Ergebnisbericht

spiel, sondern sollten damit auch andere Grundsätze unterstrichen werden, die im Vorentwurf noch fehlen und vom CCC-CH zur Hinzufügung vorgeschlagen würden. Im Weiteren schlägt der CCC-CH vor, einen weiteren Buchstaben hinzuzufügen, welcher festhalte,

dass das Gesetz auch dafür sorge, die E-Government-Dienste so aufzubauen, dass diese auch mit E-Government-Diensten anderer Länder interagieren könnten. Dies unterstreiche dann auch die Wichtigkeit von Art. 13 zu Standards, die einzuhalten seien bzw. auf die sich (international) zu einigen sei. Ferner wäre es gemäss dem CCC-CH von grosser Wichtigkeit, im Gesetz weitere Grundsätze festzuhalten, die sich bei jüngeren Digitalisierungsprojekte und auch beim Nein zum E-ID-Gesetz vom 7. März 2021 als Manko gezeigt hätten: Namentlich sollte das Gesetz festhalten, dass E-Government-Dienste technisch dezentralisiert aufzubauen seien, so dass persönliche Nutzdaten bei den Benutzerinnen und Benutzern zu liegen kämen. Dies spiele besonders bei den E-Government-Projekten eine Rolle, wo (sensible) persönliche Daten anfallen. Auf die Erfassung von Metadaten sollte überdies - technisch umgesetzt - verzichtet werden. Kurzum sollten E-Government-Systeme nach dem Prinzip von Privacy-by-Design und Privacy-by-Default aufgebaut werden. E-Government-Dienste, wo persönliche Daten im Spiel sind, sollten zudem so abgesichert werden, dass nur die involvierten Parteien die Daten im Klartext sehen könnten. Dabei sei auf Ende-zu-Ende-Verschlüsselung insofern zu setzen, als dass geheimes Schlüsselmaterial nur an den involvierten Endstellen verfügbar sei und dort erzeugt

werde. Wie beim elektronischen Patientendossier auch, wären nach dem aktuellen Vorentwurf sämtliche Dokumente auf zentrale Weise les- und damit abgreifbar, was die Vertraulichkeit massiv verletzen könne - im negativen Fall wäre die Folge eine Vertrauenserosion in diese E-Government-Plattform und dem Justizsystem als Ganzes. Überdies sollte das Gesetz für alle E-Government-Systeme Bug-Bounty-Programme vorsehen, womit Personen oder Organisationen entlöhnt würden, welche Sicherheits-Mängel für die Privatsphäre entdecken und diese melden. Die Meldungen seien überdies zu veröffentlichen - aus Transparenzgründen und für den Aufbau einer (gesunden) Fehlerkultur in der Verwaltung. Und schliesslich sollten E-Government-Dienste regelmässig auf Risiken für die Privatsphäre und Sicherheit überprüft werden, indem der Bund entweder eigene Kompetenzstellen aufstocke und mit weitergehenden Mandaten versehe - so z.B. MELANI – oder spezialisierte (private) Dritte regelmässig beauftrage, die entsprechenden Programme im Quellcode und im Betrieb zu überprüfen. Sämtliche Sicherheitsberichte (auch von privaten Dritten erstellte) sollten vollständig veröffentlicht werden, nachdem die Mängel behoben seien.

Der SGB unterbreitet zu Absatz 1 folgenden Formulierungsvorschlag:

«¹ Die Bundesbehörden streben zur Erhöhung der Effizienz und zur Erschliessung neuer Möglichkeiten und der Barrierefreiheit den Einsatz elektronischer Mittel an für die Interaktion: …»

Ferner stellt der Kt. BE fest, dass der Gesetzesentwurf in Artikel 4 Absatz 1 Buchstabe a neben den Kantonen auch die Gemeinden erwähnt, nicht aber in Artikel 2 Absatz 2, Artikel 12 und Artikel 13. Dies könnte Unklarheit darüber schaffen, ob die Gemeinden als Behörden des kantonalen Rechts auch von den Artikeln 2, 12 und 13 miterfasst seien. Der Kt. BE bittet daher zu prüfen, ob diesbezüglich eine Präzisierung nötig sei.

• Änderungsanträge und Anregungen zu Artikel 4 Absatz 2

Die KdK und 2 Kantone (Kt. GL und Kt. VS) bringen zu Artikel 4 Absatz 2 vor, dass die verpflichtenden Vorgaben, welche den Kantonen in den Artikel 12 und 13 VE-EMBaG gemacht werden, im Widerspruch zum Grundsatz stünden, wonach die Tätigkeiten mit den Kantonen abgestimmt und deren Autonomie gewahrt werden müsse.

Laut dem SSV seien von der postulierten Abstimmung und der Wahrung der Autonomie nicht nur Kantone, sondern auch Gemeinden und Städte sowie deren Autonomie betroffen. Dieser Absatz müsse daher mit «Gemeinden/Städten» und deren Autonomie ergänzt werden. Des Weiteren sei einzig die Abstimmung mit den Kantonen festgeschrieben, nicht aber mit den Gemeinden, welche direkt oder über die Kantone ebenfalls zur Übernahme oder jedenfalls zur Nutzung von IKT-Lösungen des Bundes verpflichtet werden könnten. Fehle eine verbindliche und konsequente Koordinationspflicht, drohe insbesondere den