Bern · 152.09 · statute
Ask the law about thisMore laws of BernFor machines: Markdown
The publisher does not state since when this version applies. Read on 2026-11-01.
Copy read on 2026-11-01. The page it was read from
sha256 efba2608011020d8db2066d6b8aeec3f9537059d8badfbfe45df08aae138b536
Zweck 1 Dieses Gesetz soll die sichere Bearbeitung von Informationen und den sicheren Einsatz von ICT-Mitteln durch Behörden gewährleisten. 2 Es schützt die folgenden öffentlichen Interessen: a die Entscheidungs- und Handlungsfähigkeit der Behörden, b die öffentliche Ordnung und Sicherheit, c die Erfüllung der gesetzlichen und vertraglichen Verpflichtungen der Behörden zum Schutz von Informationen.
Geltungsbereich 1 Dieses Gesetz gilt für die kantonalen Behörden und die Gemeinden im Sinne der Kantonsverfassung (Kapitel 5 und 7), unter Vorbehalt von Absatz 2. 2 Für andere Träger öffentlicher Aufgaben und Gemeinden gelten nur die Bestimmungen über a klassifizierte Informationen, soweit klassifizierte Informationen des Kantons oder des Bundes bearbeitet werden, b die Sicherheit beim Einsatz von ICT-Mitteln, soweit auf ICT-Mittel des Kantons oder des Bundes zugegriffen wird.
Verhältnis zu anderen Gesetzen 1 Die Artikel 27 bis 31a des Gesetzes vom 2. November 1993 über die Information und die Medienförderung (IMG)2) gehen diesem Gesetz vor. 1) BSG 101.1 2) BSG 107.1 * Änderungstabellen am Schluss des Erlasses 26-050 152.09 2 2 Dieses Gesetz findet ergänzend Anwendung a auf Informationen, deren Schutz auch in Gesetzen des Bundes oder in anderen Gesetzen des Kantons geregelt ist, b für die Sicherheit von Personendaten gemäss Artikel 2 Absatz 1 des Datenschutzgesetzes vom 19. Februar 1986 (KDSG)3).
Begriffe 1 In diesem Gesetz bedeuten: a Informationssicherheit: Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit von Informationen, 1. Vertraulichkeit: Informationen sind nur Berechtigten zugänglich, 2. Verfügbarkeit: Informationen sind verfügbar, wenn sie benötigt werden, 3. Integrität: Informationen werden nicht unberechtigt oder unbeabsichtigt verändert, 4. Nachvollziehbarkeit: Informationen werden nachvollziehbar und zurechenbar bearbeitet, b Cybersicherheit: Informationssicherheit bei der Übertragung von Informationen über Netzwerke, c ICT-Mittel: Güter und Dienstleistungen der Informations- und Telekommunikationstechnik (ICT), einschliesslich Hardware und Software. 2 Grundsätze
Pflichten der Behörden 1 Die Behörden sorgen dafür, dass a der Schutzbedarf der Informationen in ihrem Verantwortungsbereich beurteilt wird, b die Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit der Informationen gemäss Buchstabe a ihrem Schutzbedarf entsprechend gewährleistet sind, c ihre ICT-Mittel vor Missbrauch und Störungen geschützt werden und d die Informationssicherheit regelmässig überprüft wird. 2 Sie stellen das Risikomanagement sicher, indem sie a die Risiken für die Informationssicherheit laufend beurteilen, b die erforderlichen Massnahmen treffen, um die Risiken zu vermeiden oder auf ein tragbares Mass zu reduzieren, und 3) BSG 152.04 3 152.09 c Risiken, die getragen werden sollen, nachweislich akzeptieren. 3 Sie tragen den Grundsätzen der Zweckmässigkeit, der Wirtschaftlichkeit und der Benutzerfreundlichkeit Rechnung.
Beauftragte Dritte 1 Beauftragen die Behörden Dritte, so sorgen sie dafür, dass a die Anforderungen und Massnahmen nach diesem Gesetz den Dritten vertraglich überbunden werden, b die Umsetzung angemessen überprüft wird, und c die Nichteinhaltung sanktioniert wird.
Reaktionsfähigkeit und Vorsorge 1 Die Behörden stellen sicher, dass a Verletzungen der Informationssicherheit rasch erkannt, deren Ursachen behoben und die Auswirkungen minimiert werden, b für schwerwiegende Verletzungen der Informationssicherheit, welche die Erfüllung von Aufgaben des Kantons mit grosser Wichtigkeit für die Bevölkerung gefährden können, Vorsorgeplanungen erstellt werden, c die Vorsorgeplanungen umgesetzt und regelmässig aktualisiert werden. 3 Organisatorische Massnahmen
Klassifizierung 1 Die Behörden klassifizieren Informationen, deren Kenntnisnahme durch Unberechtigte die öffentlichen Interessen gemäss Artikel 1 Absatz 2 Buchstabe a und b beeinträchtigen kann. 2 Die Klassifizierung erfolgt in den folgenden Stufen: a «intern», wenn die öffentlichen Interessen aufgrund der Kenntnisnahme durch Unberechtigte beeinträchtigt werden können, b «vertraulich», wenn die öffentlichen Interessen aufgrund der Kenntnisnahme durch Unberechtigte erheblich beeinträchtigt werden können, c «geheim», wenn die öffentlichen Interessen aufgrund der Kenntnisnahme durch Unberechtigte schwerwiegend beeinträchtigt werden können. 3 Sie ist auf das erforderliche Mindestmass zu beschränken und möglichst zeitlich zu begrenzen. 4 Der Regierungsrat regelt die Klassifizierung und Entklassifizierung durch Verordnung. 152.09 4
Zugang zu klassifizierten Informationen 1 Zugang zu klassifizierten Informationen erhalten nur Personen, a die Gewähr dafür bieten, dass sie die öffentlichen Interessen gemäss Artikel 1 Absatz 2 nicht beeinträchtigen, und b die Informationen zur Erfüllung ihrer gesetzlichen oder vertraglichen Aufgabe benötigen. 2 Der Zugang zu klassifiziertem Archivgut richtet sich nach den Bestimmungen der Archivierungsgesetzgebung.
Zugang in besonderen Verfahren 1 Der Zugang zu klassifizierten Informationen des Grossen Rates und der Parlamentsdienste sowie der Gerichtsbehörden und der Staatsanwaltschaft richtet sich unter Vorbehalt von Absatz 2 nach den Bestimmungen der Spezialgesetzgebung. 2 Vor dem Entscheid, den Zugang zu einer klassifizierten Information gemäss Absatz 1 zu ermöglichen, hört die zuständige parlamentarische, Verwaltungs- oder Justizbehörde die klassifizierende Stelle an. 4 Technische Massnahmen 4.1 Sicherheitsverfahren
Zweck 1 Der Regierungsrat oder das von ihm bestimmte Organ der Kantonsverwaltung legt ein Sicherheitsverfahren fest, das die Informationssicherheit beim Einsatz von ICT-Mitteln gewährleistet.
Inhalt 1 Das Sicherheitsverfahren umfasst insbesondere a die Beurteilung des Schutzbedarfs der Informationen vor dem Einsatz von ICT-Mitteln, b die Bestimmung der sich aus dem Schutzbedarf ergebenden Sicherheitsstufe und der angemessenen Sicherheitsmassnahmen, c die Umsetzung der Sicherheitsmassnahmen und deren Überprüfung, d die Zuständigkeit für die Sicherheitsfreigabe von ICT-Mitteln und für die Akzeptanz verbleibender Risiken, e das Vorgehen bei Veränderung der Risiken. 5 152.09
Sicherheitsstufe 1 Für die ICT-Mittel gilt die Sicherheitsstufe a «sehr hoher Schutz», wenn eine Sicherheitsverletzung die öffentlichen Interessen gemäss Artikel 1 Absatz 2 schwerwiegend beeinträchtigen kann, b «hoher Schutz», wenn eine Sicherheitsverletzung die öffentlichen Interessen gemäss Artikel 1 Absatz 2 erheblich beeinträchtigen kann, c «Grundschutz» in den anderen Fällen.
Zuständigkeit 1 Für die Durchführung des Sicherheitsverfahrens ist die Behörde zuständig, welche die ICT-Mittel zur Erfüllung ihrer gesetzlichen Aufgabe einsetzt oder anderen Behörden zur Verfügung stellt.
Delegation 1 Der Regierungsrat kann durch Verordnung die Schutzmassnahmen regeln, die für Informationen, ICT-Mittel und Personendaten zu ergreifen sind, abhängig von a der Klassifizierung von Informationen, b der Sicherheitsstufe von ICT-Mitteln und c der Schutzwürdigkeit von Personendaten nach Massgabe der Datenschutzgesetzgebung. 4.2 Sicherheit beim Betrieb
1 Die Behörden gewährleisten in ihrem Verantwortungsbereich die Sicherheit der ICT-Mittel, die sie für sich selbst oder im Auftrag einer anderen Behörde betreiben. 5 Physische Massnahmen
Grundsatz 1 Die Behörden sorgen in ihrem Verantwortungsbereich für einen angemessenen physischen Schutz der Informationen und der ICT-Mittel. 152.09 6
Sicherheitszonen 1 Die Behörden können Räumlichkeiten oder Bereiche als Sicherheitszonen bezeichnen, in denen a regelmässig Informationen der Klassifizierung «geheim» bearbeitet werden oder b ICT-Mittel, für welche die Sicherheitsstufe «sehr hoher Schutz» gilt, betrieben werden. 2 Sie können in Sicherheitszonen a das Mitführen bestimmter Gegenstände, insbesondere von Aufnahmegeräten, verbieten, b sicherheitsempfindliche Bereiche mit Aufnahmegeräten überwachen, c Taschen- und Personenkontrollen durchführen, d unangemeldet Raumkontrollen durchführen, auch in Abwesenheit der Angestellten, e störende Fernmeldeanlagen gemäss Artikel 34 Absatz 1ter des eidgenössischen Fernmeldegesetzes vom 30. April 1997 (FMG)4) betreiben. 6 Personelle Massnahmen 6.1 Auswahl, Instruktion und Berechtigung
1 Die Behörden sorgen dafür, dass Personen, die Zugang zu behördlichen Informationen, ICT-Mitteln, Räumlichkeiten und anderen Infrastrukturen haben, a sorgfältig ausgewählt, risikogerecht identifiziert, funktionsgerecht aus- und weitergebildet sowie gegebenenfalls zu Geheimhaltung und besonderer Sorgfalt verpflichtet werden, b nur berechtigt werden, soweit dies zur Erfüllung ihrer gesetzlichen oder vertraglichen Aufgaben nötig ist. 2 Der Kanton stellt anderen Trägern öffentlicher Aufgaben und Gemeinden gegen Entgelt die nötigen Aus- und Weiterbildungen zur Verfügung. 4) SR 784.10 7 152.09 6.2 Personensicherheitsprüfung
Zweck 1 Die Personensicherheitsprüfung dient zur Beurteilung, ob ein Risiko für die Informationssicherheit oder die Sicherheit der Anlagen bestehen könnte, wenn eine Person im Rahmen ihrer Funktion oder eines Auftrags Zugang zu sicherheitsrelevanten Informationen oder Anlagen hat. 2 Bei der Personensicherheitsprüfung werden die für die Beurteilung gemäss Absatz 1 benötigten Daten über die Vertrauenswürdigkeit der geprüften Person erhoben, insbesondere über ihre allfällige Straffälligkeit und ihre finanzielle Lage.
Prüfstufen 1 Die Personensicherheitsprüfung wird als Grundsicherheitsprüfung oder als erweiterte Personensicherheitsprüfung durchgeführt. 2 Bei der Grundsicherheitsprüfung kann die prüfende Behörde a Daten aus dem Strafregister oder aus den Registern der Betreibungs- und Konkursbehörden erheben, b Informationen aus öffentlich zugänglichen Quellen oder eigenen Akten berücksichtigen, c die geprüfte Person befragen, d Drittpersonen befragen, wenn die geprüfte Person zustimmt. 3 Bei der erweiterten Personensicherheitsprüfung kann die prüfende Behörde zudem durch die Kantonspolizei Daten erheben lassen a aus den Datenbearbeitungssystemen der Kantonspolizei gemäss Artikel 143 des Polizeigesetzes vom 10. Februar 2019 (PolG)5), b aus den Datenbearbeitungssystemen des Bundes oder der anderen Kantone, soweit die Kantonspolizei gemäss Artikel 147 PolG zum direkten Zugriff berechtigt ist. 4 Die Kantonspolizei teilt der prüfenden Behörde die Daten gemäss Absatz 3 in dem Umfang mit, der für den Zweck der Prüfung erforderlich ist. Soweit damit vereinbar, anonymisiert sie die Daten und fasst sie zusammen. 5) BSG 551.1 152.09 8
Voraussetzungen 1 Die Grundsicherheitsprüfung kann durchgeführt werden, wenn die zu prüfende Person a häufig oder in grossem Umfang Zugang hat zu 1. als «vertraulich» klassifizierten Informationen, 2. besonders schützenswerten Personendaten, deren Offenbarung die Persönlichkeitsrechte der Betroffenen schwerwiegend beeinträchtigen könnte, b Einblick in wichtige politische oder sicherheitsrelevante Geschäfte hat, c Zugang zu sicherheitsrelevanten Anlagen oder zu Sicherheitszonen gemäss Artikel 18 hat oder d eine Tätigkeit ausübt, mit der vergleichbare Risiken verbunden sind. 2 Die erweiterte Personensicherheitsprüfung kann durchgeführt werden, wenn die zu prüfende Person a häufig oder in grossem Umfang Zugang hat zu 1. als «geheim» klassifizierten Informationen, 2. Personendaten, deren Offenbarung eine Gefahr für die körperliche Integrität der Betroffenen darstellen könnte, b regelmässig oder unbegleitet Zugang zu sicherheitsrelevanten Anlagen oder zu Sicherheitszonen gemäss Artikel 18 hat oder c eine Tätigkeit ausübt, mit der vergleichbare Risiken verbunden sind.
Zu prüfende Personen 1 Folgende Behörden regeln je für ihren Bereich, für welche Funktionen welche Sicherheitsprüfungen durchgeführt werden: a der Grosse Rat für die von ihm gewählten Personen sowie für die Angestellten und Beauftragten des Grossen Rates oder der Parlamentsdienste durch Weisung des Büros, b der Regierungsrat für die von ihm ernannten Personen sowie die Angestellten und Beauftragten der Direktionen und der Staatskanzlei durch Verordnung, c die Justizverwaltungsleitung für die Angestellten und Beauftragten der Gerichtsbehörden und der Staatsanwaltschaft durch Weisung. 2 Der Regierungsrat kann durch Verordnung vorsehen, dass die Regelung gemäss Absatz 1 Buchstabe b in Bezug auf Angestellte und Beauftragte durch Weisungen der Direktionen oder der Staatskanzlei oder von Fachorganen der Verwaltung erfolgt. 9 152.09 3 Für Richterinnen und Richter, die Generalstaatsanwältin oder den Generalstaatsanwalt sowie die stellvertretenden Generalstaatsanwältinnen und Generalstaatsanwälte beschränkt sich die Prüfung auf das Einholen von Daten aus dem Strafregister oder aus den Registern der Betreibungs- und Konkursbehörden vor der Wahl und allfällige Rückfragen an die betroffenen Personen dazu. Die Prüfung kann anlässlich der Wiederwahlen wiederholt werden.
Prüfende Behörden 1 Angestellte der Behörden werden durch die Anstellungsbehörde geprüft. 2 Beauftragte der Behörden werden durch die auftraggebende Behörde geprüft. 3 Personen, die als Mitglied einer Behörde gewählt werden sollen, werden geprüft a durch die Behörde, die den Antrag zur Wahl stellt, oder b durch die Wahlbehörde, wenn keine Behörde einen Antrag zur Wahl stellt.
Prüfung durch die Fachstelle Personensicherheitsprüfung des Bundes 1 Auf Antrag der prüfenden Behörden gemäss Artikel 24 können die Sicherheitsverantwortlichen des Grossen Rates, der Direktionen oder der Staatskanzlei sowie der Gerichtsbehörden und der Staatsanwaltschaft ausnahmsweise die für Personensicherheitsprüfungen zuständige Fachstelle des Bundes mit der Durchführung der erweiterten Personensicherheitsprüfung beauftragen, wenn a die ausgeübte Tätigkeit mit einem besonders hohen Risiko verbunden ist, b die geprüfte Person einen Auslandsbezug aufweist, aus dem sich Risiken ergeben könnten, oder c eine Befragung durch Fachpersonen angezeigt erscheint. 2 In diesem Fall sind für den Umfang und das Verfahren der erweiterten Personensicherheitsprüfung die Artikel 34 bis 40 des Bundesgesetzes vom 18. Dezember 2020 über die Informationssicherheit (Informationssicherheitsgesetz, ISG)6) sowie die entsprechenden Ausführungsbestimmungen des Bundesrechts massgeblich. 3 Die prüfende Behörde kann auf eine Personensicherheitsprüfung verzichten, wenn die zu prüfende Person eine Sicherheitserklärung der Fachstelle des Bundes (Art. 39 ISG) vorlegt und die Wiederholungsfrist (Art. 30) noch nicht abgelaufen ist. 6) SR 128 152.09 10
Zustimmung und Mitwirkung 1 Personensicherheitsprüfungen dürfen nur mit Zustimmung der zu prüfenden Person durchgeführt werden. 2 Die zu prüfende Person ist verpflichtet, an der Feststellung des Sachverhalts mitzuwirken.
Vorbehalt der Bundesgesetzgebung 1 Bei Personen, die klassifizierte Informationen des Bundes bearbeiten oder auf ICT-Mittel des Bundes zugreifen, bleiben die Bestimmungen der Bundesgesetzgebung über die Informationssicherheit vorbehalten.
Ergebnis 1 Die prüfende Behörde teilt der geprüften Person das Ergebnis der Personensicherheitsprüfung mit. 2 Die geprüfte Person kann innert zehn Tagen Einsicht in die Prüfungsunterlagen nehmen und die Berichtigung falscher Daten verlangen. In begründeten Fällen kann die Frist verlängert werden. 3 Die prüfende Behörde vernichtet die Prüfungsunterlagen a innerhalb von drei Monaten, nachdem die geprüfte Person 1. die Anstellung oder den Auftrag ablehnt, 2. dafür nicht berücksichtigt wird oder 3. die Funktion, wegen der sie geprüft wurde, nicht mehr ausübt, b spätestens jedoch nach zehn Jahren.
Folgen 1 Stimmt eine zu prüfende Person der Prüfung nicht zu (Art. 26 Abs. 1) oder ergeben sich aus der Prüfung Erkenntnisse, die einem Arbeitsverhältnis, einer Wahl oder einem Auftrag entgegenstehen, a kann auf den Abschluss eines Arbeitsvertrags, auf die Wahl oder auf die Beauftragung verzichtet werden, b kann von einer bereits erfolgten mündlichen oder schriftlichen Zusage zurückgetreten werden, c können bei bestehendem Arbeitsverhältnis personalrechtliche Massnahmen ergriffen werden. 11 152.09
Wiederholung 1 Die Personensicherheitsprüfung von Angestellten und Beauftragten wird wie folgt wiederholt: a Grundsicherheitsprüfung: frühestens nach fünf, spätestens aber nach zehn Jahren, b erweiterte Personensicherheitsprüfung: frühestens nach drei, spätestens aber nach fünf Jahren. 2 Die prüfende Behörde kann die Personensicherheitsprüfung früher wiederholen, wenn sie Grund hat anzunehmen, dass seit der letzten Prüfung neue Risiken entstanden sind. 3 Die Personensicherheitsprüfung von Behördenmitgliedern kann anlässlich ihrer Wiederwahl wiederholt werden. 7 Sicherheitsorganisation
Sicherheitsorganisation des Kantons und der kantonalen Verwaltung 1 Der Regierungsrat regelt durch Verordnung die Organisation und die Aufgaben a der für gesamtkantonale Sicherheitsbelange zuständigen Organe, b der Sicherheitsorgane der kantonalen Verwaltung. 2 Er kann diese Aufgaben Organen gemäss Artikel 21 Absatz 2 Buchstabe a des Gesetzes vom 7. März 2022 über die digitale Verwaltung (DVG)7) übertragen. 3 Die Einwohnergemeinden und gemischten Gemeinden sind in diesen Organen angemessen vertreten, soweit sie betroffen sind.
Sicherheitsorganisation der anderen Behörden 1 Die nicht der kantonalen Verwaltung angehörenden Behörden, für die dieses Gesetz gilt, geben sich eine ihren Aufgaben und den damit verbundenen Sicherheitsrisiken angemessene Sicherheitsorganisation. 2 Sie bezeichnen eine Person, die a für die Informationssicherheit verantwortlich ist und b über angemessene Kompetenzen und Ressourcen sowie eine angemessene Ausbildung verfügt. 7) BSG 109.1 152.09 12 8 Ausführungsbestimmungen
Regierungsrat 1 Der Regierungsrat erlässt die Ausführungsbestimmungen durch Verordnung. 2 Er kann a den Erlass technischer und organisatorischer Vorschriften wie die Festlegung von Standards, Sicherheitsanforderungen und Prozessen an die Finanzdirektion, ein Amt oder ein Fachorgan der Kantonsverwaltung delegieren und dazu b die Finanzdirektion zum Erlass von Direktionsverordnungen ermächtigen.
Grosser Rat 1 Die Ausführungsbestimmungen zum vorliegenden Gesetz gelten für den Grossen Rat, seine Organe und die Parlamentsdienste sinngemäss, soweit der Grosse Rat oder das Büro des Grossen Rates keine eigenen Ausführungsbestimmungen beschliesst. 2 Zuständigkeiten, die das vorliegende Gesetz den Behörden zuweist, werden für den Grossen Rat durch das Büro des Grossen Rates wahrgenommen, welches diese an andere Ratsorgane oder die Parlamentsdienste delegieren kann. 9 Übergangs- und Schlussbestimmungen 9.1 Übergangsbestimmungen
Klassifizierung von Informationen gemäss Artikel 8 1 Der Regierungsrat regelt durch Verordnung, unter welchen Bedingungen die vor dem Inkrafttreten dieses Gesetzes geschaffenen Informationen klassifiziert werden.
Erstmalige Personensicherheitsprüfung gemäss Artikel 30 1 Die erstmalige Personensicherheitsprüfung der zum Zeitpunkt des Inkrafttretens dieses Gesetzes bereits angestellten oder beauftragten Personen erfolgt innerhalb der Fristen gemäss Artikel 30 Absatz 1. 2 Die erstmalige Personensicherheitsprüfung der zum Zeitpunkt des Inkrafttretens dieses Gesetzes bereits im Amt stehenden Behördenmitglieder erfolgt anlässlich ihrer Wiederwahl. 13 152.09
Festlegung von Fristen durch den Regierungsrat 1 Der Regierungsrat bestimmt die Fristen, innerhalb derer die von diesem Gesetz und seinen Ausführungsbestimmungen vorgesehenen Massnahmen erstmals ergriffen werden müssen. 9.2 Schlussbestimmungen
Änderung eines Erlasses 1 Das Polizeigesetz vom 10. Februar 2019 (PolG)8) wird geändert.
Inkrafttreten 1 Der Regierungsrat bestimmt den Zeitpunkt des Inkrafttretens. Bern, 12. Juni 2025 Im Namen des Grossen Rates Die Präsidentin: Siegenthaler Der Generalsekretär: Trees Auszug aus dem Protokoll des Regierungsrates vom 12. November 2025 Der Regierungsrat stellt fest, dass vom Referendumsrecht zum Gesetz über die Informations- und Cybersicherheit (ICSG) innerhalb der festgesetzten Frist kein Gebrauch gemacht worden ist. Das Gesetz ist in die Bernische Amtliche Gesetzessammlung aufzunehmen. Für getreuen Protokollauszug Der Staatsschreiber: Auer RRB Nr. 975 vom 9. September 2026: Inkraftsetzung auf den 1. November 2026 8) BSG 551.1 152.09 14 Änderungstabelle - nach Beschluss Beschluss Inkrafttreten Element Änderung BAG-Fundstelle 12.06.2025 01.11.2026 Erlass Erstfassung 26-050 15 152.09 Änderungstabelle - nach Artikel Element Beschluss Inkrafttreten Änderung BAG-Fundstelle Erlass 12.06.2025 01.11.2026 Erstfassung 26-050