Update: Berner Cybersicherheitsgesetz kommt im November

(Source: zVg)

(Source: zVg)

Update vom 11.9.2026: Für die Behörden im Kanton Bern gelten bald neue Bestimmungen zur Informationssicherheit. Zum 1. November 2026 treten nämlich das neue Gesetz über die Informations- und Cybersicherheit (ICSG) und die Verordnung über die Informations- und Datensicherheit (IDSV) in Kraft, wobei je nach Bestimmung noch Übergangsfristen von bis zu drei Jahren gelten, wie der Regierungsrat mitteilt.

In der Mitteilung hebt die Regierung hervor, dass man den "Schutz nach Bedarf, nicht mit der Giesskanne" regle. Konkret bedeutet dies, dass die zuständigen Behörden jedes ICT-Mittel vor dessen Inbetriebnahme beurteilen und es in eines von vier Schutzniveaus einstufen. Für die beiden tieferen Niveaus, die keine vertraulichen Inhalte umfassen, genügt ein einheitlicher Satz von Mindestmassnahmen ("Grundschutz BE"). Für die beiden höheren Niveaus verlangt der Kanton ein Sicherheits- und Datenschutzkonzept. Informationen würden jedoch nur klassifiziert, wenn ihre Kenntnisnahme durch Unberechtigte die Interessen des Kantons beeinträchtigen könnte, heisst es weiter. In diesem Fall gelten die Abstufungen "intern", "vertraulich" oder "geheim".

Ebenfalls im Gesetz konkretisiert der Kanton Bern die Meldepflichten, wie sie der Bund im Informationssicherheitsgesetz bereits einführte. Für Berner Behörden gilt demnach: "Cyberangriffe und Sicherheitsvorfälle sind innert 24 Stunden zu melden, bei Vorfällen, bei denen Personendaten betroffen sind, innert 72 Stunden. Die Meldungen erfolgen über eine kantonale Plattform und werden nötigenfalls an das Bundesamt für Cybersicherheit weitergeleitet."

Diese und weitere grundsätzliche Bestimmungen gelten übrigens nicht nur für kantonale Behörden, sondern auch für Gemeinden, Landeskirchen und weitere Träger öffentlicher Aufgaben. Dagegen müssen sie ihre Informationen nicht klassifizieren, wie der Regierungsrat schreibt. Weitergehende Vorgaben gelten für sie demnach nur, soweit sie mit Informationen oder Applikationen des Kantons oder des Bundes arbeiten. Die Regierung fügt aber hinzu, Gemeinden könnten die kantonalen Regeln freiwillig übernehmen, was einen einheitlichen Sicherheitsraum begünstigen würde.

Das neue Gesetz schaffe klare Zuständigkeiten und mache Risiken beurteilbar, schreibt der Regierungsrat. Er hält aber fest: "Auch mit dem neuen Recht gilt: Vollständige Sicherheit lässt sich nie erreichen. "

Update vom 14.04.2025:

Berner Regierung muss beim Cybersicherheitsgesetz nachbessern

Die Kommission für Staatspolitik und Aussenbeziehungen (SAK) hat das Gesetz über die Informations- und Cybersicherheit (ICSG) für die zweite Lesung im bernischen Grossen Rat vorberaten. Wie es in einer Mitteilung heisst, wird diese während der Sommersession 2025 stattfinden.

Bezüglich einer regelmässigen Prüfung der Informationssicherheit schlägt die SAK eine entsprechende Ergänzung des Gesetzesentwurfes vor. Dabei wolle sie allerdings auf eine Bestimmung verzichten, nach der das Gesetz periodisch evaluiert werden müsste. Eine Evaluation sei für die Kantone im Zusammenhang mit dem Informationssicherheitsgesetz des Bundes bereits vorgeschrieben. Der Kanton werde im gleichen Zug auch die Umsetzung und Wirksamkeit des ICSG regelmässig überprüfen müssen, heisst es weiter.

Eine weitere Anpassung betrifft laut der Mitteilung Personensicherheitsprüfungen. Mit diesen sollen Behörden feststellen können, ob eine Person wegen Vorstrafen weniger vertrauenswürdig oder wegen Schulden potenziell erpressbar sein könnte. Gemäss dem ursprünglichen Gesetzentwurf sollte die Auswahl der zu prüfenden Personen, die dabei erhobenen Daten sowie die Häufigkeit der Überprüfung bei den jeweiligen Behörden liegen. Wie es weiter heisst, verlangt der Grosse Rat hier nun mehr Regelungen, um einheitlich gesetzte Funktionen gleich behandeln.

Originalmeldung vom 6.12.2024: 

Berner Grosser Rat stimmt Cybersicherheitsgesetz zu

Der bernische Grosse Rat hat am Donnerstag in erster Lesung einem neuen Gesetz zur Cybersicherheit zugestimmt. Mit dem Gesetz sollen Lücken im Bereich der Informations- und Cybersicherheit geschlossen werden, wie Finanzdirektorin Astrid Bärtschi (Mitte) erklärte. Die Digitalisierung der Verwaltung mache einheitliche und verbindliche Regelungen notwendig, um sowohl die Bevölkerung als auch die Funktionsfähigkeit der Verwaltung zu schützen, wie die "Berner Zeitung" berichtet.

Bislang war die Informations- und Cybersicherheit im Kanton Bern lediglich durch eine Direktionsverordnung geregelt. Das neue Gesetz solle nun technische, organisatorische und rechtliche Grundlagen schaffen, die bislang fehlen. "Die Verantwortung für die Cybersicherheit ist Chefsache", betonte Bärtschi gegenüber der BZ. Diese könne nicht an externe Stellen delegiert werden. Das Gesetz definiere daher klare Aufträge und Verantwortlichkeiten.

Zu den zentralen Neuerungen zählen Regelungen für die oberste Führungsebene zur Prävention, zur Klassifizierung von Informationen sowie zur Personensicherheitsprüfung. Zudem sollen einheitliche Sicherheitsvorschriften für gemeinsam genutzte Applikationen auf verschiedenen Staatsebenen eingeführt werden.

Ein weiterer Schwerpunkt des Gesetzes liegt auf der Unterstützung der Gemeinden. Mehrere Ratsmitglieder wiesen darauf hin, dass insbesondere kleinere Gemeinden auf Aus- und Weiterbildungsmassnahmen des Kantons angewiesen seien. Diese könnten gegebenenfalls gegen Entgelt bereitgestellt werden.

Trotz einzelner Rückweisungen von Artikeln in die Kommission war das Gesetz im Grundsatz unbestritten. In der ersten Lesung wurde der Entwurf einstimmig mit 148 Stimmen angenommen. Die überarbeiteten Artikel werden in einer zweiten Lesung erneut vorgelegt.

Im Kanton Bern entsteht derzeit ein neues Datenschutzgesetz. Mehr dazu lesen Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.