Diese Verordnung bestimmt die Organe, die Strategien und die Verfahren, die nötig sind:

a.

für die Bereitstellung von digitalen Diensten, die auf die Bedürfnisse ihrer Nutzerinnen und Nutzer ausgerichtet sind;

b.

für die Digitalisierung, Automatisierung und Integrierung der Geschäftsprozesse;

c.

für die Nutzung und den Austausch der Daten und die Standardisierung ihrer Semantik;

d.

für eine Lenkung der Informations- und Kommunikationstechnologie (IKT, IKT-Lenkung) nach den Grundsätzen der Zweckmässigkeit, Interoperabilität, Wirtschaftlichkeit und Sicherheit;

e.

für die Förderung offener und anerkannter Informatikstandards;

f.

für eine optimale Unterstützung bei der Realisierung der gemeinsamen Ziele von Bund, Kantonen und Gemeinden im Bereich der digitalen Verwaltung.

¹ Diese Verordnung gilt für die Verwaltungseinheiten der zentralen Bundesverwaltung nach Artikel 7 der Regierungs- und Verwaltungsorganisationsverordnung vom 25. November 1998² (RVOV).

² Die nachstehenden Stellen können sich, unter dem Vorbehalt widersprechender organisationsrechtlicher Bestimmungen des Bundesrechts, durch eine Vereinbarung mit dem Bereich Digitale Transformation und IKT-Lenkung der Bundeskanzlei (Bereich DTI der BK) verpflichten, diese Verordnung, die Cyberrisikenverordnung vom 27. Mai 2020³ und die GEVER-Verordnung vom 3. April 2019⁴ einschliesslich der gestützt auf diese Verordnungen erlassenen Weisungen einzuhalten:

a.

die Verwaltungseinheiten der dezentralen Bundesverwaltung nach Artikel 7a RVOV;

b.

die anderen Behörden des Bundes;

c.

die Organisationen und Personen des öffentlichen oder privaten Rechts, die nicht der Bundesverwaltung angehören und die im Sinne von Artikel 2 Absatz 4 RVOG mit Verwaltungsaufgaben des Bundes betraut sind;

d.

die bundesnahen Institutionen, die Zwecke von öffentlichem Interesse verfolgen und im Geltungsbereich dieser Verordnung enthaltene Dienstleistungen der zentralen Bundesverwaltung nutzen.

³ Eine Vereinbarung kann sich auf einen Teil der Bestimmungen, auf die in Absatz 2 verwiesen wird, beschränken, wenn objektive Gründe dies rechtfertigen und ein angemessenes Sicherheitsniveau sichergestellt ist

⁴ Der Bereich DTI der BK stellt Mustervereinbarungen zur Verfügung.

⁵ Er konsultiert zu Mustervereinbarungen und Vereinbarungen mit Auswirkungen auf die Cybersicherheit das Bundesamt für Cybersicherheit (BACS).⁵

¹ Auf IKT-Leistungen der Armee, die während eines Einsatzes für die wirkungsvolle Erfüllung der Aufgaben der Armee zwingend, autark und permanent zur Verfügung stehen müssen (einsatzkritische IKT-Leistungen der Armee), ist nur Kapitel 5 anwendbar.

² Das Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) definiert die einsatzkritischen IKT-Leistungen der Armee in einem Leistungskatalog. Es hört vorgängig den Bereich DTI der BK an.

³ Bei Differenzen entscheidet die Vorsteherin oder der Vorsteher des VBS. Artikel 19 gilt sinngemäss.

Soweit diese Verordnung nicht anderes bestimmt, sind die Departemente und die Bundeskanzlei verantwortlich für die digitale Transformation in ihrem jeweiligen Zuständigkeitsbereich, und sie regeln für diesen die IKT-Lenkung.

¹ Der Bereich DTI der BK erlässt Weisungen mit Geltung für alle Stellen nach Artikel 2 zu den folgenden Themen:¹⁷

a.¹⁸

Teilstrategien: Leitlinien, die die allgemeine Stossrichtung der digitalen Transformation und IKT-Lenkung, die Eingrenzung ihrer Nutzung und die Planung der Entwicklung bestimmter Aspekte der DTI mit einem mittleren Zeithorizont bestimmen;

b.¹⁹

Prozesse: Art und Weise, wie die mit der digitalen Transformation und IKT-Lenkung verbundenen Aufgaben erfüllt werden sollen, sowie die zu benutzenden Hilfsmittel;

c.

Unternehmensarchitektur: departementsübergreifendes Zusammenspiel der Geschäftsprozesse, der Datenmodelle, der Technologien sowie der IKT-Produkte und -dienstleistungen;

d.

Standards: Festlegung der Produkte, der Schnittstellen und Technologien, die sich aus der Unternehmensarchitektur ergeben und die für die Interoperabilität, die Wirtschaftlichkeit und die Sicherheit unabdingbar sind;

e.

Standarddienste: Leistungen im Bereich der digitalen Transformation oder der IKT, die in der Bundesverwaltung zentral erbracht und vielfach verwendet werden und die gleiche oder ähnliche Bedürfnisse befriedigen; eine Weisung über einen Standarddienst bestimmt namentlich die Verantwortlichkeit für die Leistungserbringung und für die Führung des Dienstes, die allgemeine Finanzierung und die Sicherung der Qualität der erbrachten Leistungen;

f.²⁰

Führung des Portfolios: alle Tätigkeiten, die für die Koordination der Programme, Projekte und weiteren Lösungsentwicklungen im Bereich der digitalen Transformation sowie für die Zusammenstellung der IKT‑Anwendungen und -dienste in der Bundesverwaltung nötig sind, sowie die dazugehörigen Massnahmen und die zu benutzenden Hilfsmittel;

g.²¹

Geschäftscontrolling: Sammeln, Bearbeiten, Verifizieren und Interpretieren von Informationen, die der digitalen Transformation und IKT-Lenkung dienen, sowie die dazugehörigen Massnahmen.

² Er hört vorgängig den Digitalisierungsrat an. Bei Weisungen von untergeordneter Bedeutung kann die Anhörung über ein anderes Gremium erfolgen.²²

³ Er entscheidet über Abweichungen von den Weisungen, die er erlassen hat.

⁴ Er kann Entscheide über Abweichungen von untergeordneter Bedeutung delegieren:

a.

an die Departemente und die Bundeskanzlei;

b.

an Arbeitsgruppen;

c.

an Programm- oder Projektverantwortliche.

¹ Die Bundeskanzlerin oder der Bundeskanzler erlässt auf Antrag des Bereichs DTI der BK und nach Anhörung der GSK die Weisungen über die Standarddienste mit Bezugszwang und über die Schlüsselprojekte²³.

² Sie oder er entscheidet, nach Anhörung der GSK, über Abweichungen von den Weisungen, die sie oder er erlassen hat.

³ Sie oder er kann Entscheide über Abweichungen von untergeordneter Bedeutung an den Bereich DTI der BK delegieren.

¹ Das Verfahren zur Streitbeilegung dient der Herbeiführung eines Entscheids im Falle einer Meinungsverschiedenheit zwischen Departementen untereinander oder einem Departement und dem Bereich DTI der BK über:²⁴

a.

den Erlass einer Weisung des Bereichs DTI der BK;

b.²⁵

die Gewährung einer Abweichung von einer Weisung des Bereichs DTI der BK;

c.²⁶

den Erlass einer departementsübergreifenden Weisung eines Departements zu Fragen der Digitalisierung und IKT-Lenkung.

² Das Departement zeigt die Meinungsverschiedenheit dem Bereich DTI der BK an.

³ Der Bereich DTI der BK setzt die Mitglieder des Digitalisierungsrates über die Meinungsverschiedenheit in Kenntnis und unterbreitet sie unverzüglich der GSK zuhanden der Bundeskanzlerin oder des Bundeskanzlers.

⁴ Die Bundeskanzlerin oder der Bundeskanzler entscheidet nach Anhörung der GSK.

Schlüsselprojekte der Bundesverwaltung sind Projekte oder Programme betreffend digitale Transformation und IKT, die einer verstärkten strategischen und operationellen Lenkung, Koordination und Überwachung bedürfen aufgrund:²⁷

a.

der benötigten Ressourcen;

b.

ihrer strategischen Bedeutung;

c.

ihrer Komplexität; oder

d.

der mit ihnen verbundenen Risiken.

Die Bundeskanzlerin oder der Bundeskanzler bestimmt auf Antrag des Bereichs DTI der BK und nach Anhörung der GSK die Schlüsselprojekte der Bundesverwaltung.

¹ Der Bereich DTI der BK erstattet der GSK regelmässig Bericht über die Schlüsselprojekte der Bundesverwaltung; dazu konsolidiert er die Berichte, welche die mit diesen Projekten betrauten Verwaltungsstellen liefern.

² Wenn nötig beantragt die Bundeskanzlerin oder der Bundeskanzler dem Bundesrat Korrekturmassnahmen, nach Anhörung der GSK.

¹ Das System zur Stammdatenverwaltung (MDG²⁸) dient dazu, Daten von MDG-Einheiten, die für die elektronische Abwicklung der Supportprozesse Finanzen, Beschaffung, Immobilien und Logistik (unterstützte Supportprozesse) erforderlich sind, zentral zu verwalten und bereitzustellen.

² Die zentralen Daten des MDG können auch zur Aktualisierung von Registerdaten des Bundes dienen, sofern die rechtlichen Grundlagen des entsprechenden Registers dies erlauben.

³ Neben den zentralen Daten können im MDG weitere Personendaten als Stammdaten geführt werden, sofern ein anderer bundesrechtlicher Erlass dies vorsieht und die Datenbearbeitung, insbesondere den Zweck der Bearbeitung, den Umfang der Daten, die Datenquellen, die Zugriffsrechte und die Verantwortung für den Datenschutz regelt.

Im Zusammenhang mit dem MDG bedeuten:

a.

MDG-Einheiten: in- oder ausländische Personen, Unternehmen und Betriebe, unabhängig von ihrer Rechtsnatur, deren Daten im MDG bearbeitet werden;

b.

MDG-Stammdaten: Daten von MDG-Einheiten, die für die Abwicklung von unterstützten Supportprozessen erforderlich sind.

¹ Die EFV ist verantwortlich für den Betrieb und die Sicherheit des MDG. Sie führt die Daten nach Artikel 26 Absatz 1 Buchstaben a–h und ist für den Datenschutz in Bezug auf diese Daten verantwortlich.

² Jede Stelle nach Artikel 2, die einen unterstützten Supportprozess nutzt, kann im MDG ihren eigenen Bestand von Daten nach Artikel 26 Absatz 1 Buchstabe i führen. Sie ist für deren Schutz verantwortlich.

¹ Folgende Daten von MDG-Einheiten werden im MDG als zentrale Daten geführt, soweit sie für die Abwicklung unterstützter Supportprozesse erforderlich sind:²⁹

a.

unpersönliche Identifikationsnummer;

b.

Personalien wie Name, Vorname, Geburtsdatum;

c.

Sprache;

d.

Kontaktdaten wie Postadressen, elektronische Adressen, Telefonnummern;

e.

Rechtsform;

f.

Angaben zur Branche;

g.

Bankverbindungsdaten wie Kontoinhaberin oder Kontoinhaber, Kontonummer, Bank;

h.

Registernummern, die zur eindeutigen Identifizierung der MDG-Einheit beitragen;

i.

folgende weiteren Daten:³⁰

1.

bundesinterne buchhalterische Daten,

2.

Mahndaten,

3.

Verkaufskonditionen,

4.

Einkaufskonditionen,³¹

5.

Beziehungen zwischen MDG-Einheiten.³²

² Im MDG dürfen keine besonders schützenswerten Personendaten geführt und kein Profiling durchgeführt werden.³³

¹ Die zentralen Daten des MDG stammen aus folgenden Quellen:

a.

bestehende und künftige MDG-Einheiten;

b.

Stellen nach Artikel 2, die Zugriff auf zentrale Daten des MDG haben;

c.

folgende Bundesregister:

1.

Unternehmens-Identifikationsregister des BFS,

2.

Betriebs- und Unternehmensregister des BFS,

3.

amtliches Ortschaftenverzeichnis mit Postleitzahl und Perimeter,

4.

amtliches Verzeichnis der Strassen,

5.

amtliches Verzeichnis der Gebäudeadressen,

6.

Geografisches Informationssystem des Bundesamts für Landwirtschaft,

7.

Zentrales Migrationsinformationssystem,

8.³⁴

zentrales Register der AHV-Versicherten;

d.

Informationssysteme der Schweizerischen Post für die Adressvalidierung von Personen und Unternehmen in der Schweiz;

e.

öffentlich zugängliche Datenbanken.

² Die Daten werden von der nach Artikel 25 zuständigen Stelle aus den Datenquellen in das MDG übernommen, in das MDG eingegeben und im MDG mutiert, nachdem diese Stelle die nötigen Überprüfungen vorgenommen hat.

³ Sie können über eine Schnittstelle zwischen dem MDG und dem betreffenden Quellsystem übernommen, eingegeben und mutiert werden.

¹ Die Stellen nach Artikel 2 erhalten Zugriff auf:

a.

die Daten nach Artikel 26 Absatz 1 Buchstabe i, die sie selber im MDG führen;

b. ³⁵

die Daten nach Artikel 26 Absatz 1 Buchstaben a–h, soweit es für die Abwicklung von unterstützten Supportprozessen notwendig ist oder andere Regelungen einen Zugriff ausserhalb der Abwicklung von unterstützten Supportprozessen erlauben.

² Der Zugriff kann über eine Schnittstelle mit den zu diesem Zweck angeschlossenen Informationssystemen gewährt werden.

Die EFV kann zentrale Daten für die Aktualisierung anderer Register über eine Schnittstelle zur Verfügung stellen.

¹ Die zentralen Daten des MDG werden während dreissig Jahren nach der letzten Datenbearbeitung aufbewahrt, längstens jedoch während 10 Jahren nach dem Ende der Existenz der betreffenden MDG-Einheit, insbesondere nach ihrem Tod oder ihrer Löschung aus dem Handelsregister.

² Nach Ablauf dieser Frist kennzeichnet die EFV die Stammdatensätze als gelöscht, sofern keine andere bundesgesetzliche Regelung die Löschung verbietet.

³ Als gelöscht gekennzeichnete Daten werden nicht mehr für die Abwicklung von Supportprozessen oder für die Aktualisierung von Bundesregistern verwendet. Die EFV gibt sie jedoch im Einzelfall bekannt, wenn dies für die Nachvollziehbarkeit alter Datenbestände ausserhalb des MDG notwendig ist.

⁴ Vorbehalten bleibt ein datenschutzrechtlicher Vernichtungsanspruch.

¹ Die Bundesstellen, die Fachanwendungen für die Justiz und die Polizei führen, arbeiten mit den Kantonen zusammen mit dem Ziel, diese Fachanwendungen zu harmonisieren.

² Die Modalitäten dieser Zusammenarbeit, insbesondere die Schaffung gemeinsamer Organe von Bund und Kantonen, werden in Vereinbarungen mit den Kantonen geregelt.

³ Die betroffenen Departemente können für die einzelnen Projekte Vollzugsvereinbarungen abschliessen. Diese müssen im Einklang mit den Vorgaben dieser Verordnung stehen.

⁴ Die betroffenen Departemente informieren die gemeinsamen Organe über laufende und zukünftige Projekte im Bereich der Fachanwendungen für die Justiz und die Polizei. Sie stellen sicher, dass diese Fachanwendungen den Entscheiden der gemeinsamen Organe entsprechen.

¹ Die Budgetierung der Mittel für Digitalisierung und IKT und deren Verrechnung in der Staatsrechnung des Bundes erfolgen grundsätzlich dezentral.

² Der Bereich DTI der BK stellt die nötigen Instrumente für die Führung der Mittel für Digitalisierung und IKT bereit, koordiniert die Verwendung dieser Mittel im Einvernehmen mit den Departementen und stellt die departementsübergreifende Kontrolle sicher.

³ Die internen Leistungserbringer führen eine ausgebaute Kosten- und Leistungsrechnung und weisen bezüglich der Standarddienste gegenüber dem Bereich DTI der BK ihre Kosten und ihre Erlöse periodisch transparent aus.

¹ Der Bundesrat entscheidet im Rahmen des Budgetprozesses des Bundes über die zentral zuzuteilenden Mittel für Digitalisierung und IKT.

² Die Bundeskanzlerin oder der Bundeskanzler entscheidet auf Antrag des Bereichs DTI der BK und nach Anhörung der GSK über die Zuteilung der im Voranschlag des Bundes zentral eingestellten Mittel für Digitalisierung und IKT.

³ Der Bereich DTI der BK kann im Rahmen des Vollzugs des Budgets und nach Anhörung des Digitalisierungsrates diejenigen zentralen Mittel zuteilen, die die Bundeskanzlerin oder der Bundeskanzler:

a.

nicht zugeteilt hat; oder

b.

zwar zugeteilt hat, die aber nicht verwendet wurden.

⁴ Er verwaltet die im Budget zentral eingestellten Mittel.

¹ Das IKT-Audit erfolgt nach den Grundsätzen der Finanzaufsicht im Bund.

² Es wird von der Eidgenössischen Finanzkontrolle (EFK) durchgeführt.

³ Die Departemente, die Bundeskanzlei und der Bereich DTI der BK können der EFK Audits zur Digitalisierung und IKT in der Bundesverwaltung vorschlagen.³⁸

¹ Die Bundesinformatikverordnung vom 9. Dezember 2011³⁹ (BinfV) wird aufgehoben.

² Die Änderung anderer Erlasse wird im Anhang geregelt.

¹ Die Stellen, die sich vor Inkrafttreten dieser Verordnung durch Vereinbarung mit dem Informatiksteuerungsorgan des Bundes (ISB) verpflichtet haben, die Bestimmungen der BinfV⁴⁰ einzuhalten, unterstehen bis zum 31. Dezember 2023 den Bestimmungen dieser Verordnung im Umfang des bisherigen Rechts. Sie unterstehen ab dem 1. Januar 2024 vollständig den Bestimmungen dieser Verordnung, es sei denn, die Vereinbarung werde vorher aufgelöst. Sämtliche Rechte und Pflichten des ISB aus diesen Vereinbarungen gehen auf den Bereich DTI der BK über.

² Abweichungen von der BinfV oder von darauf gestützten Weisungen, die vor Inkrafttreten dieser Verordnung bewilligt wurden, behalten ihre Gültigkeit, soweit diese Abweichungen nicht von der nach der vorliegenden Verordnung zuständigen Behörde geändert oder aufgehoben werden.

³ Die vor Inkrafttreten dieser Verordnung erlassenen IKT-Weisungen des Bundesrates, des Eidgenössischen Finanzdepartements und des ISB behalten ihre Gültigkeit, soweit sie der vorliegenden Verordnung nicht widersprechen und nicht von der nach der vorliegenden Verordnung zuständigen Behörde geändert oder aufgehoben werden.

Diese Verordnung tritt am 1. Januar 2021 in Kraft.