Mitte Oktober hatte es der Luzerner Kantonsrat mit 65 zu 51 Stimmen abgelehnt, die Anfrage von Eva Forster (FDP) und Mitunterzeichnenden für dringlich zu erklären. Sie wollten vom Regierungsrat Antworten "über die Bearbeitung und die Speicherung der Datenkategorien in M365". In einer nächsten Sitzung lehnte das Parlament Ende Oktober ein Postulat mit der Forderung nach einem Marschhalt bei Microsoft 365 deutlich ab.

Die Fragen von Forster und Mitunterzeichnenden musste die Regierung trotzdem noch beantworten. "Trifft es zu, dass als generelle Voraussetzung für die Nutzung und Auslagerung von Daten in M365 alle Mitarbeitenden vorgängig geschult werden müssen?", wollten sie wissen.

Alle Mitarbeitenden der kantonalen Verwaltung und des Gerichtswesens müssten vor der Inbetriebnahme der M365-Cloud-Dienste eine Schulung zur Datenklassifizierung absolvieren, betont der Regierungsrat in seiner jetzt publizierten Antwort. "Es wird kontrolliert, ob alle Mitarbeitenden an der Schulung teilgenommen haben." Neben der Schulung würden die Mitarbeitenden regelmässig an die Regeln zur Datenbearbeitung und zur Datenklassifizierung erinnert. Dies geschehe mittels "Awareness-Kampagnen".

Sach- und Personendaten seien grundsätzlich in den Fachanwendungen respektive im Geschäftsverwaltungssystem "CMI" zu bearbeiten, so die Regierung weiter. "Projektspezifische oder organisationsbezogene Informationen (z.B. Projektaufträge, Dienstpläne) dürfen bis Schutzstufe 'vertraulich' in M365-Cloud-Diensten gespeichert werden." Es würden keine Datenbestände automatisch in die Cloud überführt.

Alle erforderlichen Schutzmassnahmen würden vor der M365-Inbetriebnahme umgesetzt. "Ausserdem sind die Organe der Verwaltung und des Gerichtswesens dazu angehalten, alle Prozesse zu identifizieren und entsprechend anzupassen, bei denen potenziell sensible Daten bearbeitet werden, die nicht in der Cloud gespeichert oder bearbeitet werden dürfen. Sie werden dabei bei Bedarf von der Abteilung Luzern Connect des Finanzdepartements unterstützt", erklärt die Regierung zur Frage von Forster nach den erforderlichen technischen und organisatorischen Massnahmen.

"Trifft es zu, dass besonders schützenswerte Personendaten (Strafdaten, Gesundheitsdaten, Steuerdaten usw.) vorläufig in den bestehenden Fachapplikationen (On-Premises) verleiben und weder in der Cloud gespeichert noch dort bearbeitet werden dürfen?", lautete die letzte Frage.

Besonders schützenswerte Personendaten müssten in Fachanwendungen oder CMI bearbeitet und gespeichert werden, antwortet die Regierung. "Eine vorübergehende Speicherung in M365-Cloud-Diensten ist nur zulässig, wenn keine geeignete Fachanwendung oder CMI verfügbar ist." Diese Ausnahme werde restriktiv gehandhabt "mit dem Ziel, mittelfristig Lücken in der Abdeckung mit Fachanwendungen respektive CMI zu schliessen", so der Luzerner Regierungsrat.