Anfrage Erich Vontobel, Bubikon, Erika Zahler, Boppelsen, und Martin Huber, Neftenbach, betreffend Alibaba – Wo werden Daten aus dem Kanton Zürich gespeichert und verarbeitet, Beantwortung

Auf Antrag der Finanzdirektion beschliesst der Regierungsrat:

I. Die Anfrage Erich Vontobel, Bubikon, Erika Zahler, Boppelsen, und Martin Huber, Neftenbach, wird wie folgt beantwortet: Zu Frage 1: Der Kanton Zürich speichert und verarbeitet seine Daten gemäss der gesetzlichen Grundlage, dem Gesetz über die Information und den Datenschutz vom 12. Februar 2007 (LS 170.4), sowie gemäss den Vorgaben der Datenschutzbeauftragten des Kantons Zürich und den Vorgaben im Bereich Informationssicherheit. Die Daten des Kantons Zürich liegen mehrheitlich in eigenen Rechenzentren (on premise) oder in privaten Rechenzentren von Lieferanten (private cloud) mit Datenstandort Schweiz. Vereinzelt kommen im Kanton Zürich auch öffentliche Cloud-Lösungen (public cloud) zum Einsatz mit Datenstandort Europa, konkret Deutschland und Niederlande. Auf eine tabellarische Übersicht wird aus Schutzgründen im Bereich Informationssicherheit bewusst verzichtet. Zu Frage 2: Mittel- und langfristig verfolgt der Regierungsrat eine duale Strategie. Mit dem Betrieb von zwei redundanten Rechenzentren werden Mittel für die Datenspeicherung und -verarbeitung bereitgestellt, die insbesondere gemäss den gesetzlichen Vorgaben eine Datenhaltung in den kantonseigenen Rechenzentren verlangen. Parallel dazu kommen Cloud-Anbieter bzw. Cloud-Lösungen zur Anwendung. Bereits heute werden viele Lösungen nur noch aus der Cloud angeboten und dies wird sich in der Zukunft verstärken. Beim Einsatz solcher Public- oder Private-Cloud-Lösungen werden die gesetzlichen Anforderungen eingehalten.

Zu Frage 3: Öffentliche Ausschreibungen sind grundsätzlich lösungsoffen auszugestalten. Cloud-Dienste müssen wie jede andere Lösung auch die Vorgaben des Datenschutzes und der Informationssicherheit erfüllen. Zusätzlich müssen anbietende Unternehmen darlegen, wie die Vorgaben eingehalten werden und welche Datenbearbeitungsorte möglich sind. Ferner sind bei Vertragsabschlüssen die datenschutzrechtlichen Allgemeinen Geschäftsbedingungen des Kantons (AGB Auslagerung Informatikleistungen, AGB Datenbearbeitung durch Dritte) verbindlich (vgl. RRB Nrn. 670/2015). Zu Frage 4: Die Direktionen und die Staatskanzlei halten sich an die Vorgaben der Datenschutzbeauftragten. Zu Frage 5: Massgebend sind die Vorgaben des Datenschutzes und der Informationssicherheit. Ist der Zugriff auf Informationen und damit die Datenbearbeitung ausserhalb der Schweiz möglich, ist zu klären, ob es sich ausschliesslich um Staaten mit angemessenem Datenschutzniveau handelt. Ist dies nicht der Fall, müssen zusätzliche Massnahmen getroffen werden (z. B. Verschlüsselung der Daten) oder es muss auf die entsprechende Auslagerung verzichtet werden. Zu Frage 6: In Geschäftsbereichen, bei denen die Kantone im Auftrag des Bundes Vollzugsaufgaben wahrnehmen, z. B. Einwohnerkontrolle, Regionale Arbeitsvermittlung, Arbeitslosenversicherung, Migration usw., ist der Kanton Zürich verpflichtet, mit dem Bund Daten auszutauschen und auf den Systemen des Bundes die Verarbeitung und Speicherung der Daten vorzunehmen. Dabei kann es sich auch um besonders schützenswerte Personendaten handeln. Zu Frage 7: Bei Daten, die in einer ausländischen Cloud gespeichert oder verarbeitet werden, sind die Massnahmen grundsätzlich die gleichen wie bei einer Speicherung oder Verarbeitung im Inland. Die Anforderungen an die Verfügbarkeit eines Services und damit die Vorgaben an das IT- Service Continuity Management (IT-SCM) werden im Business Continuity Management definiert. Auch müssen die Nutzerorganisationen Notfallszenarien entwickeln, wie mit einem Ausfall oder Verlust von Daten umgegangen werden muss. Zudem ist auf RRB Nr. 172/2021 zu verweisen, wonach Grundlagen für ein integrales Risikomanagement geschaffen werden sollen (Empfehlung 8), das die Anforderungen an ein IT- SCM beschreibt.

Aufgrund der Anforderungen der Nutzerorganisation und in Abstimmung mit den Vorgaben der Zürcher Datenschutzbeauftragten lässt sich entscheiden, wo ein Service überhaupt betrieben werden kann (eigene Datenhaltung, Cloud Schweiz, Cloud Ausland). Mittels eines IT-SCM- Systems, das sich derzeit im Aufbau befindet, werden alle Services der IKT-Grundversorgung überprüft, und wo nötig werden Massnahmen getroffen, um die geforderte Servicequalität sicherstellen zu können. Wenn ein Cloud-Dienst unterbrochen oder für längere Zeit nicht mehr verfügbar ist, werden Datensicherungsstrategien angewendet, bei denen die Cloud-Datenbestände auf den Systemen in den eigenen Rechenzentren gesichert werden. Ein weiterer Ansatz ist, dass ein Notsystem in den eigenen Rechenzentren aufgebaut wird, mit dem der Notfallbetrieb beim Ausfall eines Cloud-Dienstes gewährleistet werden kann. Ein wesentlicher Bestandteil eines IT-SCM-Systems besteht darin, die Szenarien laufend zu überprüfen und mittels Testszenarien zu verifizieren. Zu Frage 8: Es trifft zu, dass die Medien für die Datenspeicherung immer günstiger werden. Allerdings steigen die zu speichernden Datenvolumen massiv an. Deshalb wird die Datenhaltung insgesamt nicht günstiger. In der Schweiz gibt es weitere Faktoren, welche die Kosten der Datenhaltung beeinflussen, wie insbesondere Infrastrukturkosten und Lohnkosten. Entsprechend wird es auch zukünftig Angebote von ausländischen Anbietern geben, die in der preislichen Gestaltung interessant und mit den entsprechenden Auf‌lagen und Vorkehrungen nutzbar sind. Der Kanton Zürich baut zurzeit zwei Rechenzentren auf, in denen die kantonseigenen IT-Infrastrukturen konsolidiert werden und in denen ein sicherer Betrieb für sensitive Applikationen und Daten zur Verfügung stehen wird. Zu Frage 9: Nein, der Kanton Zürich nimmt an der erwähnte Veranstaltung nicht Teil. Der Fokus der Veranstaltung «Cyber Polygon 2021» liegt bei international tätigen Unternehmen aus der Privatwirtschaft. Es gibt vergleichbare internationale Übungen im Behörden- bzw. staatlichen Umfeld. Gemäss der Empfehlung des Sicherheitsverbundes Schweiz erarbeitet das Amt für Informatik zusammen mit der Kantonspolizei Zürich, der Staatsanwaltschaft sowie dem Bevölkerungsschutz einen Vorschlag

für die kantonale Cyberorganisation. Es gilt festzulegen, wie die Verwaltung und der Kanton Zürich langfristig mit dem Thema Cyberrisiken umgehen. Eine Aufgabe der kantonalen Cyberorganisation wird die Vernetzung im Bereich Cybersicherheit mit dem Bund (NCSC), an- deren Kantonen sowie den Städten und Gemeinden, der Wirtschaft und Hochschulen im Kanton Zürich sein. Mit «mehr Sicherheit» im Kanton Zürich soll ein Wettbewerbsvorteil geschaffen werden, um die Attraktivität des Wirtschaftsstandortes Zürich zu steigern. Ein Vorschlag für die zukünftige Cyberorganisation im Kanton Zürich soll dem Regierungsrat 2022 vorgelegt werden.

II. Mitteilung an die Mitglieder des Kantonsrates und des Regierungsrates sowie an die Finanzdirektion.

Vor dem Regierungsrat Die Staatsschreiberin: Kathrin Arioli