Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat einen Mindeststandard zur Nutzung externer Cloud-Dienste festgelegt. Für Bundesbehörden ist dieser verpflichtend, kann und soll aber anderen Unternehmen ein Vorbild sein.

MINDESTSTANDARDS

§ 8 Absatz 1 BSIG regelt die Befugnis des Bundesamtes für Sicherheit in der Informationstechnik (BSI), allgemeine Mindeststandards für die Sicherheit der Informationstechnik für Stellen des Bundes festzulegen. Mindeststandards können nach der Gesetzesbegründung etwa die IT-Grundschutz-Kataloge oder auch Prüfkriterien sein. Der Mindeststandard beschreibt die zu erfüllenden sicherheitstechnischen Anforderungen an eine Produkt- bzw. Dienstleistungskategorie oder Methoden, um einen angemessenen Mindestschutz gegen IT-Sicherheitsbedrohungen zu erreichen. Mindeststandards sind Vorgaben des BSI für die Stellen des Bundes.

TRANSPARENZ, ZUSTÄNDIGKEITEN UND STANDARDS

Wie das BSI auf seiner Internetseite erklärt, kann grundsätzlich mithilfe einer gezielten strategischen Ausrichtung die Informationssicherheit der Cloud-Nutzung entscheidend verstärkt werden. „Als erster strategischer Aspekt ist in diesem Zusammenhang Risiko- und Chancentransparenz zu nennen. Transparenz sorgt dafür, dass zwischen Cloud-Kunde und Cloud-Anbieter nicht nur offen über mögliche Gefahren gesprochen wird, sondern auch über mögliche Verbesserungen der Informationssicherheit. Eine klare Aufteilung der Zuständigkeiten zwischen Cloud-Kunde und Cloud-Anbieter stellt den zweiten Aspekt dar. Damit werden Risiken klar zugeordnet, sodass Rollen und Aufgaben richtig wahrgenommen werden können. Als dritter Aspekt tragen offene Standards dazu bei, Migrationen zwischen Angeboten zu ermöglichen und so Abhängigkeiten von einzelnen Cloud-Anbietern zu vermeiden. Dieser Mindeststandard richtet sich nach diesen drei Aspekten der strategischen Ausrichtung und stellt damit künftig sicher, dass Risiken identifiziert, bewertet und behandelt werden und für den Cloud-Kunden beherrschbar bleiben.“

INHALTE

Der „Mindeststandard des BSI nach § 8, Abs. 1 Satz 1 BSIG“ beleuchtet dabei den gesamten Lebenszyklus einer Cloud-Nutzung. Beginnend mit der Beschaffung über den Einsatz bis hin zur Ausmusterung. Dabei werden für jede dieser Phasen Sicherheitsanforderungen aufgestellt. Als Grundlage dient hier der Anforderungskatalog Cloud Computing des BSI (C5). Dessen Basisanforderungen sollten nach Ansicht des BSI auch nicht unterschritten werden. Der Mindeststandard greift die Themenkomplexe Informationssicherheit, Transparenz der Cloud-Diensterbringung und Nachweis über diese Aspekte durch geeignete Prüfungen auf. Rahmenbedingungen für die Cloud-Diensterbringung werden konkretisiert. Zudem wird vorgegeben, wie die Prüfnachweise des Cloud-Anbieters für das Informationssicherheitsmanagement der jeweiligen Stelle des Bundes genutzt werden sollen. Daneben bleibt die Verantwortung für die IT-Objekte, die die Stelle des Bundes im Rahmen ihrer IT-Grundschutzkonzeption innehat, unberührt und wird durch die Nutzung externer Cloud-Dienste lediglich angepasst.