BSI-MindeststandardNutzung externer Cloud-Dienste

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat jetzt einen neuen Mindeststandard nach §8 BSI-Gesetz (BSIG) zur Nutzung externer Cloud-Dienste veröffentlicht. Er betrachtet neben der vorgelagerten Datenkategorisierung und Risikoanalyse den gesamten Lebenszyklus einer Cloud-Nutzung: von der Beschaffungs- über die Einsatz- bis hin zur Beendigungsphase. Für jede dieser Phasen stellt er Sicherheitsanforderungen auf. Ein Schwerpunkt wird dabei auf die Verknüpfung mit den Basisanforderungen des bereits veröffentlichten Anforderungskatalogs Cloud Computing des BSI (C5) gesetzt. Stellen des Bundes haben laut BSI bei einer Nutzung externer Cloud-Dienste zu berücksichtigen, dass mindestens die Basisanforderungen des C5 vom Cloud-Anbieter erfüllt werden. Das müsse ihnen in geeigneter Form nachgewiesen werden, etwa durch die Vorlage eines Prüfberichts nach C5. Auf der Grundlage dieses Berichts können Stellen des Bundes die Angebote von Cloud-Anbietern mit ihren eigenen Anforderungen abgleichen. Der Mindeststandard Nutzung externer Cloud-Dienste ist auf der Web-Seite des BSI abrufbar. „Nach der Veröffentlichung des C5 setzen wir mit diesem Mindeststandard erneut ein klares Signal an den Cloud-Markt“, sagt BSI-Präsident Arne Schönbohm. „Cloud-Dienste basieren auf einem hohen Maß an Vertrauen in den Cloud-Anbieter, denn die Details der Cloud bleiben den Kunden meist verborgen. Der neue Mindeststandard sorgt insgesamt für mehr Transparenz und ermöglicht, mit den Anbietern auf Augenhöhe über ein definiertes Mindestniveau an Informationssicherheit zu sprechen.“