Zweck und Gegenstand
Art. 1

Deutsch: Diese Verordnung regelt die Einführung einer Organisation für die Informationssicherheit in der Kantonsverwaltung.
Zu diesem Zweck werden mit dieser Verordnung:

Français: La présente ordonnance règle la mise en place de l'organisation dédiée à la sécurité de l'information au sein de l'administration cantonale.
A cette fin, elle:
Art. 10

Deutsch: Die oder der Delegierte für Informationssicherheit (die/der IS-Delegierte) erfüllt ihre oder seine Aufgaben bereichsübergreifend für alle Direktionen.
Sie oder er tut dies insbesondere wie folgt:
Die oder der IS-Delegierte wird in das Generalsekretariat der SJSD integriert. Bei der Erfüllung der Aufgaben, die sie oder er für die gesamte Kantonsverwaltung erbringt, untersteht sie oder er der Weisungsgewalt des Staatsrates. Artikel 51 Abs. 2 des Gesetzes vom 16. Oktober 2001 über die Organisation des Staatsrates und der Verwaltung gilt sinngemäss.

Français: Le ou la délégué‑e à la sécurité de l'information (ci-après: délégué‑e SI) accomplit ses tâches de manière transversale pour l'ensemble des Directions.
En particulier, il ou elle:
Le ou la délégué‑e SI est intégré‑e au secrétariat général de la DSJS. Toutefois, dans l'exercice des tâches qu'il ou elle assume pour l'ensemble de l'administration cantonale, il ou elle est soumis‑e aux instructions du Conseil d'Etat. L'article 51 al. 2 de la loi du 16 octobre 2001 sur l'organisation du Conseil d'Etat et de l'administration est applicable par analogie.
Art. 11

Deutsch: Die oder der IS-Delegierte arbeitet bei der Erfüllung ihrer oder seiner Aufgaben mit folgenden Personen und Organen zusammen und tauscht mit ihnen Informationen aus:
Die oder der IS-Delegierte holt die für die Erfüllung ihrer oder seiner Aufgaben nötigen Informationen ein. Sie oder er kann namentlich Auskünfte oder das Vorlegen von Dokumenten verlangen, Inspektionen durchführen und sich Informationssysteme präsentieren lassen. Das Amtsgeheimnis kann der oder dem IS-Delegierten nicht entgegengehalten werden.

Français: Dans l'accomplissement de ses tâches, le ou la délégué‑e SI collabore et échange des informations avec:
Le ou la délégué‑e SI recueille les informations nécessaires à l'accomplissement de ses tâches. Il ou elle peut notamment demander des renseignements, exiger la production de documents, procéder à des inspections et se faire présenter des systèmes d'information. Le secret de fonction ne peut lui être opposé.
Art. 12

Deutsch: Das Netzwerk ist ein interdisziplinärer Ausschuss, der wenn möglich Rechts-, Technik- und Managementkompetenzen vereint.
Das Netzwerk hat folgende Aufgaben:
Das Netzwerk steht unter dem Vorsitz der oder des IS-Delegierten und besteht aus der oder dem Datenschutzbeauftragten und mindestens einer Vertreterin oder einem Vertreter pro Direktion (IS-Ansprechperson). Informationssicherheitsverantwortliche der autonomen Einheiten nach Artikel 2 Abs. 2 GDISV und der Gemeinden können ihm ebenfalls angehören.

Français: Le réseau est un comité interdisciplinaire réunissant dans la mesure du possible des compétences juridiques, techniques et managériales.
Le réseau a les tâches suivantes:
Le réseau, présidé par le ou la délégué‑e SI, est composé du ou de la préposé‑e à la protection des données et d'au moins un représentant ou une représentante par Direction (correspondant ou correspondante SI). Il peut également accueillir des personnes responsables de la sécurité de l'information des unités autonomes, au sens de l'article 2 al. 2 OGDSI , et des communes.
Art. 13

Deutsch: Das ITA ist für die Sicherheit der Informatikmittel, die es verwaltet und der Kantonsverwaltung zur Verfügung stellt, verantwortlich.

Français: Le SITel est responsable de la sécurité des moyens informatiques qu'il gère et met à disposition de l'administration cantonale.
Art. 14

Deutsch: Das Amt für Personal und Organisation organisiert Schulungen für das Staatspersonal, um die Kompetenzen der Kantonsverwaltung im Bereich Informationssicherheit zu erweitern und zu festigen.
Es wird bei dieser Aufgabe von der oder dem IS-Delegierten und vom ITA unterstützt.

Français: Le Service du personnel et d'organisation organise des cycles de formation au profit du personnel de l'Etat pour développer et renforcer les capacités de l'administration cantonale en matière de sécurité de l'information.
Il bénéficie dans cette tâche du soutien du ou de la délégué‑e SI et du SITel.
Art. 15

Deutsch: Die Beratungs- und Kontrollkompetenzen der Behörde für Öffentlichkeit, Datenschutz und Mediation (ÖDSMB) gemäss der Gesetzgebung über den Datenschutz bleiben vorbehalten.

Français: Les compétences de conseil et de contrôle de l'Autorité de la transparence, de la protection des données et de la médiation (ci-après: ATPrDM), conformément à la législation relative à la protection des données, sont réservées.
Art. 16

Deutsch: Die Verwaltungseinheiten nehmen für ihre Informationssysteme eine Beurteilung der relevanten Risiken vor und ergreifen geeignete Mittel, um deren Sicherheit gemäss dieser Verordnung und der AISP zu gewährleisten.
Sie sorgen für die Schulung ihres Personals und überprüfen regelmässig die Umsetzung der vorgeschriebenen Massnahmen durch ihre Mitarbeitenden.
Artikel 4 Abs. 2 bleibt vorbehalten.

Français: Les unités administratives procèdent à une évaluation des risques pertinents de leurs systèmes d'information et prennent les mesures propres à assurer leur sécurité conformément à la présente ordonnance et à la PGSI.
Elles veillent à la formation de leur personnel et vérifient régulièrement l'application, par les collaborateurs et collaboratrices, des mesures prescrites.
L'article 4 al. 2 est réservé.
Art. 17

Deutsch: Die Mitarbeitenden, die vom Staat bereitgestellte Informationssysteme nutzen, achten auf die Umsetzung der vorgeschriebenen Massnahmen gemäss dieser Verordnung.
Wenn es sich bei den Benutzerinnen und Benutzern um Auftragnehmende handelt, für welche die Bestimmungen dieser Verordnung nicht gelten, werden ihre Verantwortlichkeiten im Bereich Sicherheit in einem Vertrag festgelegt.
Benutzerinnen und Benutzer, die bei der Erfüllung ihrer Aufgaben Mängel bei der Informationssicherheit entdecken, informieren ihre Vorgesetzten. Diese treffen geeignete Massnahmen.

Français: Les collaborateurs et les collaboratrices qui utilisent des systèmes d'information mis à disposition par l'Etat veillent à l'application des mesures prescrites en vertu de la présente ordonnance.
Lorsque les utilisateurs et utilisatrices sont des mandataires non soumis aux dispositions de la présente ordonnance, leurs responsabilités en matière de sécurité sont définies au moyen d'un contrat.
Les utilisateurs et utilisatrices qui, dans l'accomplissement de leurs tâches, constatent des lacunes en matière de sécurité de l'information en informent leur hiérarchie. Celle-ci prend les mesures utiles.
Art. 18

Deutsch: Die oder der IS-Delegierte und das ITA arbeiten bei den verschiedenen Aspekten der Informationssicherheit und der Sicherheit der Informatikmittel mit dem Bund und den anderen Kantonen zusammen.
Sie dürfen in diesem Rahmen Informationen und Personendaten mit den Fachstellen des Bundes und der Kantone austauschen.

Français: Le ou la délégué‑e SI et le SITel collaborent avec la Confédération et les autres cantons sur les différents aspects liés à la sécurité de l'information et des moyens informatiques.
Ils peuvent dans ce cadre échanger des informations et des données personnelles avec les organes spécialisés de la Confédération et des cantons.
Art. 19

Deutsch: Diese Verordnung gilt bis zum Inkrafttreten des Gesetzes über die Informationssicherheit und dessen Ausführungsbestimmungen.

Français: La présente ordonnance porte effet jusqu'à l'entrée en vigueur de la loi sur la sécurité de l'information et de sa réglementation d'exécution.
Art. 2

Deutsch: Diese Verordnung gilt für den Staatsrat, die Direktionen und die Staatskanzlei und ihre Verwaltungseinheiten einschliesslich der autonomen Einheiten im Sinne von Artikel 2 Abs. 2 der Verordnung vom 28. Juni 2021 über die Governance der Digitalisierung und der Informationssysteme des Staates.
Die autonomen Einheiten nach Absatz 1 legen ihre eigene Organisation fest und ernennen ihre eigenen Informationssicherheitsverantwortlichen oder können in die Organisation der Direktion, der sie administrativ zugewiesen sind, oder in diejenige einer anderen autonomen Einheit integriert werden.
Die eidgenössischen und kantonalen Spezialbestimmungen zur Informationssicherheit bleiben vorbehalten.

Français: La présente ordonnance s'applique au Conseil d'Etat, aux Directions et à la Chancellerie d'Etat ainsi qu'à leurs unités administratives, y compris les unités autonomes au sens de l'article 2 al. 2 de l'ordonnance du 28 juin 2021 sur la gouvernance de la digitalisation et des systèmes d'information de l'Etat.
Les unités autonomes mentionnées à l'alinéa 1 fixent leur propre organisation et nomment leurs propres personnes responsables de la sécurité de l'information ou peuvent être intégrées à l'organisation de la Direction à laquelle elles sont rattachées administrativement ou à celle d'une autre entité autonome.
Les dispositions spéciales fédérales ou cantonales en matière de sécurité de l'information sont réservées.
Art. 3

Deutsch: In dieser Verordnung werden folgende Begriffe verwendet:

Français: Au sens de la présente ordonnance, on entend par:
Art. 4

Deutsch: Jedes öffentliche Organ, das über Informationen verfügt und diese bearbeitet, ist für deren Sicherheit und insbesondere für ihre Integrität, Verfügbarkeit, Vertraulichkeit, Rückverfolgbarkeit, langfristige Nutzbarkeit und Resilienz verantwortlich.
Wenn mehrere öffentliche Organe Informationen gemeinsam bearbeiten, wird die Aufteilung ihrer Verantwortlichkeiten in einer schriftlichen Vereinbarung festgehalten, sofern sie nicht ausdrücklich aus einer Gesetzesbestimmung hervorgeht.
Im Übrigen ist das Amt für Informatik und Telekommunikation (ITA) gemäss Artikel 13 für die Sicherheit der Informatikmittel verantwortlich.

Français: Tout organe public qui détient et traite des informations est responsable de leur sécurité, en particulier leur intégrité, leur disponibilité, leur confidentialité, leur traçabilité, leur pérennité et leur résilience.
Lorsque plusieurs organes publics traitent conjointement des informations, la répartition de leurs responsabilités est fixée dans une convention écrite, à moins qu'elle ne résulte expressément d'une disposition légale.
En outre, le Service de l'informatique et des télécommunications (ci-après: le SITel) est responsable de la sécurité des moyens informatiques conformément à l'article 13.
Art. 5

Deutsch: Der Staatsrat hat folgende Befugnisse:

Français: Le Conseil d'Etat a les attributions suivantes:
Art. 6

Deutsch: Die Sicherheits-, Justiz- und Sportdirektion (SJSD) hat folgende Befugnisse:

Français: La Direction de la sécurité, de la justice et du sport (ci-après: la DSJS) a les attributions suivantes:
Art. 7

Deutsch: Die Konferenz der Generalsekretäre (KGS) koordiniert die Initiativen im Bereich der Informationssicherheit innerhalb der Kantonsverwaltung und deren Umsetzung.
Die Person, welche die SJSD in der KGS vertritt, sorgt für die Vor- und Nachbearbeitung der Dossiers im Bereich Informationssicherheit.

Français: La Conférence des secrétaires généraux (ci-après: la CSG) coordonne les initiatives en matière de sécurité de l'information au sein de l'administration cantonale ainsi que leur mise en œuvre.
La personne représentant la DSJS au sein de la CSG assure la préparation et le suivi des dossiers dans le domaine de la sécurité de l'information.
Art. 8

Deutsch: Die Direktionen haben folgende Befugnisse:

Français: Les Directions ont les attributions suivantes:
Art. 9

Deutsch: Jede Direktion bezeichnet ausserdem mindestens eine Ansprechperson für Informationssicherheit. Die Ansprechperson für Informationssicherheit hat folgende Aufgaben:
Die Funktion der Ansprechperson für Informationssicherheit kann der Person zugewiesen werden, die zur Ansprechperson für Datenschutz bestimmt wurde.

Français: Chaque Direction désigne au moins un correspondant ou une correspondante à la sécurité de l'information. En cette qualité, cette personne:
La fonction de correspondant ou correspondante à la sécurité de l'information peut être attribuée à la personne désignée comme correspondant ou correspondante à la protection des données.