BSI presenteert concrete standaarden voor soevereine clouddiensten
Het Bundesamt für Sicherheit in der Informationstechnik (BSI) heeft met de "Criteria Enabling Cloud Computing Autonomy" (C3A) voor het eerst concrete standaarden gedefinieerd voor wanneer clouddiensten als soeverein kunnen gelden. De nieuwe criteria moeten vooral duidelijkheid scheppen voor beveiligingskritische toepassingen van het openbaar bestuur en beheerders van kritieke infrastructuur.
Tot nu toe heerste er vaak onzekerheid over welke cloudoplossingen daadwerkelijk onafhankelijk van niet-Europese aanbieders zoals AWS, Azure, Alibaba of Huawei Cloud kunnen worden geëxploiteerd. "Het gaat ons om technisch houdbare oplossingen die concrete voorwaarden formuleren", verklaart Thomas Caspers, vicepresident van het BSI.
Praktijkervaring vloeit in nieuwe standaarden
Het BSI baseert zich bij de ontwikkeling van de C3A op uitgebreide praktijkervaring met verschillende afhankelijkheidsvarianten. In Duitsland zijn al meerdere soevereine cloudbenaderingen getest, waaronder:
- De SAP-Microsoft-samenwerking DelosCloud
- Stackit van Schwarz-Digits
- De T-Systems Sovereign Cloud in samenwerking met Google
- Amazons European Sovereign Cloud-aanbod
Parallel daaraan testte de Franse IT-veiligheidsdienst ANSSI vergelijkbare benaderingen, waarbij steeds Franse ondernemingen betrokken zijn, zoals defensieconcern Thales bij het volgens de SecNumCloud-eisen gecertificeerde S3NS.
"We hebben onder meer aan de hand van de AWS European Sovereign Cloud gezien hoeveel mechanismen een rol spelen om een cloud operationeel te houden", verklaart Caspers. "Volledig ontkoppeld zal men zulke diensten echter niet jarenlang kunnen blijven exploiteren."
Concrete criteria voor noodgevallen
De C3A-standaarden definiëren nauwkeurige eisen voor verschillende scenario's. Een centraal criterium is SOV-4-09-C, dat de eisen vastlegt bij een "disconnect" - de afkoppeling van de buiten-Europese exploitantencloud:
- De exploitatie moet doorlopen zonder verlies aan beschikbaarheid, integriteit, authenticiteit en vertrouwelijkheid
- Er moet een gedocumenteerd proces voor de afkoppeling aanwezig zijn
- De exploitant moet dit minstens eenmaal per jaar testen en documenteren
Bij de personeelseisen maakt het BSI onderscheid tussen verschillende veiligheidsniveaus. Criterium SOV-4-01-C1 vereist dat alle medewerkers met toegang tot bedrijfsmiddelen de EU-nationaliteit en een EU-woonplaats hebben. Voor hoogbeveiligde toepassingen zoals veiligheidsdiensten of de Bundeswehr geldt SOV-4-01-C2: hier moeten alle medewerkers hun woonplaats binnen de Bondsrepubliek hebben.
Voor de grondwettelijk geregelde verdedigingssituatie zijn de eisen bijzonder streng: clouddienstverleners moeten in staat zijn de exploitatie inclusief het benodigde materiaal en personeel over te dragen aan de federale autoriteiten.
Gevolgen voor kritieke infrastructuur en beveiligingstechniek
De nieuwe standaarden zijn vooralsnog niet juridisch bindend, maar kunnen bij wetgeving of aanbestedingen tot minimumeisen worden verklaard. "De C3A kunnen de benchmark van het federale bestuur worden", aldus Caspers.
Bijzonder relevant wordt dit door de koppeling met bestaande voorschriften: federale instanties zijn verplicht de IT-Grundschutz van het BSI toe te passen. Bij het gebruik van externe clouddiensten moeten zij module OPS 2.2 en de minimumstandaard voor het gebruik van externe clouddiensten (MST-NCD) naleven. De C3A vullen deze veiligheidscriteria aan met aspecten van digitale soevereiniteit.
Voor beheerders van kritieke infrastructuur, die al aan strenge veiligheidseisen onderworpen zijn, betekenen de nieuwe standaarden extra planningszekerheid. Ondernemingen uit sectoren als energie, water, gezondheidszorg of telecommunicatie kunnen nu gericht cloudoplossingen kiezen die zowel aan beveiligingstechnische als aan soevereiniteitsgerelateerde eisen voldoen.
Europese dimensie en toekomstperspectief
De publicatie van de C3A-criteria vindt strategisch plaats vóór de geplande presentatie van de Cloud and AI Development Act (CADA) door de Europese Commissie op 27 mei. Waarnemers verwachten dat vicevoorzitter van de Europese Commissie Henna Virkkunen met de CADA duidelijkere criteria voor cloudsoevereiniteit zal vastleggen.
Mochten vergelijkbare criteria hun weg vinden naar de bijlagen van de IT-veiligheidswetten zoals NIS2 of de Cybersecurity Act, dan zou dit Europabreed ingrijpende gevolgen hebben. Het Duitse voorstel zou dan de standaard voor soevereine clouddiensten in de hele EU kunnen worden.
Voor de beveiligingstechnieksector betekenen deze ontwikkelingen nieuwe planningszekerheid bij de keuze van clouddiensten voor kritieke toepassingen. Of grote hyperscalers aan de strenge eisen kunnen voldoen, zal afhangen van het eisenprofiel van de klanten en van de regelgevende druk om soevereine oplossingen te kiezen.
