Öffentliche Hand schafft Grundlagen für die Public-Cloud-Nutzung

Dass IDC für «Zentrale Regierung» das grösste Wachstum im Bereich Public Cloud prognostiziert, ist insofern nicht verwunderlich, da beim Bund ein sehr grosser Nachholbedarf besteht. Und es geht tatsächlich vorwärts, wenn auch teilweise unter externem Druck: So teilte der Bundesrat Mitte Februar mit, dass die gesamte Bundesverwaltung «nach einer gründlichen Prüfung und einer bereits länger andauernden Testphase» Microsoft Office 365 als neue Office-Version einführen wird. Nötig sei dies auch, weil Microsoft die bisher verwendeten Office-Anwendungen in wenigen Jahren, voraussichtlich ab 2026, nicht mehr unterstützen werde. Der Ersatz sei aussergewöhnlich, weil die Nachfolgeprodukte nur noch mit Public-Cloud-Anbindung angeboten werden. Deshalb habe der Bund zuerst prüfen müssen, ob und wie sich dies mit den Anforderungen der Bundesverwaltung vereinbaren lässt. Diese Abklärungen liegen nun vor und der Bundesrat hat auch schon den Verpflichtungskredit von über 14,9 Millionen Franken freigegeben. Genutzt werden darf Microsoft Office 365 von der Bundesverwaltung allerdings nur unter der Voraussetzung, dass keine besonders schützenswerten Daten oder vertrauliche Dokumente in der Microsoft Cloud gespeichert werden. Ebenso werden die E-Mails und Kalender der Mitarbeitenden weiter vom Bund selbst in dessen eigenen Rechenzentren (On-Premises) verarbeitet und gespeichert. Geplant ist die Einführung von Microsoft 365 schrittweise ab der zweiten Hälfte 2023. Ferner weist der Bundesrat darauf hin, dass die Bundesverwaltung «heute abhängig von Office-Produkten des Herstellers Microsoft» sei. Um sich mittel- bis langfristig aus dieser Abhängigkeit zu lösen, werde die Prüfung von Alternativen, auch von Open-Source-Lösungen, weitergeführt.

Dem vorausgegangen ist, dass der Bund im vergangenen Sommer/Herbst die zentrale Voraussetzung für den Bezug von hochskalierbaren Cloud-Diensten durch die Bundesverwaltung geschaffen hat: Im Rahmen des Vorhabens «Public Clouds Bund» alias WTO-20007 – dessen Fokus auf der Nutzung von «öffentlichen Daten und auf Daten, für die keine besonderen Schutzanforderungen bestehen», liegt – wurden mit fünf grossen Cloud-Anbietern inhaltlich übereinstimmende Rahmenverträge abgeschlossen und ergänzend dazu mit jedem Anbieter zusätzliche Vertragskomponenten erarbeitet. Zudem wurde mit einer rechtlichen Vertragsanalyse sichergestellt, dass die Anbieter vergleichbare Leistungen erbringen. Der Abruf von Leistungen im Rahmen von WTO-20007 bleibt optional und die Leistungen sind auf total maximal 110 Millionen Franken begrenzt. Vor dem Bezug müssen die Behörden für jedes Projekt ein «anbieterneutrales Pflichtenheft» erstellen sowie umfangreiche Abklärungen vornehmen. Zuständig für den Entscheid, ob die gewünschten Cloud-Dienste dann tatsächlich eingesetzt werden dürfen, sind die Departemente und die Bundeskanzlei.

Daraufhin beschritt eine Privatperson den Rechtsweg und forderte, dass der Bezug von Cloud-Diensten bei ausländischen Anbietern vorsorglich verboten wird. Das Bundesverwaltungsgericht (BVGer) lehnte den Antrag im November 2022 ab, worauf die Bundeskanzlei entschied, dass die entsprechenden Dienste – nach den vorgesehenen Abklärungen – bezogen werden dürfen, und das, obwohl noch nicht klar war, ob der Entscheid des BVGer an das Bundesgericht weitergezogen wird. Er wurde nicht, die Beschwerde wurde zurückgezogen.