Behörden & Verwaltung

Ja, aber nur unter strengen Voraussetzungen. Eine Schutzbedarfsanalyse muss klären, wie sensibel die Daten sind. Für hochsensible Informationen (z. B. Amtsgeheimnisse oder Personendaten) sind spezielle Sicherheitsmassnahmen notwendig – etwa Verschlüsselung, Zugriffskontrollen und Schweizer Rechenzentren. Die Freigabe erfolgt nur nach Prüfung durch die zuständigen Stellen. Besonders bei Public-Cloud-Anbietern müssen technische und organisatorische Schutzmechanismen vorhanden sein, um DSG und Geheimhaltungspflichten einzuhalten. Häufig ist eine Private Cloud oder ein hybrides Modell die beste Lösung für Behörden.

Behörden sollten Rechenzentren wählen, die nach ISO 27001 (Informationssicherheit), ISO 22301 (Business Continuity) und idealerweise Tier III oder IV klassifiziert sind. Auch Zertifizierungen wie ISAE 3402 oder ISO 14001 können wichtig sein – je nach Branche oder Umweltanforderung. Wichtig ist zudem, dass die Rechenzentren georedundant betrieben werden, also über mehrere unabhängige Standorte verfügen. Diese Standards belegen, dass höchste Verfügbarkeits- und Sicherheitsanforderungen erfüllt werden – was für staatliche Institutionen und kritische Infrastrukturen unerlässlich ist.

Eine sichere Hybrid-Cloud-Umgebung kombiniert lokale Systeme mit Cloud-Diensten über verschlüsselte, dedizierte Leitungen. Für Behörden empfiehlt sich eine direkte Verbindung zu Public-Cloud-Anbietern über Services wie ExpressRoute oder Direct Connect. Dies reduziert die Latenz und erhöht die Sicherheit gegenüber offenen Internetverbindungen. Wichtig ist auch eine klare Netzwerksegmentierung nach Schutzbedarf und die Integration bestehender Identitätslösungen (z. B. Active Directory). Ziel ist es, Flexibilität zu gewinnen, ohne die Kontrolle über kritische Daten und Systeme aufzugeben.

NIS2 ist eine EU-Richtlinie für höhere Cyberresilienz. Auch wenn sie in der Schweiz nicht direkt gilt, sind viele Inhalte durch das neue Informationssicherheitsgesetz (ISG) abgedeckt. Behörden müssen ein Informationssicherheits-Management einführen, Risiken kontinuierlich bewerten und schwerwiegende Cybervorfälle innert 24 Stunden melden. Zudem gewinnen Themen wie Lieferkettensicherheit und IT-Governance an Bedeutung. Auch indirekt – etwa durch Zusammenarbeit mit EU-Organisationen – sind Schweizer Behörden von NIS2 betroffen und sollten sich entsprechend ausrichten.