Datenschutz und Informationssicherheit

Eine sichere und vertrauliche elektronische Kommunikation zu gewährleisten, ist eine prioritäre Anforderung an das Projekt. Das Vertrauen in die Plattform «Justitia.Swiss» ist essentiell für die zukünftige Funktionsweise der Justiz, genauso wie heute die Justiz der Post vertraut, dass diese die Zustellung der Sendungen zuverlässig erledigt.

Um dieses Vertrauen zu erhalten und zu bewahren, wird die Plattform einerseits die von ihr erwarteten Leistungen (elektronischer Rechtsverkehr und elektronische Akteneinsicht) erbringen und andererseits die vorübergehend auf der Plattform sich befindenden Daten gemäss den gesetzlichen Vorgaben schützen. Zur Realisierung dieses Schutzes sind organisatorische, applikatorische und technische Massnahmen vorgesehen.  Die Anpassung dieser Sicherheitsmassnahmen an die aktuelle Bedrohung ist eine permanente Aufgabe. Die Daten müssen, gemäss geplanter gesetzlicher Vorgabe, zwingend in der Schweiz und durch eine Organisation (Behörde oder Firma), die dem Schweizer Datenschutzrecht untersteht, gehalten werden. Schliesslich wurde entschieden, das Design und der geschäftsspezifische Source Code der Plattform, mit Ausnahme der sicherheitsrelevanten Einstellungen, zu veröffentlichen.

Sicherheitsmassnahmen im Detail

1. Folgende organisatorische Massnahmen sind unter anderem vorgesehen:

  • Die Überwachung der zukünftigen Betriebsorganisation ist klar geregelt.
  • Die involvierten Dienstleister werden regelmässig auditiert, beim technischen Betreiber werden im Rahmen von Security-Audits auch Penetrationstests durchgeführt. Für den technischen Betreiber wird ein nach ISO/IEC 27001 zertifiziertes Information Security Management System (ISMS) gefordert.
  • Die Sicherheit des Betriebs wird kontinuierlich durch ein «Security Operations Center» überwacht.
  • Die Sicherheitsorganisation des Plattform-Betreibers pflegt eine enge Zusammenarbeit mit nationalen und internationalen Cyber Security Organisationen, insbesondere mit dem «Computer Emergency Response Team (GovCert)» des Bundes und mit dem «Nationalen Zentrum für Cybersicherheit».
  • Mitarbeitende und Subunternehmer werden geprüft und in regelmässigen Sicherheitstrainings geschult.
  • Zugriffsrechte zu Daten und Funktionen werden in einem Bearbeitungsreglement transparent beschrieben und die Korrektheit der Rollen regelmässig überprüft.

 

2. Folgende applikatorische Massnahmen sind unter anderem im Grobdesign berücksichtigt:

  • Geregelte, elektronische Siegel gemäss ZertES gewährleisten die Integrität der ausgetauschten Dokumente.
  • Sämtliche rechtsverbindlichen Ereignisse werden unbestreitbar in einem Journal (Audit Trail) aufgezeichnet.
  • Zur Sicherstellung der Vertraulichkeit müssen sich Benutzende stark authentisieren (2-Faktor Authentisierung).
  • Sämtliche Zugriffe über die Plattform oder über Schnittstellen (APIs) werden autorisiert, d.h. die Berechtigungsprüfung findet bei jedem Zugriff statt.
  • Auf der Plattform «Justitia.Swiss» werden nur einsehbare Kopien von Aktenstücken gespeichert, d.h. die rechtsrelevante Akte verbleibt bei der verfahrensleitenden Justizbehörde.
  • Für das Design und die Entwicklung werden die Grundsätze von «Privacy by Design» (Datenschutz durch Technik) und «Privacy by Default» (Datenschutz mit datenschutzfreundlichen Voreinstellungen) berücksichtigt, wie sie im revidierten Datenschutzgesetz verankert sind.

 

3. Folgende technische Massnahmen verbessern unter anderem die Sicherheit der Infrastruktur:

  • Sämtliche Kommunikationsverbindungen werden verschlüsselt und Dateien oder Dokumente werden verschlüsselt gespeichert.
  • Die Daten werden pro Mandant (bspw. pro Kanton) getrennt verwaltet und mit einem mandatsspezifischen technischen Schlüssel verschlüsselt (entsprechend des Prinzips «bring-your-own key»).
  • Alle Dateien werden vor der Weiterleitung auf Viren geprüft.
  • Zur Sicherstellung einer hohen Verfügbarkeit werden die Services in zwei redundanten Rechenzentren gehostet.
  • Zur Erkennung von Unregelmässigkeiten, insbesondere Betrugsversuchen, werden spezialisierte Überwachungssysteme wie beispielsweise eine Web-Application-Firewall eingesetzt, wie dies auch im Bankenumfeld üblich ist.
  • Eingesetzte Sicherheitsmodule werden durch unabhängige Firmen auf Sicherheitsmängel untersucht.

Diese Massnahmen sind nicht abschliessend, sondern sind ein Auszug aus den mehr als 50 Massnahmen, welche im initialen Datenschutz- und Sicherheitskonzept (ISDS-Konzept) festgehalten sind und von den Auftraggebern gefordert werden. Diese Massnahmen werden laufend aktualisiert und bei Bedarf erweitert.

Langer Weg bis zur Realisierung der Plattform

Der Aufbau der Plattform «Justitia.Swiss» nimmt viel Zeit in Anspruch: viele Stakeholder müssen involviert,  die IT-Systeme der kantonalen Justizbehörden müssen angepasst, offene Fragen auf nationaler und kantonaler Ebene diskutiert und entschieden werden.

Seit mehr als zwei Jahren laufen Vorbereitungsarbeiten, welche unter Einbezug einer grossen Anzahl von Fachvertretern aus Gerichten, Staatsanwaltschaften, der Anwaltschaft und unter Einbezug von IT-Experten durchgeführt wurden. Einen Überblick über die Vorarbeiten finden Sie hier.

Im Juli 2021 wurde die Beschaffung der Plattform lanciert. In einem ersten Schritt wird eine anpassbare und erweiterbare Grundversion der Plattform (ein sogenanntes «Minimal Viable Product, MVP») gebaut. Die Basisfunktionen dieser Grundversion werden dann gemeinsam mit mehreren Pilot-Justizbehörden und Anwendern getestet und aufgrund der Feedbacks angepasst. Das agile Vorgehen erlaubt es auch, die Funktionalitäten der Plattform entsprechend den Vorgaben des verabschiedeten Bundesgesetzes über die Plattform (BEKJ) anzupassen. Der technische Betreiber, der die Plattform aufbauen wird, wird vertraglich nur für drei Jahre verpflichtet, damit ein Wechsel zu einem staatlichen Betreiber noch vor Inkrafttreten des BEKJ möglich wäre, falls dies der Gesetzgeber verlangt.

Ziel ist, dass die Plattform und die IT-Systeme der Justizbehörden bereit sind, die elektronische Kommunikation und die Akteneinsicht über die Plattform abzuwickeln, wenn das Gesetz voraussichtlich 2025 in Kraft tritt.