BSI legt konkrete Standards für souveräne Cloud-Dienste vor
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit den "Criteria Enabling Cloud Computing Autonomy" (C3A) erstmals konkrete Standards definiert, wann Cloud-Dienste als souverän gelten können. Die neuen Kriterien sollen insbesondere für sicherheitskritische Anwendungen der öffentlichen Verwaltung und Betreiber kritischer Infrastrukturen Klarheit schaffen.
Bislang herrschte oft Ungewissheit darüber, welche Cloud-Lösungen tatsächlich unabhängig von nichteuropäischen Anbietern wie AWS, Azure, Alibaba oder Huawei Cloud betrieben werden können. "Es geht uns um technisch tragfähige Lösungen, die konkrete Bedingungen formulieren", erklärt Thomas Caspers, Vizepräsident des BSI.
Praktische Erfahrungen fließen in neue Standards ein
Das BSI stützt sich bei der Entwicklung der C3A auf umfangreiche Praxiserfahrungen mit verschiedenen Abhängigkeitsvariationen. In Deutschland wurden bereits mehrere souveräne Cloud-Ansätze getestet, darunter:
- Die SAP-Microsoft-Kooperation DelosCloud
- Stackit von Schwarz-Digits
- Die T-Systems-Sovereign-Cloud in Kooperation mit Google
- Amazons European Sovereign Cloud-Angebot
Parallel testete die französische IT-Sicherheitsbehörde ANSSI ähnliche Ansätze, bei denen stets französische Unternehmen beteiligt sind, wie der Rüstungskonzern Thales beim nach SecNumCloud-Anforderungen zertifizierten S3NS.
"Wir haben unter anderem am Beispiel der AWS European Sovereign Cloud gesehen, wie viele Mechanismen eine Rolle spielen, um eine Cloud betriebsfähig zu halten", erklärt Caspers. "Komplett entkoppelt wird man solche Angebote aber nicht über Jahre weiterbetreiben können."
Konkrete Kriterien für den Notfall
Die C3A-Standards definieren präzise Anforderungen für verschiedene Szenarien. Ein zentrales Kriterium ist SOV-4-09-C, das die Anforderungen bei einem "Disconnect" - der Abkopplung von der außereuropäischen Betreibercloud - festlegt:
- Der Betrieb muss weiterlaufen ohne Verluste bei Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit
- Ein dokumentierter Prozess für die Abkopplung muss vorhanden sein
- Der Betreiber muss dies mindestens einmal jährlich testen und dokumentieren
Bei den Mitarbeiteranforderungen unterscheidet das BSI zwischen verschiedenen Sicherheitsstufen. Das Kriterium SOV-4-01-C1 verlangt, dass alle Mitarbeiter mit Zugang zu Betriebsmitteln EU-Staatsbürgerschaft und EU-Wohnsitz haben müssen. Für Hochsicherheitsanwendungen wie Sicherheitsbehörden oder die Bundeswehr gilt SOV-4-01-C2: Hier müssen alle Mitarbeiter ihren Wohnsitz innerhalb der Bundesrepublik haben.
Für den grundgesetzlich geregelten Verteidigungsfall sind die Anforderungen besonders streng: Clouddienstleister müssen in der Lage sein, den Betrieb inklusive des notwendigen Materials und Personals an die Bundesbehörden zu übergeben.
Auswirkungen auf kritische Infrastrukturen und Sicherheitstechnik
Die neuen Standards sind zunächst nicht rechtlich verbindlich, können aber bei Gesetzgebung oder Ausschreibungen zu Mindestanforderungen erklärt werden. "Die C3A können zur Benchmark der Bundesverwaltung werden", so Caspers.
Besonders relevant wird dies durch die Verknüpfung mit bestehenden Vorgaben: Bundesstellen sind verpflichtet, den IT-Grundschutz des BSI umzusetzen. Bei der Nutzung externer Cloud-Dienste müssen sie den Baustein OPS 2.2 und den Mindeststandard zur Nutzung externer Cloud-Dienste (MST-NCD) erfüllen. Die C3A ergänzen diese Sicherheitskriterien um Aspekte der digitalen Souveränität.
Für Betreiber kritischer Infrastrukturen, die bereits strengen Sicherheitsanforderungen unterliegen, bedeuten die neuen Standards eine zusätzliche Planungssicherheit. Unternehmen aus Bereichen wie Energie, Wasser, Gesundheit oder Telekommunikation können nun gezielt Cloud-Lösungen auswählen, die sowohl sicherheitstechnische als auch souveränitätsbezogene Anforderungen erfüllen.
Europäische Dimension und Zukunftsaussichten
Die Veröffentlichung der C3A-Kriterien erfolgt strategisch vor der geplanten Vorstellung des Cloud and AI Development Act (CADA) durch die EU-Kommission am 27. Mai. Beobachter erwarten, dass EU-Vizekommissionspräsidentin Henna Virkkunen mit dem CADA klarere Kriterien für Cloud-Souveränität vorgeben wird.
Sollten ähnliche Kriterien Einzug in die Anhänge der IT-Sicherheitsgesetze wie NIS2 oder den Cybersecurity Act finden, würde dies europaweit maßgebliche Auswirkungen haben. Der deutsche Vorschlag könnte dann zum Standard für souveräne Cloud-Dienste in der gesamten EU werden.
Für die Sicherheitstechnik-Branche bedeuten diese Entwicklungen neue Planungssicherheit bei der Auswahl von Cloud-Diensten für kritische Anwendungen. Ob große Hyperscaler die strengen Anforderungen erfüllen können, wird vom jeweiligen Anforderungsprofil der Kunden und dem regulatorischen Druck abhängen, souveräne Lösungen zu wählen.
