BMI veröffentlicht Kriterien für die Nutzung durch die Bundesverwaltung

Die Bundesverwaltung öffnet sich dem Cloud Computing – mit Einschränkungen. Das Bundesinnenministerium (BMI) hat nun Kriterien der Bundesverwaltung zur Nutzung von Cloud-Diensten der IT-Wirtschaft veröffentlicht. Diese hatte der Rat der IT-Beauftragten der Ressorts (IT-Rat) aktuell beschlossen.

Beschlossen wurden die Regelungen vom Rat der IT-Beauftragten der Ressorts (IT-Rat) – dem zentralen Gremium für die ressortübergreifende IT-Steuerung auf Bundesebene.

Dazu erklärt der Beauftragte der Bundesregierung für Informationstechnik und Vorsitzende des IT-Rats, Staatssekretär Hans-Georg Engelke: „Cloud-Dienste bieten erhebliche Chancen, aber auch Risiken. Wo Daten und Geschäftsprozesse in fremde Hände gelegt werden, kann jedenfalls der Staat dies nur zu sehr bewusst gewählten Bedingungen tun.“

Dazu würden nicht nur hohe Anforderungen an die IT-Sicherheit und des Datenschutzes gehören, sondern auch die Vermeidung von wirtschaftlich ausnutzbaren Abhängigkeiten. Auch müsse in jeder Planung bedacht werden, wie Daten sicher zurückzuerhalten sind und somit der Cloud-Anbieter gewechselt werden kann, so Engelke.

„Die Kriterien fallen sicher und vorausschauend aus und sie verhindern auch nicht den geplanten Aufbau einer eigenen Bundes-Cloud“, betonte der Staatssekretär.

Engelke stellte weiter klar, dass die Kriterien nur auf die Bundesverwaltung gerichtet seien: „Der Bund gibt sich selbst Eckpunkte für seine eigene Cloud-Nutzung vor, regelt damit aber nicht, wie Bürger oder Unternehmen Cloud-Technologien nutzen können.“

Trotzdem sei dies natürlich ein Signal, an dem andere sich ausrichten könnten, so etwa die IT-Wirtschaft mit ihren Cloud-Angeboten. Dazu Engelke: „Die Kriterien machen deutlich, welche Cloud-Angebote der Bund künftig einkaufen wird.“

Bereits am 12. Februar 2014 hatte der IT-Rat die Ausarbeitung der Kriterien beschlossen und für Bundesbehörden noch einmal betont, nur Cloud-Dienste zu nutzen, bei denen eine Gefährdung der IT-Sicherheit und des Datenschutzes ausgeschlossen werden kann.

Bereits bestehende Cloud-Aktivitäten müssen in Zusammenarbeit mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) regelmäßig schutzbedarfsbezogen überprüft werden, um erkannten Risiken in geeigneter zu vermeiden.