Digitale Souveränität für Gemeinden und Energieversorger
Digitale Souveränität ist in aller Munde – doch was bedeutet sie konkret für Sie? Vereinfacht gesagt geht es um die Fähigkeit, selbst zu bestimmen, wo die eigenen Daten liegen, wer darauf Zugriff hat und welche Systeme eingesetzt werden. Gerade für öffentliche Verwaltungen und Energieversorger ist das keine akademische Frage – sondern eine Frage gesetzlicher Vorgaben, der Betriebssicherheit, der Compliance und des Vertrauens der Bevölkerung.
Warum digitale Souveränität für Gemeinden und Energieversorger zentral ist
Gemeinden verwalten sensible Daten: Einwohnerdaten, Steuern, Sozialhilfe, Grundbuch. Energieversorger ergänzen diese Liste um kritische Infrastrukturdaten: Verbrauchsdaten, Netztopologien, Kundenstammdaten und Steuersysteme für Strom, Wasser oder Gas. Für beide gilt: Diese Informationen unterliegen strengen gesetzlichen Anforderungen – vom revidierten Datenschutzgesetz (revDSG) bis zu branchenspezifischen Regulierungen wie dem Stromversorgungsgesetz. Werden diese Daten bei Anbietern ausserhalb der Schweiz verarbeitet, verlieren Gemeinden und Energieversorger einen Teil ihrer Kontrolle – auch wenn die Verträge auf den ersten Blick sicher wirken. Amerikanische Cloud-Gesetze wie der CLOUD Act können US-Behörden theoretisch Zugriff auf Daten verschaffen, selbst wenn diese in Europa respektive der Schweiz gespeichert sind.
Die häufige Fehlannahme: Cloud bedeutet Kontrollverlust
Outsourcing als Weg zur Souveränität – nicht weg davon
Das RIO – Talus’ eigenes Rechenzentrum in der Schweiz
Das RIO ist ISO 27001- und ISO 22301-zertifiziert, trägt das Datenschutzgütesiegel SQS Good Priv@cy und ist mit dem CyberSeal Gütesiegel ausgezeichnet. Die georedundante Infrastruktur – mit einer Spiegelung über komplett weggetrennte, redundante Dark Fiber Verbindungen zur DV Bern AG – garantiert höchste Verfügbarkeit. Dank eigener Photovoltaikanlage und Einkauf von 100% erneuerbarem Strom setzt Talus zudem auf nachhaltige IT.
Digitale Souveränität aus erster Hand, Michael Weissbach im Gespräch
Was bedeutet digitale Souveränität für dich persönlich – und warum ist sie gerade jetzt so wichtig?
"Digitale Souveränität wird aktuell oft stark mit Open Source verbunden. Aus meiner Sicht greift das zu kurz. Entscheidend ist, dass Organisationen Kontrolle über ihre Daten, Systeme und Abhängigkeiten behalten. Krisen wie Covid haben gezeigt, wie wichtig Swissness und Wertschöpfung in der Schweiz sind – idealerweise bei zertifizierten Partnern, die die Anforderungen kennen."
Wo siehst du bei Gemeinden und Energieversorgern die grössten Risiken in Bezug auf Datenkontrolle und Abhängigkeiten?
"Ein Risiko besteht dort, wo IT weiterhin intern betrieben wird, aber geschultes Personal, Budget oder Sicherheitsmechanismen fehlen. Dann wird es schwierig, regulatorische Anforderungen langfristig zu erfüllen. Gleichzeitig entstehen vermeidbare Cyberrisiken. Bei grossen Hyperscalern kommen zudem Abhängigkeiten, Preisänderungen und ein oft aufwendiger Wechsel zurück hinzu."
Was empfiehlst du Organisationen, die heute noch zögern – welches ist der erste konkrete Schritt?
"Organisationen sollten das Beste aus verschiedenen Welten kombinieren. Nicht besonders schützenswerte Daten können über Standardwerkzeuge wie M365 bearbeitet werden, sofern das Restrisiko bewusst akzeptiert wird. Für vertrauliche und besonders schützenswerte Daten empfehle ich einen lokal verankerten Partner mit passenden Zertifizierungen, Labels und Erfahrung. Der erste Schritt ist ein Inventar aller Daten, Tools und Systeme – darauf aufbauend lässt sich die passende Betriebsstrategie definieren."
Worauf Gemeinden und Energieversorger bei der Wahl achten sollten
- Werden die Daten ausschliesslich in der Schweiz gespeichert und verarbeitet?
- Ist der Anbieter ISO-zertifiziert und arbeitet revDSG-konform? Bei der ISO-Zertifzierung unbedingt den Scope (Geltungsbereich) prüfen und die SOA (Statement of Applicability) verlangen.
- Sind die Verträge transparent – insbesondere zu Datenzugriff und Subauftragsverarbeitern?
- Verfügt der Anbieter über ein breites Portfolio im Bereich CyberSecurity (Awareness, Security-/SOC-Services, Security Assessments, …)?
- Gibt es einen klar definierten Exit-Plan, falls die Zusammenarbeit endet?
- Wie wird der Support organisiert – lokal und erreichbar, oder irgendwo im Ausland?