Der Kanton Bern will den Umgang mit Informationen und Personendaten in der Verwaltung stärker vereinheitlichen. Daher hat der Regierungsrat beschlossen, das Gesetz über die Informations- und Cybersicherheit (ICSG) und die Verordnung über die Informations- und Datensicherheit (IDSV) per 1. November 2026 in Kraft zu setzen.
Die neuen Regelungen ergänzen laut Regierungsrat das totalrevidierte kantonale Datenschutzgesetz (KDSG), das bereits seit dem 1. September gilt. Gleichzeitig würden sie die bisherigen Vorgaben zur Informations- und Datensicherheit aus den Jahren 2008 und 2011 ersetzen.
Vier Schutzniveaus statt einheitlicher Vorgaben
Kern der neuen Regelung ist ein abgestuftes Schutzkonzept. Bevor ein ICT-Mittel in Betrieb genommen wird, müssen die kantonalen Behörden dessen Schutzbedarf beurteilen und es einem von vier Schutzniveaus zuordnen, so der Regierungsrat. Für die beiden niedrigeren Stufen – ohne vertrauliche Inhalte – würden einheitliche Mindestmassnahmen gelten.
Bei höheren Schutzstufen sei zusätzlich ein Sicherheits- und Datenschutzkonzept erforderlich. Informationen würden dabei nur dann klassifiziert, wenn eine unbefugte Kenntnisnahme die Interessen des Kantons beeinträchtigen könnte. Die Klassifizierung erfolge in den Stufen "Intern", "Vertraulich" und "Geheim".
Sicherheitsvorfälle müssen gemeldet werden
Die neuen Regeln legen zudem Zuständigkeiten für die Informationssicherheit fest, wie es in der Mitteilung heisst. Die oberste Führung einer Behörde trage die Verantwortung und werde dabei von Sicherheitsverantwortlichen und Sicherheitsbeauftragten unterstützt.
Für Cyberangriffe und andere Sicherheitsvorfälle gelten zudem konkrete Meldefristen. Solche Vorfälle müssen innerhalb von 24 Stunden gemeldet werden, bei betroffenen Personendaten innerhalb von 72 Stunden. Die Meldungen erfolgen über eine kantonale Plattform und werden bei Bedarf an das Bundesamt für Cybersicherheit weitergeleitet.
Für Gemeinden und weitere Träger öffentlicher Aufgaben würden die Regeln nur teilweise gelten. Sie müssten die Grundsätze der Datensicherheit einhalten, ihre eigenen Informationen aber nicht nach den kantonalen Vorgaben klassifizieren, heisst es in der Mitteilung. Weitergehende Vorgaben würden insbesondere dann greifen, wenn sie auf Informationen oder Applikationen des Kantons oder des Bundes zugreifen.
Für die Umsetzung der neuen Regelungen gelten Übergangsfristen von zwei bis drei Jahren. Unterstützung dabei erhalten die kantonalen Behörden von der Beratungsstelle Informations- und Datensicherheit des Amts für Informatik und Organisation.
