Interpellation betreffend Regierungsratsbeschluss zum Einsatz von M365 für die ICT-Grundversorgung
Am 8. April 2025 hat der Regierungsrat mitgeteilt, dass in der kantonalen Verwaltung ab Herbst 2025 die cloudbasierten Services “Microsoft 365” zur Anwendung kommen sollen. Wobei angeblich nur für Daten mit sehr hohem Sicherheitsbedarf die Verwendung von M365 nicht erlaubt sei.
Am selben Tag hat die kantonale Datenschutzbeauftragte mitgeteilt, dass sie den Entscheid des Regierungsrats bedaure. Mit der Nutzung von M365 werde die digitale Souveränität des Kantons geschwächt und der Datenschutz könne nicht mehr gewährleistet werden.
Der Einsatz von M365-Produkten in der Verwaltung kann erheblichen Einfluss auf die Bearbeitung der Daten der Einwohnerinnen und Einwohner des Kantons haben. Indem die Daten auf Clouds gespeichert werden sollen, aber auch bereits aufgrund der Tatsache, dass Daten per Mail in Outlook versendet werden oder aber MS-Teams-Telefonie verwendet wird, gibt der Kanton beträchtliche Kontrolle aus der Hand. Dies ist insbesondere im Hinblick auf die geänderten Verhältnisse in den USA bedenklich.
Die Interpellantin bittet den Regierungsrat darum um die Beantwortung folgender Fragen:
- Wie stellt die Regierung nach der Einführung von M365 den Datenschutz sicher?
- Wie stellt der Regierungsrat konkret sicher, dass die unerlaubte Nutzung von M365 für Daten mit einem sehr hohen Schutzbedarf von allen Dienststellen eingehalten wird?
- Welches sind die identifizierten Restrisiken einer Einführung der M365 Cloud-Lösung und wie gedenkt der Regierungsrat diese zu übernehmen?
- Inwiefern ist der Datenschutz gewährleistet, wenn Microsoft auf die verschlüsselten Daten zugreifen und diese an Dritte weitergeben kann?
- Welche Verschlüsselung wird angewendet und wie funktioniert die Verschlüsselung?
- Weshalb orientiert sich der Kanton nicht an der Praxis des Bundes und vieler anderer Kantone, welche bei der Verwendung von M365 deutlich risikobewusster vorgehen?
- Sind vom Beschluss zum Einsatz von M365 auch die der Legislative und der Judikative zugeordneten Verwaltungsstellen betroffen? Falls ja, wurde der Legislative oder der Judikative ein Beschluss über den Einsatz von M365 vorgelegt und haben diese dem zugestimmt?
- Wie und wann wurde die kantonale Datenschützerin beim Projekt ConnetM365 mit einbezogen?
- Die kantonale Datenschützerin wurde vom Grossen Rat gewählt und muss die Aufsicht über den Schutz unserer Daten wahrnehmen. Welchen Stellenwert haben die Stellungnahmen der kantonalen Datenschutzbeauftragten für den Regierungsrat?
- Von welchen Personen hat sich der Regierungsrat beraten lassen?
- Weshalb wurde bei einem solch umfassenden Projekt der Grosse Rat nicht involviert?
- Hat der Regierungsrat ein Backup-Konzept und wie sieht dieses aus?
- Hat die Regierung eine Exitstrategie definiert? Falls ja, wie lautet diese?
- Ist der Regierungsrat bereit, seinen Entscheid nochmals zu überdenken?
