Verordnung über die digitalen Dienste der Behörden

Die vorliegende Verordnung soll die Bestimmungen des Gesetzes über die digitalen Dienste der Behörden (GDDB) präzisieren und ergänzen.

Der Staatsrat kann auf dem Beschlussweg den Geltungsbereich des GDDB auf natürliche oder juristische Personen und Organisationen, die mit der Erfüllung kantonaler oder kommunaler öffentlich-rechtlicher Aufgaben betraut sind – dies im Rahmen der Erfüllung dieser Aufgaben –, und Behördenverbände erweitern, wenn:

1. ein nachweisliches Interesse für den Kanton, namentlich im wirtschaftlichen Sinn, dies rechtfertigt, oder

2. die betroffenen Einheiten dies beantragen.

In dieser Verordnung bedeuten:

1. Einführung: Gesamtheit der nötigen Prozesse, damit eine Software-Anwendung oder ein System in die vorgesehene Nutzungsumgebung eingeführt werden kann; diese Prozesse umfassen die Installation, Konfiguration, Tests und Änderungen;

2. Cyberangriff: absichtlich herbeigeführtes Ereignis, das bei der Nutzung von Informatikmitteln auftritt und möglicherweise dazu führt, dass die Vertraulichkeit, Verfügbarkeit oder die Integrität von Informationen oder die Nachvollziehbarkeit ihrer Verarbeitung beeinträchtigt werden.

Die Organisationseinheit, die für die digitale Verwaltung zuständig ist, ist die für die digitale Verwaltung zuständige Dienststelle (nachfolgend: die DDV).

Die Organisationseinheit, die für den Betrieb und das Hosting der Basisdienste und der kantonalen digitalen Leistungen verantwortlich ist, ist die für die Informatik zuständige Dienststelle (nachfolgend: die KDI).

Wenn sich ein kantonaler digitaler Dienst an spezifische Nutzerinnen und Nutzer richtet, kann dieser in Ausnahmefällen:

1. nur mit Hilfe spezieller Technologien;

2. zusammen mit technischen Informationen, oder

3. nur in einer Amtssprache zur Verfügung gestellt werden.

Soweit wie möglich werden die besonderen Bedürfnisse gewisser Personenkategorien (Menschen mit Behinderungen, Menschen im Alter oder Menschen mit Migrationshintergrund) berücksichtigt. Die nationalen und internationalen Informatik-Standards, welche die Zugänglichkeit von Internetseiten regeln, sind garantiert.

Soweit wie möglich sind die von den kantonalen Behörden an die Nutzerinnen und Nutzer gerichteten Informationen und Hilfen klar und einfach verfasst.

Bei der Konzipierung von Projektvorhaben für kantonale digitale Dienste werden die in anderen Kantonen oder vom Bund gewählten Lösungen geprüft. Diese Lösungen müssen die in Artikel 11 angestrebten Normen und Standards erfüllen.

Die Einführung der digitalen Dienste wird im allgemeinen Prozess der Übermittlung und Bearbeitung der Anfragen nach den Modalitäten gemäss Artikel 13 behandelt. Das Datum der Einführung wird der antragstellenden Behörde im Sinne von Artikel 13 Absatz 1 nach Rücksprache mit den betroffenen Einheiten mitgeteilt.

Die KDI kann von der antragstellenden Behörde im Sinne von Artikel 13 Absatz 1 den Nachweis verlangen, dass gewisse, in Artikel 11 Absatz 3 vorgesehene technische Vorschriften eingehalten werden. Die Befugnisse des kantonalen Datenschutz- und Öffentlichkeitsbeauftragten bleiben vorbehalten.

Die KDI legt die Modalitäten der Einführung fest. Die antragstellende Behörde im Sinne von Artikel 13 Absatz 1 beteiligt sich unentgeltlich am Prozess.

Die Behörde, welche die Leistung erbringt, legt den Zeitpunkt fest, ab dem die Nutzung einer von ihr bereitgestellten digitalen Leistung obligatorisch ist.

Sie ist dafür zuständig, die Ausnahmen für die Nutzung der von ihr bereitgestellten digitalen Leistungen im Sinne von Artikel 7 Absatz 2 GDDB festzulegen.

Die Nutzerinnen und Nutzer profitieren von einem kostenlosen Support.

Dieser Support wird sichergestellt von:

1. der KDI für die Basisdienste;

2. den Behörden für die digitalen Leistungen, die sie erbringen.

Die Behörde, die eine Open Source Software zur Verfügung stellt, wählt die entsprechende Lizenz.

Wenn eine Behörde ergänzende Leistungen nach Artikel 10 Absatz 3 GDDB erbringt, darf sie dem Empfänger eine nach den effektiven Kosten berechnete Gebühr in Rechnung stellen.

Die vom strategischen Leitungsausschuss festgelegten Normen und Standards werden grundsätzlich veröffentlicht.

Die Veröffentlichung kann auf Normen oder Standards von Dritten verweisen.

Die KDI legt die technischen Regeln fest, die ein digitaler Dienst, welcher über ihre Infrastruktur verteilt wird, erfüllen muss. Sie informiert den strategischen Leitungsausschuss darüber.

Die Förderung der Nutzung digitaler Dienste kann insbesondere umfassen:

1. Informationsmassnahmen;

2. eine Hervorhebung der digitalen Leistungen an den physischen Schalter.

Die Behörden stellen einen Antrag, wenn sie eine der drei folgenden Leistungen in Anspruch nehmen möchten:

1. Bereitstellung von digitalen Diensten auf der Informatik-Infrastruktur des Kantons nach Artikel 7 Absatz 1 Buchstabe c GDDB;

2. Aufnahme eines Projekts in den Implementierungsplan nach Artikel 11 Absatz 1 Buchstabe c GDDB;

3. Erhalt von IKT-Mitteln oder von damit verbundenen Leistungen nach Artikel 9 Absatz 1 GDDB.

Sie werden zur Weiterbearbeitung übermittelt:

1. an den verantwortlichen Informatikkoordinator, wenn dies die kantonalen Behörden betrifft, oder

2. an die DDV für alle anderen Behörden.

Anträge für die von Artikel 25 Absatz 1 GDDB in Aussicht gestellten Finanzhilfen müssen ebenfalls bei der DDV eingereicht werden, welche die Anträge dann bearbeitet

Die DDV stellt ein Tool zur Verfügung, das die Einreichung der unter den Absätzen 2 Buchstabe b und 3 angesprochenen Anträge ermöglicht.

Der strategische Leitungsausschuss (nachfolgend: der Ausschuss) erlässt sein internes Betriebsreglement, das unter anderem die Art und Weise festlegt, wie Entscheide gefasst und kommuniziert werden.

Der für die digitale Verwaltung zuständige Departementsvorsteher ist einer der drei kantonalen Vertreter, von denen in Artikel 12 Absatz 2 Buchstabe a GDDB die Rede ist. Er führt den Vorsitz im Ausschuss.

Der Dienstchef der DDV nimmt mit beratender Stimme an den Sitzungen des Ausschusses teil.

Die KDI hostet, betreibt und unterhält die Basisdienste und die kantonalen digitalen Leistungen. Sie kann diese Aufgaben delegieren.

Die KDI kann ebenfalls digitale Leistungen anderer Behörden hosten, betreiben und warten, wenn diese dies beantragen. In einem solchen Fall wird mit der antragstellenden Behörde eine Vereinbarung geschlossen. Darin werden die Gebühren und das Service-Level geregelt.

Jede Behörde ist für das Hosting, den Betrieb und die Wartung ihrer Informatik-Infrastruktur verantwortlich.

Die KDI dokumentiert und informiert die betroffenen Organisationen frühzeitig über geplante Wartungsaktivitäten an den Basisdiensten.

Wenn dies die System- oder Informationssicherheit erfordert, kann die KDI jegliche Wartungsarbeiten an ihrer Infrastruktur ohne Vorankündigung durchführen.

Die KDI kann den Zugang zu einem digitalen Dienst ohne Vorwarnung oder Begründung sperren, wenn sie namentlich bei der Einführung feststellt, dass die Sicherheit der Systeme oder der Information gefährdet ist.

Die Strategie über die digitalen Dienste der Behörden (nachfolgend: die Strategie) will die Nutzerinnen und Nutzer dazu motivieren, in ihrer Interaktion mit den Behörden primär den digitalen Kanal zu nutzen. Sie enthält unter anderem eine Vision, Grundsätze, strategische Ziele, operative Schwerpunkte und ein Implementierungskonzept.

Alle 2 Jahre erstellt der Ausschuss einen Bericht an den Staatsrat und evaluiert darin die Strategie. Allenfalls werden dem Bericht Änderungsvorschläge oder ein Entwurf für eine neue Strategie beigefügt.

Der Staatsrat genehmigt die Vorschläge des Ausschusses per Beschluss.

Der Implementierungsplan ist das Instrument, mit dem die Strategie konkretisiert wird.

Im Plan sind die Projekte festgehalten, die:

1. zur Erreichung der Ziele oder der operativen Schwerpunkte der Strategie beitragen, und

2. personelle oder finanzielle Ressourcen vonseiten des Kantons erfordern.

Der Ausschuss aktualisiert den Implementierungsplan jährlich und berücksichtigt dabei den voraussichtlichen Fortschritt der Projekte über einen Zeitraum von 4 Jahren. Der Staatsrat genehmigt den aktualisierten Implementierungsplan per Beschluss.

Anträge auf Aufnahme eines Projekts in den Implementierungsplan folgen den Vorgaben von Artikel 13 und enthalten mindestens eine Beschreibung:

1. des Zwecks;

2. der Projektleistungen;

3. des Bezugs zu den Zielen oder zu den operativen Schwerpunkten der Strategie;

4. der verantwortlichen Organisationseinheit.

In der Reihenfolge ihrer Wichtigkeit bestimmt sich die Priorität der ausgewählten Projekte durch:

1. die strategische Ausrichtung: Der Antrag ist für die Anwendung einer gesetzlichen Grundlage, eines Staatsratsentscheids oder einer Strategie unerlässlich;

2. der Nutzen für die Nutzerinnen und Nutzer: Der Antrag entspricht einem nachweislichen Bedürfnis und erlaubt es, die Interaktionen mit der Behörde zu vereinfachen;

3. den Geschäftsnutzen: Der Antrag ermöglicht es, das Leistungsangebot zu erweitern, die Effizienz (Kostensenkung), die Qualität und die Bearbeitungsdauer zu verbessern;

4. die Auswirkungen: Der Antrag wirkt sich auf die Prozesse aus, die mit der Erbringung der Leistung und der Arbeitsorganisation verbunden sind.

Grundsätzlich stellt der Projektleiter quartalsmässig die für die Projektkontrolle erforderlichen Informationen zur Verfügung, insbesondere eine Beurteilung der Einhaltung von Fristen, Kosten, Zielen und Risiken in Bezug auf Personal, Projektumfang und regulatorische Entwicklungen.

Im Rahmen seiner Verfügbarkeiten unterstützt der Kanton andere Behörden in Sachen Cybersicherheit, namentlich indem er:

1. Best Practices zur Verfügung stellt;

2. sich am Krisenmanagement und an der Entwicklung der Wiederherstellungsstrategie für den Fall eines Cyberangriffs beteiligt.

Gegen Entschädigung kann er auch:

1. spezielle Sensibilisierungsmassnahmen oder Schulungen anbieten;

2. den Erhalt von Labels und Zertifizierungen fördern.

Die Behörden melden der Kantonspolizei jeden Cyberangriff, der:

1. den Betrieb digitaler Dienste gefährdet;

2. zu einer Manipulation oder einem Informationsleck geführt hat;

3. über einen längeren Zeitraum unentdeckt geblieben ist, insbesondere wenn es Hinweise darauf gibt, dass der Angriff zur Vorbereitung weiterer Cyberangriffe ausgeführt wurde, oder

4. mit Erpressung, Drohungen oder Nötigung einhergeht.

Nach der Meldung eines Cyberangriffs unterstützt die KDI je nach Verfügbarkeit die betroffene Behörde bei der Bewältigung des Vorfalls.

Die Meldung muss unmittelbar nach der Entdeckung des Cyberangriffs erfolgen und hat folgende Informationen zu enthalten:

1. die vom Cyberangriff betroffene Behörde;

2. die Art des Cyberangriffs;

3. die Auswirkungen des Cyberangriffs;

4. die dagegen ergriffenen und/oder geplanten Massnahmen.

Können die unter Absatz 3 aufgeführten Informationen zum Zeitpunkt der Meldung nicht geliefert werden, übermittelt die Behörde sie an die KDI, sobald sie bekannt sind.

Eine auf der Grundlage dieses Artikels erfolgte Meldung darf in einem Strafverfahren gegen die zur Meldung verpflichtete Person nur mit deren Zustimmung verwendet werden.

Die Nutzerinnen und Nutzer werden bei ihrer ersten Anmeldung auf dem in Artikel 6 Absatz 3 Buchstabe a GDDB vorgesehenen Portal darüber informiert, dass ihre Personendaten für den Betrieb der Basisdienste verwendet werden.

Ausserdem werden sie bei der Beantragung einer digitalen Leistung darüber informiert, welche Kategorien von Personendaten für die Bearbeitung des Antrags verwendet werden. Die Behörde, die die digitale Leistung erbringt, ist für die zur Verfügung gestellten Informationen verantwortlich.

Die für digitale Dienste verwendeten Personendaten der Nutzerinnen und Nutzer werden nur so lange aufbewahrt, wie es für die Zwecke, für die sie verarbeitet werden, notwendig ist. Es gelten folgende Grundsätze:

1. Daten, die sich auf die Kontoinhaberschaft und den Zugang zum Konto beziehen, werden solange aufbewahrt, wie das Konto aktiv ist. Wird ein Konto gelöscht, werden die Daten maximal drei Monate nach der Löschung aufbewahrt;

2. die Daten in Zusammenhang mit digitalen Leistungen werden grundsätzlich 18 Monate lang auf dem Portal gespeichert. Es liegt in der Verantwortung der Nutzerinnen und Nutzer, diese Daten auf seinem privaten Gerät oder einem privaten Speicherplatz zu sichern, wenn sie sie länger aufbewahren möchten;

3. Protokollierungsdaten werden nach Artikel 30 Absatz 2 des Ausführungsreglements zum Gesetz über die Information der Öffentlichkeit, den Datenschutz und die Archivierung (ARGIDA) ein Jahr lang aufbewahrt.

Die Behörden veröffentlichen die öffentlichen Behördendaten grundsätzlich auf der nationalen Plattform opendata.swiss, in einem Format, das den nationalen und internationalen Standards des jeweiligen Bereichs entspricht.

Eine Veröffentlichung auf einer anderen Plattform ist ebenfalls möglich, falls die Behörde dies als sachdienlich erachtet.

Folgende Dokumente werden auf der offiziellen Website des Kantons veröffentlicht:

1. die Strategie über die digitalen Dienste der Behörden;

2. der Implementierungsplan;

3. die unter Artikel 11 Absatz 1 erwähnten Normen und Standards;

4. die offenen Quellcodes.

Bei den unter Artikel 22 Absatz 1 GDDB vorgesehenen Massnahmen kann es sich um Subventionen, Gutachter- oder Studienmandate, Finanzhilfen für innovative Projekte, Unterstützung für die Sensibilisierung und Schulung oder auch um Partnerschaften handeln.

Für die Massnahmen wird je nach Art ein öffentlich-rechtlicher Vertrag oder ein Leistungsauftrag abgeschlossen.

Die Stundentarife werden von der Behörde, welche die Leistung erbringt, festgelegt, wobei nach dem Kostendeckungsprinzip vorgegangen wird und die in der betreffenden Branche üblichen Stundenansätze berücksichtigt werden.

Bei der Aufteilung der Finanzierung von gemeinsamen Leistungen nach Artikel 24 Absatz 2 GDDB wird berücksichtigt, welchen Anteil jede der Behörden vernünftigerweise übernehmen kann.

Die gemäss GDDB vorgesehenen Finanzhilfen gibt es für die Planung, Entwicklung und Umsetzung von Massnahmen, die mindestens einen der operativen Schwerpunkte der Strategie umsetzen.

Wie hoch die Finanzhilfen ausfallen, bestimmt sich aus dem Nutzen und der Wirkung der Massnahme. Die Hilfen müssen grundsätzlich subsidiär sein. Sie werden vom Vorsteher des für die digitale Verwaltung zuständigen Departements festgelegt.

Es besteht kein Anspruch auf Finanzhilfen.

Die Begünstigten müssen die Verwendung der gewährten Hilfe nachweisen können. Die Hilfen können ganz oder teilweise zurückgefordert werden, wenn sie auf der Grundlage falscher Angaben gewährt wurden oder nicht für die ursprünglich angegebenen Zwecken verwendet wurden.