Die Staatswirtschaftliche Kommission (StwK) des Kantons St.Gallen beantragt, gewisse Security-Massnahmen umzusetzen. Die Strategie zum Schutz vor Cyberrisiken sei ein zentrales Element, hält die Kommission in ihrem Bericht über die Prüfungstätigkeit der Jahre 2021/2022 fest.

Der Kanton setze sich bereits intensiv mit dem Thema IT-Sicherheit auseinander, hält die StwK in ihrem Bericht fest. Man nehme auch zur Kenntnis, dass der Kanton technisch grundsätzlich gut aufgestellt sei. Bei den Verwaltungsstellen gebe es aber offene Fragen, insbesondere bei Notfallszenarien und beim Wiederaufbau von Prozessen und Daten, die durch Cyberangriffe beschädigt wurden. Die Kommission zeigt sich besorgt, dass die Kernprozesse der Verwaltung bei einem möglichen Cyberangriff allenfalls längere Zeit nicht weitergeführt werden könnten.

2021 wurde die Hostingfirma von Kanton und Stadt St. Gallen mehrmals von Hackern angegriffen. Als Folge davon waren die Webseiten der öffentlichen Hand jeweils über Stunden nicht erreichbar. Weitere Folgen hatten die Attacken nicht.

Die Kommission überprüfte, wie gut gerüstet der Kanton beim Thema IT-Sicherheit ist und wie gut er sich vor Cyberangriffen schützt. Sie schlägt nun verschiedene Verbesserungen vor. Der Kantonsrat wird die Vorschläge in der kommenden Aprilsession beraten.

Die Kommission empfiehlt unter anderem, die bestehende Strategie zum Schutz vor Cyberrisiken mit entsprechenden Massnahmen zu konkretisieren. Ausserdem müsse das Thema Cyber in das Risikomanagement integriert werden. Hierzu müssten insbesondere auch die einzelnen Fachbereiche involviert werden.

Als weitere konkrete Massnahme schlägt die Kommission den Aufbau eines Security Operations Centers (SOC) für den Kanton und dessen öffentlich-rechtlichen Betriebe vor. Allenfalls könnte dazu ein Verbund mit anderen Kantonen geprüft werden, wird im Bericht ausgeführt. Derzeit würden Gespräche mit dem Kanton Zürich geführt, um einen Anschluss zu prüfen. Daneben wäre es möglich, den SOC-Service bei Abraxas zu beziehen oder ein Angebot auf dem freien Markt zu evaluieren.

In ihrem Bericht geht die Kommission weiter auf den "Risikofaktor Mensch" ein. Bei der Schulung und Sensibilisierung von Mitarbeitenden gebe es noch Luft nach oben. Die Kommission schlägt ausserdem vor, dass Mitarbeitende, die sich im Bereich der Cybersecurity nicht korrekt verhalten, mit Weiterbildungen unterstützt und vermehrt geschult werden. Bei wiederholtem Fehlverhalten sollten unter Umständen sanktionierende Massnahmen ergriffen werden können.