Kanton Bern: Cyberangriffe müssen künftig binnen 24 Stunden gemeldet werden
Der Kanton Bern setzt per 1. November 2026 neue Regeln zur Informations- und Datensicherheit in Kraft. Sicherheitsvorfälle sind innert 24 Stunden zu melden.
Der Regierungsrat hat beschlossen, das Gesetz über die Informations- und Cybersicherheit (ICSG) und die Verordnung über die Informations- und Datensicherheit (IDSV) auf den 1. November 2026 in Kraft zu setzen. Sie legen fest, wie die kantonalen Behörden Informationen und Personendaten schützen und mit Sicherheitsvorfällen umgehen.
Mit der Digitalisierung der Verwaltung wächst die Menge der Informationen und Personendaten, die der Kanton bearbeitet. Am 1. September 2026 trat das totalrevidierte kantonale Datenschutzgesetz (KDSG) in Kraft. Am 1. November 2026 werden ICSG und IDSV dieses um die Regeln zur Datensicherheit ergänzen und damit die bisherigen Regelungen aus den Jahren 2011 und 2008 ablösen und aktualisieren.
Schutz nach Bedarf, nicht mit der Giesskanne
Im Zentrum von ICSG und IDSV steht ein abgestuftes Verfahren: Vor der Inbetriebnahme eines ICT-Mittels beurteilen die kantonalen Behörden dessen Schutzbedarf und stufen es in eines von vier Schutzniveaus ein. Für die beiden tieferen Niveaus, die keine vertraulichen Inhalte umfassen, genügt ein einheitlicher Satz von Mindestmassnahmen («Grundschutz BE»). Für die beiden höheren Niveaus wird ein Sicherheits- und Datenschutzkonzept verlangt.
Informationen werden jedoch nur klassifiziert, wenn ihre Kenntnisnahme durch Unberechtigte die Interessen des Kantons beeinträchtigen könnte – abgestuft als «INTERN», «VERTRAULICH» oder «GEHEIM».
Die Verantwortung für die Sicherheit liegt bei der obersten Führung jeder Behörde, unterstützt durch Sicherheitsverantwortliche und Sicherheitsbeauftragte. Die IDSV regelt auch die Umsetzung der Meldepflicht gemäss KDSG und Bundesrecht: Cyberangriffe und Sicherheitsvorfälle sind innert 24 Stunden zu melden, bei Vorfällen, bei denen Personendaten betroffen sind, innert 72 Stunden. Die Meldungen erfolgen über eine kantonale Plattform und werden nötigenfalls an das Bundesamt für Cybersicherheit weitergeleitet.
Für Gemeinden gelten die Grundsätze teilweise
Für Gemeinden, Landeskirchen und weitere Träger öffentlicher Aufgaben gelten lediglich die Grundsätze der Datensicherheit gemäss ICSG. Eigene Informationen müssen sie nicht klassifizieren. Weitergehende Vorgaben gelten für sie nur, soweit sie mit Informationen oder Applikationen des Kantons oder des Bundes arbeiten.
Sie können die kantonalen Regeln freiwillig übernehmen, was einen einheitlichen Sicherheitsraum begünstigt.
Erarbeitet wurden die Vorschriften mit den kantonalen und kommunalen Behörden, Fachpersonen aus den Berner Hochschulen, den wichtigsten ICT-Leistungserbringern der öffentlichen Verwaltung sowie unter Beizug des Staatssekretariats für Sicherheitspolitik und des Bundesamtes für Cybersicherheit.
Die Wirkung wird sich schrittweise entfalten: Für die Umsetzung gelten Übergangsfristen von zwei bis drei Jahren. Auch mit dem neuen Recht gilt: Vollständige Sicherheit lässt sich nie erreichen. ICSG und IDSV schaffen aber klare Zuständigkeiten und machen Risiken beurteilbar.
Die Beratungsstelle Informations- und Datensicherheit im Amt für Informatik und Organisation unterstützt die kantonalen Behörden mit Unterlagen, Schulungen und Beratung, die kantonale Datenschutzbehörde zusätzlich die kommunalen Behörden.
