Il BSI presenta standard concreti per i servizi cloud sovrani
Con i «Criteria Enabling Cloud Computing Autonomy» (C3A) il Bundesamt für Sicherheit in der Informationstechnik (BSI) ha definito per la prima volta standard concreti che stabiliscono quando i servizi cloud possono essere considerati sovrani. I nuovi criteri intendono fare chiarezza soprattutto per le applicazioni critiche per la sicurezza della pubblica amministrazione e per i gestori di infrastrutture critiche.
Finora regnava spesso incertezza su quali soluzioni cloud possano effettivamente essere gestite in modo indipendente da fornitori extraeuropei come AWS, Azure, Alibaba o Huawei Cloud. «Per noi si tratta di soluzioni tecnicamente solide che formulano condizioni concrete», spiega Thomas Caspers, vicepresidente del BSI.
Le esperienze pratiche confluiscono nei nuovi standard
Nello sviluppo dei C3A il BSI si basa su ampie esperienze pratiche con diverse varianti di dipendenza. In Germania sono già stati testati diversi approcci cloud sovrani, tra cui:
- La cooperazione SAP-Microsoft DelosCloud
- Stackit di Schwarz-Digits
- La T-Systems Sovereign Cloud in cooperazione con Google
- L'offerta European Sovereign Cloud di Amazon
Parallelamente l'autorità francese per la sicurezza informatica ANSSI ha testato approcci analoghi, nei quali sono sempre coinvolte aziende francesi, come il gruppo della difesa Thales per S3NS, certificato secondo i requisiti SecNumCloud.
«Abbiamo visto, tra l'altro sull'esempio della AWS European Sovereign Cloud, quanti meccanismi entrino in gioco per mantenere operativa una cloud», spiega Caspers. «Non sarà però possibile continuare a gestire per anni offerte di questo tipo in modo completamente disaccoppiato.»
Criteri concreti per i casi di emergenza
Gli standard C3A definiscono requisiti precisi per diversi scenari. Un criterio centrale è SOV-4-09-C, che stabilisce i requisiti in caso di «disconnect», ovvero il distacco dalla cloud del gestore extraeuropeo:
- L'operatività deve proseguire senza perdite in termini di disponibilità, integrità, autenticità e riservatezza
- Deve esistere un processo documentato per il distacco
- Il gestore deve testarlo e documentarlo almeno una volta all'anno
Per i requisiti relativi al personale il BSI distingue tra diversi livelli di sicurezza. Il criterio SOV-4-01-C1 richiede che tutti i collaboratori con accesso alle risorse operative abbiano cittadinanza UE e residenza nell'UE. Per le applicazioni ad alta sicurezza come le autorità di sicurezza o la Bundeswehr vale il criterio SOV-4-01-C2: qui tutti i collaboratori devono avere la propria residenza all'interno della Repubblica Federale.
Per lo stato di difesa disciplinato dalla Legge fondamentale i requisiti sono particolarmente severi: i fornitori di servizi cloud devono essere in grado di trasferire alle autorità federali l'esercizio, compresi il materiale e il personale necessari.
Effetti su infrastrutture critiche e tecnica di sicurezza
I nuovi standard non sono per ora giuridicamente vincolanti, ma possono essere dichiarati requisiti minimi nella legislazione o nelle gare d'appalto. «I C3A possono diventare il benchmark dell'amministrazione federale», afferma Caspers.
Ciò diventa particolarmente rilevante grazie al collegamento con le prescrizioni esistenti: gli enti federali sono tenuti ad attuare l'IT-Grundschutz del BSI. Nell'utilizzo di servizi cloud esterni devono soddisfare il modulo OPS 2.2 e lo standard minimo per l'utilizzo di servizi cloud esterni (MST-NCD). I C3A integrano questi criteri di sicurezza con aspetti legati alla sovranità digitale.
Per i gestori di infrastrutture critiche, già soggetti a severi requisiti di sicurezza, i nuovi standard rappresentano una sicurezza di pianificazione aggiuntiva. Le aziende di settori come energia, acqua, sanità o telecomunicazioni possono ora selezionare in modo mirato soluzioni cloud che soddisfano sia i requisiti di sicurezza tecnica sia quelli legati alla sovranità.
Dimensione europea e prospettive future
La pubblicazione dei criteri C3A avviene strategicamente prima della prevista presentazione del Cloud and AI Development Act (CADA) da parte della Commissione UE il 27 maggio. Gli osservatori si attendono che la vicepresidente della Commissione UE Henna Virkkunen definisca con il CADA criteri più chiari per la sovranità cloud.
Se criteri analoghi dovessero entrare negli allegati delle leggi sulla sicurezza informatica come NIS2 o il Cybersecurity Act, ciò avrebbe effetti determinanti in tutta Europa. La proposta tedesca potrebbe allora diventare lo standard per i servizi cloud sovrani nell'intera UE.
Per il settore della tecnica di sicurezza questi sviluppi significano una nuova sicurezza di pianificazione nella scelta dei servizi cloud per le applicazioni critiche. Se i grandi hyperscaler saranno in grado di soddisfare i requisiti severi dipenderà dal profilo di esigenze dei rispettivi clienti e dalla pressione normativa a scegliere soluzioni sovrane.
