterzeichnende. Dabei sei insbesondere zu klären, ob und welche Personendaten in der Cloud gespeichert werden dürfen und ob allenfalls auch Sachdaten zu berücksichtigen sind.
Regierung verweist auf geltendes Recht
Im September
überwies dann der Grosse Rat die Motion mit deutlicher Mehrheit zur Stellungnahme an die Regierung. Diese stimmte in ihrer Antwort der Grundprämisse zu, "dass die Auslagerung von Informatikfunktionen, einschliesslich Cloud-Diensten, in der öffentlichen Verwaltung gängige Praxis und notwendig ist". Auch teile sie das Anliegen der Motionärinnen und Motionäre, dass der Schutz von Daten und die Gewährleistung der Informationssicherheit bei der Auslagerung von Informatikdienstleistungen höchste Priorität haben müssen.
Hingegen lehnte der Regierungsrat die zentrale Forderung der Motion ab, eine neue gesetzliche Grundlage zu schaffen. Das geltende Recht mit dem Informations- und Datenschutzgesetz (IDG) deckte das Anliegen bereits ab. Mit der letzten Revision sei das IDG mit Regeln zur Auslagerung ergänzt und verschärft worden.
M365-Exitstrategie gefordert
Doch der Grosse Rat zeigte für die ausführlichen Rechtserklärungen der Regierung kein Gehör. Mit 64 zu 29 Stimmen wurde die Motion ein zweites Mal überwiesen. Die Basler Regierung muss nun ein solches Gesetz erarbeiten und hat dafür gemäss einem zweiten Beschluss des Parlaments zwei Jahre Zeit – nicht wie ursprünglich gefordert, ein Jahr.
Motionärin Ineichen hält das Risiko des Zugriffs auf sensible Daten des Kantons für hoch. Dieses Risiko sei mit dem "US Cloud Act" noch gestiegen. Dabei erwähnte sie in der Ratsdebatte einmal mehr explizit M365. "Wir müssen über eine Exit-Strategie diskutieren, auch wenn mein Vorstoss dies nicht explizit verlangt", sagte sie.
