Antrag

Der Gemeinderat wird beauftragt, zu prüfen wie es um die digitale Souveränität und digitale Handlungsfähigkeit der Gemeindeverwaltung steht. Dabei sind folgende Fragen zu beantworten:

• Daten:
  • Wo sind die Daten gespeichert?
  • Nach welchem Standard, Sicherheitsvorgaben werden sie gespeichert und gesichert?
  • Auf welchen Technologien basiert die Datenhaltung (Azure (MS), AWS (Amazon), Google, Nextcloud,...)
  • Welche Bestrebungen gibt es die Datenhaltung zu internalisieren und auf frei verfügbare Technologien zu speichern?
  • Was passiert, wenn die Verbindung zum Technologiehersteller gekappt wird?
• Software:
  • Welche Software von nicht europäischen Grosskonzernen wird eingesetzt?
  • Welche Bestrebungen gibt es freie und oder europäische Softwarelösungen einzusetzen?
  • Was passiert, wenn die Verbindung zum Technologiehersteller gekappt wird?
• IT-Infrastruktur (Router, Firewalls, Switches, Gateways, Servers):
  • Werden Komponenten eingesetzt, die nur mit einem Uplink zum Hersteller ausserhalb Europas richtig funktionieren (inkl. Externe RZ)?
  • Welche Bestrebungen gibt es freie und oder europäische Lösungen einzusetzen?
  • Was passiert, wenn die Verbindung zum Hersteller gekappt wird?
• Security:
  • Wie wird sichergestellt, dass die IT-Dienstleister die nötigen Sicherheitsvorgaben erfüllen?
  • Welche Vorkehrungen wurden getroffen um Angriffe effektiv abwehren zu können?
  • Wie wird sichergestellt, dass im Fall eines digitalen Angriffs weiter gearbeitet werden kann?

Begründung

Diverse Studien stellen der Schweiz für die digitale Souveränität, insbesondere in der kommunalen Verwaltung ein schlechtes Zeugnis aus. Auch die nidauer Verwaltung ist im grossen Masse von Technologien grosser nicht europäischer Konzernen abhängig. Die jüngsten politischen Irritationen haben z. B. Microsoft dazu bewogen gewissen Sourcecode von den USA in die Schweiz zu verschieben, sodass die US-Regierung keinen Zugriff darauf hat. Dies sollte die Anwender umso mehr beunruhigen. Häufig wird nur der Speicherort der Daten berücksichtigt ohne die Software und die IT-Infrastruktur zu berücksichtigen. Bei Cloudanwendungen sind oft nicht einmal die Softwarekonzerne in der Lage den Datenstandort zu bestimmen. Dies verunmöglicht eine datenschutzkonforme Speicherung der Daten. Verantwortlich bleibt dabei der Anwender, in diesem Fall die Gemeinde Nidau. Auch Software funktioniert häufig nicht, wenn sie nicht nach Hause telefonieren kann. Das IP-Telefon bleibt stumm, wenn die Leitung über den Atlantik unterbrochen ist.

Es ist daher eminent wichtig, digital souverän und handlungsfähig zu bleiben, auch in potenziellen Krisenzeiten.

Antwort des Gemeinderates

a)    Formelles

Mit einem Postulat kann jedes Stadtratsmitglied das Begehren stellen, dass der Gemeinderat ein bestimmtes Geschäft prüft und dem Stadtrat über das Ergebnis der Prüfung berichtet (Art. 50 Stadtordnung; Art. 71 Abs. 3 Geschäftsordnung des Stadtrats). Gegenstand des vorliegenden Vorstosses ist es, zu prüfen, wie es um die digitale Souveränität und digitale Handlungsfähigkeit der Stadtverwaltungverwaltung steht. Dabei ist es das Hauptanliegen des Vorstosses, Antworten auf die gestellten Fragen zu erhalten, weshalb der Vorstoss Interpellationscharakter hat. Der Gemeinderat beantwortet die gestellten Fragen nachfolgend. Er beantragt, den Vorstoss anzunehmen und mit vorliegendem Bericht gleichzeitig abzuschreiben.

b)    Inhaltliche Beantwortung

Einleitend ist es dem Gemeinderat wichtig mitzugeben, dass er dem Vertrauen der Bürgerinnen und Bürger grösste Sorge trägt. Dabei kommt der Sicherstellung der Informationssicherheit und des Datenschutzes eine besonders zentrale Bedeutung zu. Die Digitalstrategie der Stadt Nidau formuliert denn auch den Grundsatz, dass die Stadt Nidau die Informationssicherheit und den Datenschutz frühzeitig bei der Umsetzung der gesamtgesellschaftlichen digitalen Transformation berücksichtigt und deren Risiken identifiziert, systematisiert sowie mit angemessenen Massnahmen und Mitteln begegnet.

Insgesamt wird die strategische Ausrichtung einer sorgfältigen und stetigen Weiterentwicklung im Digitalbereich in Begleitung von sinnvollen Schutzmassnahmen verfolgt.

1. Daten

1.1.        Wo sind die Daten gespeichert?

Die Fachanwendungen mit den Personendaten wie z.B. Einwohnerkontrolle, Sozialdienst etc. werden in den Rechenzentren der regionalen IT-Dienstleisterin Talus Informatik AG in der Schweiz bearbeitet und gespeichert. Die Daten des Rechenzentrums der Talus Informatik AG sind in Wiler bei Seedorf respektive in Bern als zweiter Rechenzentrumstandort gespeichert. Das Rechenzentrum ist aktiv/aktiv georedundant aufgestellt, d.h. die Datenspeicherung erfolgt über zwei räumlich getrennte Rechenzentren in Wiler bei Seedorf und Bern. Für die allgemeinen Office-Anwendungen setzt die Stadt Nidau Microsoft 365 ein, das von der Talus Informatik AG mit Datenstandort Schweiz konfiguriert ist, wobei die Datenablage generell ebenfalls im Rechenzentrum der Talus erfolgt und nicht in Microsoft Azure. Wichtig ist zudem zu erwähnen, dass die Stadt Nidau keine geschäftsrelevanten und personenbezogenen Daten in der Microsoft Cloud speichert. Z.B. wird die Microsoft Teams Chat Funktion nur für nicht geschäftsrelevante Daten verwendet und die Chatverläufe nach einem Monat automatisch gelöscht.

1.2.        Nach welchem Standard, Sicherheitsvorgaben werden sie gespeichert und gesichert?

Die Talus Informatik AG betreibt ihre Rechenzentren und die Anwendungen nach branchenüblichen Standards ISO 27001 (IT-Sicherheit), ISO 22301 (Business Continuity), SQS Good Priv@cy (CH-Datenschutz), CyberSeal und Microsoft 365 gemäss entsprechender Vereinbarung. Härtung von Microsoft 365 gemäss Best Practices (Bsp. Center for Internet Security Benchmarks).

1.3.        Auf welchen Technologien basiert die Datenhaltung (Azure (MS), AWS (Amazon), Google, Nextcloud,...)

Rechenzentrum der Talus Informatik AG: VMWare und NetApp, virtuelle Server auf der Basis von Microsoft Windows Server.

Microsoft 365 Tenant-Konfiguration: Datenhaltung in der Schweiz, d.h. die Daten werden physisch in Rechenzentren in der Schweiz gespeichert, die Region wird bei der Erstellung des Tenants festgelegt. Ein Tenant ist in Microsoft 365 die eigene Umgebung einer Organisation.

1.4.        Welche Bestrebungen gibt es, die Datenhaltung zu internalisieren und auf frei verfügbare Technologien zu speichern?

Die kleinräumige Gemeindelandschaft ist an Standardlösungen gebunden. Für eine Gemeinde der Grösse von Nidau ist eine vollständige Internalisierung der Daten kaum umsetzbar. Ziel ist es, die von einzelnen zumeist Schweizer KMU für Kantone und Gemeinden am Markt bereitgestellte Standard-Fachanwendungen geeignet zu integrieren und zu betreiben. Ähnliches gilt für die Office-Anwendungen von Microsoft. Dazu benötigt die Stadt Nidau einen Integrator wie die Talus Informatik AG, der dies für zahlreiche Gemeinden professionell vornehmen kann. Eine Gemeinde wie Nidau muss Marktprodukte einsetzen können (ob open oder closed source), sie kann nicht Lösungen selbst entwickeln lassen, was namentlich Negativbeispiele aus der jüngsten Vergangenheit von anderen Städten bestätigen, die in einem finanziellen, technischen und organisatorischen Fiasko endeten beispielsweise im Bereich von Sozialdienstlösungen oder im Schulbereich. Aus diesem Grund hat die Stadt Nidau unmittelbar keine eigenen Bestrebungen, verfolgt aber die aktuellen übergeordneten Entwicklungen sehr aufmerksam. Es muss zudem sichergestellt werden, dass Integrationen (Bsp. PlugIns/Addins) der Software-Hersteller mit der jeweiligen Office-Umgebung kompatibel sind.

1.5.        Was passiert, wenn die Verbindung zum Technologiehersteller gekappt wird?

Wie eingangs erwähnt, formuliert die Digitalstrategie der Stadt Nidau u.a. den Grundsatz, dass die Stadt den Datenschutz und die Informationssicherheit (ISDS) frühzeitig bei der Umsetzung der digitalen Transformation berücksichtigt und deren Risiken identifiziert, systematisiert sowie mit angemessenen Massnahmen und Mitteln begegnet. Als Schwerpunkt hat der Gemeinderat im Jahr 2024 das ISDS-Management-Konzept der Stadt Nidau[1] genehmigt. Das ISDS-Management-Konzept bildet die Grundlage für die Festlegung der Massnahmen für Informationssicherheit und Datenschutz. Da die Stadt ihre IT-Dienstleistungen hauptsächlich bei externen Dienstleistern bezieht, sieht das Konzept insbesondere die nötige Organisation, die Prozesse und Rollen vor, damit das angestrebte Schutzniveau über alle beteiligten Organisationen hinweg mit klaren Verantwortungen und Schnittstellen sichergestellt ist. Basierend auf dem Konzept wurde ein ISDS-Risikomanagement für die Stadt Nidau entwickelt, das dem Gemeinderat periodisch zusammen mit dem Reporting zur Digitalstrategie vorgelegt wird. Im Rahmen der regelmässigen Risikoüberprüfung werden auch die Abhängigkeiten und der Umgang mit den vielfältigen möglichen Szenarien betrachtet. Zudem hat die Stadt Nidau eine Cyber-Versicherung abgeschlossen, die professionelle Unterstützung im Falle eines Vorfalls bietet.

Sollte z.B. Microsoft die Verbindungen kappen, würde Microsoft Teams und die Telefonie kurzfristig nicht mehr funktionieren. Die Office-Daten an sich wären aber weiterhin verfügbar, da diese entweder auf dem Netzwerkprotokoll für Datei- und Druckerfreigaben (CIFs), oder innerhalb des Dokumentenmanagementsystems der Fachapplikationen im Rechenzentrum der Talus gespeichert sind.

2. Software

2.1.        Welche Software von nicht europäischen Grosskonzernen wird eingesetzt?

Microsoft 365. Der weitaus grösste Teil der Software-Hersteller für die gemeindespezifischen Fachapplikationen sind hingegen Schweizer KMU wie namentlich die Innosolv AG, Abacus Research AG, Diartis AG oder CMI Informatik AG.

2.2.        Welche Bestrebungen gibt es, freie und oder europäische Softwarelösungen einzusetzen?

Da der grösste Teil der spezifischen Fachanwendungen von Schweizer KMU stammt, gibt es diesbezüglich keine unmittelbaren Bestrebungen. Zum Einsatz von Microsoft 365 hält der Gemeinderat fest, dass nicht eine Gemeinde wie Nidau ein Softwarepaket als Alternative zu Microsoft entwickeln kann und soll. Wie bereits erwähnt, ist die kleinräumige Gemeindelandschaft an Standardsoftwarelösungen gebunden. Aber die Stadt Nidau verfolgt die Abklärungen, die übergeordnet auf Stufe Bund und Kantone in den nächsten Jahren vorgenommen werden, aufmerksam. Der Bund hat diesbezüglich eine Initiative ausgelöst, in deren Rahmen er auch Möglichkeiten pilotiert.

2.3.        Was passiert, wenn die Verbindung zum Technologiehersteller gekappt wird?

Siehe oben, das ist wiederum eine Frage des Szenarios und der regelmässigen Risikoüberprüfung.

3. IT-Infrastruktur (Router, Firewalls, Switches, Gateways, Servers)

3.1.        Werden Komponenten eingesetzt, die nur mit einem Uplink zum Hersteller ausserhalb Europas richtig funktionieren (inkl. Externe RZ)?

Nein.

3.2.        Welche Bestrebungen gibt es, freie und oder europäische Lösungen einzusetzen?

Seitens Talus Informatik AG werden im Security Bereich Schweizer Lösungen eingesetzt wie z.B. Xorlab, Saporo.io, etc. Opensource wird im Security Operations Center (SOC) für spezifische UseCases ebenfalls eingesetzt.

3.3.        Was passiert, wenn die Verbindung zum Hersteller gekappt wird?

Es könnten keine Updates mehr bezogen werden z.B. von Sperrlisten etc. Die Frage ist hier wiederum, um welches Szenario mit welcher Dauer des Unterbruchs es sich handelt. Diese Frage wird entsprechend im Rahmen des Risikomanagements eingeordnet (siehe oben).

4. Security

4.1.        Wie wird sichergestellt, dass die IT-Dienstleister die nötigen Sicherheitsvorgaben erfüllen?

Durch vertragliche Vereinbarungen und Zertifizierungen, in Bezug auf die Talus Informatik AG ISO-Zertifizierungen, Gütesiegel CyberSeal und damit verbundene jährliche Überprüfungen, BugBounty Programm mit BugBounty Switzerland sowie weitere interne und externe Audits und Überprüfungen. Zudem legt die Stadt Nidau Wert auf einen regen Austausch mit den externen Dienstleistern und eine kontinuierliche Arbeit an den Prozessen.

4.2.        Welche Vorkehrungen wurden getroffen, um Angriffe effektiv abwehren zu können?

In Bezug auf das Rechenzentrum der Talus werden zahlreiche technische und organisatorische Massnahmen getroffen z.B. DDoS Protection auf den Internet-Links des Rechenzentrums, ThreatFeeds auf den Routern und Firewalls, State of the Art Firewalls (mit GeoBlocking, AntiMalware, DOS-Protection, …) und Mailrelays (mit weiteren Filtern), Xorlab für weitere Erkennung von Phishing etc., Hardening aller Komponenten im Rechenzentrum inkl. Microsoft 365 gemäss CIS-Benchmarks, Log-Management mit Erkennung von Anomalien, Talus eigenes Security Operations Center SOC mit Alarmierungen etc.. Incident Response Pläne (IRP) sind vorhanden sowie weitere Business Continuity Management (BCM) Unterlagen wie auch eine BCM-Zertifizierung auf Seite Talus. Zudem untersteht das Rechenzentrum der Talus einem kontinuierlichen BugBounty Programm mit BugBounty Switzerland – sprich «ethical hackers» versuchen permanent Schwachstellen zu finden und in das System einzudringen.

4.3.        Wie wird sichergestellt, dass im Fall eines digitalen Angriffs weitergearbeitet werden kann?

Hier stellt sich wiederum die Frage, um was für einen Angriff (Szenario) es sich handelt und welche Auswirkungen dieser auf Nidau respektive die Talus hat. Die Szenarien werden im Rahmen des Risikomanagements eingeordnet (siehe oben). Generell kann festgehalten werden, dass die Talus Informatik AG alles daransetzt, um ihre Kunden vor Cyber-Angriffen zu schützen und die Stadt Nidau das komplexe Thema systematisch behandelt und den Schutzmassnahmen sowie der Vorbereitung auf Vorfälle grösste Bedeutung beimisst.

Beschlussentwurf

Annahme und gleichzeitige Abschreibung