Richtlinie zur Cloud-Nutzung

Die Richtlinie zur Cloud-Nutzung (P27) stellt einen einheitlichen, verbindlichen Standard für die Einführung, Verwaltung und Governance von Cloud-Computing-Diensten bereit und umfasst Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS) und Software-as-a-Service (SaaS). Ziel ist es, sicherzustellen, dass die Nutzung von Cloud-Plattformen durch die Organisation sicher ist, relevante regulatorische Anforderungen erfüllt und zugleich operative Effizienz und Innovation unterstützt – bei gleichzeitiger Wahrung der Vertraulichkeit, Integrität und Verfügbarkeit von Informations-Assets. Der Geltungsbereich der Richtlinie ist umfassend und gilt für alle Mitarbeiter und Auftragnehmer, Drittanbieter und Berater, die an der Bereitstellung, Konfiguration, Administration oder Nutzung von Cloud-Diensten beteiligt sind. Dies umfasst Public-, Private-, Hybrid- und Community-Cloud-Bereitstellungen, deckt alle Datenklassifizierungen ab und schließt ausdrücklich sowohl interne als auch vom Anbieter gehostete Umgebungen ein – ebenso wie die Verhinderung von Shadow IT und der Nutzung persönlicher Cloud-Dienste für geschäftliche Zwecke. Zu den zentralen Zielen der Richtlinie gehören: klare Leitlinien und Baselines für die Cloud-Einführung zu definieren, operative und regulatorische Risiken (z. B. Fehlkonfigurationen, Datenschutzverletzungen und unbefugten Zugriff) zu minimieren sowie robuste Sicherheits- und Datenschutzkontrollen über vertragliche Anforderungen, kontinuierliche Bewertung und Prüfungsrechte für alle Cloud-Anbieter verbindlich vorzuschreiben. Die Richtlinie verlangt die zentrale Pflege eines Cloud-Services-Registers unter Aufsicht des Chief Information Security Officer (CISO), das zugelassene Anbieter, Servicetypen, Risikobewertungen, Business Owner und Vertragsattribute katalogisiert und damit ein strenges Zugriffslebenszyklusmanagement sowie die kontinuierliche Überwachung der Einhaltung unterstützt. Rollen und Verantwortlichkeiten sind präzise festgelegt und verteilen Management- und Aufsichtsfunktionen auf Geschäftsleitung, Chief Information Security Officer (CISO), Cloud Security Architect, IT-Betrieb, Beschaffung, Recht, Data Owners und Endbenutzer. Die Richtlinie setzt strenge technische und prozedurale Kontrollen durch: Identitäts- und Zugriffsmanagement (IAM) (mit verbindlicher rollenbasierter Zugriffskontrolle (RBAC) und Multi-Faktor-Authentifizierung für administrative Konten), Baseline-Sicherheitskonfigurationen, Verschlüsselung (unter Verwendung von NIST-zugelassenen Standards), Anforderungen an Audit-Protokollierung sowie die Integration von Cloud-Diensten in Security Information and Event Management (SIEM)-Systeme. Verträge mit Cloud-Anbietern müssen Prüfungsrechte, Meldefristen, Datenrückgabe/-löschung und die kontinuierliche Überwachung der Einhaltung adressieren. Daten dürfen nur nach Datenklassifizierung in die Cloud übertragen werden, und grenzüberschreitende Übermittlungen müssen etablierten Regelungen wie der DSGVO entsprechen. Risikomanagement ist zentral: Abweichungen erfordern dokumentierte Ausnahmen, detaillierte Risikobehandlungspläne, Genehmigung durch den Chief Information Security Officer (CISO) oder den Cloud Security Architect sowie eine mehrstufige Überprüfung für Hochrisiko-Szenarien. Laufende Governance wird durch regelmäßige kontinuierliche Überwachung der Einhaltung, Integration in Incident Response (eskaliert über die Incident-Response-Richtlinie (P30)), jährliche Überprüfungen und Zwischenaktualisierungen auf Basis von Vorfallsergebnissen, Migrationen oder regulatorischen Änderungen durchgesetzt. Verstöße gegen Richtlinienbestimmungen – etwa die Nutzung nicht genehmigter Cloud-Konten oder das Unterlassen erforderlicher Kontrollen – lösen eine Bandbreite an Konsequenzen aus, von Schulungen bis hin zu rechtlichen Schritten oder Beendigung. Die Richtlinie zur Cloud-Nutzung ist mit verwandten Richtlinien zu Informationssicherheit, Änderungsmanagement, Datenklassifizierung, kryptografischen Kontrollen, Protokollierung und Überwachung, Incident Response und Audit verknüpft und stärkt damit ihre Rolle als maßgebliche Grundlage der Cloud-Governance.