Definition: Compliance im Zusammenhang mit Cloud-Technologien Was ist Cloud Compliance?

Anbieter zum Thema

Vogel IT-Medien GmbH

VMware Global Inc Zweigndl. Deutschland

Fujitsu Technology Solutions GmbH

Cloud Compliance bezeichnet die Einhaltung gesetzlicher, regulatorischer und unternehmensinterner Bestimmungen und Richtlinien in der Cloud. Die Anforderungen sind in Teilen gleich denen des klassischen IT-Outsourcings.

Compliance im Zusammenhang mit Cloud-Technologien bezeichnet die Umsetzung und die Einhaltung gesetzlicher, regulatorischer und unternehmensinterner Bestimmungen und Richtlinien. Die über die Cloud-Plattformen externer Anbieter in Anspruch genommenen Cloud-Computing-Lösungen und -Services müssen die Compliance-Vorgaben erfüllen. In Teilen sind die Anforderungen mit denen des IT-Outsourcings vergleichbar. Compliance-Anforderungen bestehen beispielsweise im Datenschutz, in der Aufbewahrung von Daten, in der Informationssicherheit und in der Verfügbarkeit.

Die Verantwortung, die Einhaltung der geltenden Compliance-Vorgaben im Rahmen der Governance zu überwachen, liegt bei der Unternehmensführung. In der Umsetzung einzelner Compliance-Vorgaben ist es möglich, dass sich Unternehmen und Cloud-Anbieter bestimmte Verantwortlichkeiten teilen. Es existieren zahlreiche Gesetze, Verordnungen und Normen mit Compliance-Vorgaben für das Cloud Computing. In Europa ist für die Speicherung und Verarbeitung personenbezogener Daten die Datenschutzgrundverordnung (EU-DSGVO) von großer Bedeutung.

Für die Einhaltung der Datenschutzgrundverordnung spielt unter anderem der Ort der Verarbeitung und Speicherung der Daten durch den Cloud-Anbieter eine wichtige Rolle. Verstöße gegen Compliance-Vorgaben können zu Geldstrafen und zivil- oder strafrechtlichen Konsequenzen führen. Vorstände oder Geschäftsführer von Aktiengesellschaften und GmbHs haften bei Verstößen unter Umständen persönlich.

Grundsätzliche Definition der Begriffe Compliance und IT-Compliance

Der englische Begriff „Compliance“ bedeutet im Deutschen „Gesetzes- oder Richtlinienkonformität“. Im betriebswirtschaftlichen Umfeld versteht man darunter die Umsetzung und Einhaltung rechtlich verbindlichen Vorschriften, regulatorischer Standards und branchenspezifischer oder unternehmensinterner Richtlinien durch ein Unternehmen und deren Mitarbeitern. Dazu können auch Richtlinien zählen, die spezifisch für ein einzelnes Unternehmen sind oder deren Einhaltung sich ein Unternehmen freiwillig unterwirft.

Die IT-Compliance bezieht sich auf die Compliance-Anforderungen, die sich aus den Vorgaben und Richtlinien für die IT-Systeme und IT-Services ergeben. Im Wesentlichen betrifft die IT-Compliance den Datenschutz, die Aufbewahrung von Daten, die Informationssicherheit und die Verfügbarkeit. Gesetzliche Vorgaben für die IT-Compliance sind unter anderem der EU-Datenschutzgrundverordnung oder dem Bundesdatenschutzgesetz zu entnehmen. Zu den möglichen konkreten internen Richtlinien der IT-Compliance zählen zum Beispiel Vorgaben im Umgang mit Passwörtern, E-Mail-Richtlinien, Vorgaben für die Nutzung externer Datenspeicher wie USB-Sticks oder Handlungsanweisungen für die Verwendung von Rechnern oder Smartphones.

Von der IT-Compliance zur Cloud Compliance

Die Nutzung von Cloud-Plattformen und Cloud-Services externer Anbieter bedingt eine Cloud Compliance. Zum Teil sind die Compliance-Anforderungen im Cloud-Umfeld identisch mit den Anforderungen des klassischen Outsourcings von IT-Leistungen. Nimmt ein Unternehmen Cloud-Ressourcen oder Cloud-Dienste Dritter in Anspruch, muss es prüfen, inwieweit der Cloud-Anbieter die für das Unternehmen geltenden Vorgaben und Richtlinien einhält. Prinzipiell muss sichergestellt sein, dass die cloud-basiert bereitgestellten Leistungen die Compliance-Anforderungen des Unternehmens erfüllen.

Die Cloud Governance sorgt diesbezüglich für die entsprechende Beaufsichtigung der Cloud. Sie verwendet ein einheitliches Regelwerk mit organisatorischen und technischen Maßnahmen, um Cloud-Services nachvollziehbar, sicher und regelkonform zu nutzen. Teilweise sind die Verantwortlichkeiten für die Cloud Compliance geteilt. Während Anbieter die Einhaltung grundlegender Cloud-Compliance-Anforderungen durch die Cloud-Systeme unterstützen, liegt es in der Verantwortung der Cloud-Kunden, branchen- oder unternehmensspezifische Richtlinien konform umzusetzen, geeignete Services auszuwählen, die Dienste gemäß den Compliance-Vorgaben zu konfigurieren und die Cloud Compliance zu überwachen. Mitunter stellen Anbieter entsprechende Tools zur Überwachung der Compliance und Sicherheit zur Verfügung.

Definition: Regelwerk zur Nutzung von Cloud Services

Was ist Cloud Governance?

Die spezifischen Herausforderungen der Cloud Compliance

In klassischen IT-Umgebungen und bei On-Premises bereitgestellten IT-Services hat das Unternehmen die volle Kontrolle über die verarbeiteten Daten und verwendeten Systeme oder Netzwerke. Es ist für die komplette IT-Infrastruktur verantwortlich und hat dementsprechend auch alle Möglichkeiten, für die Einhaltung der IT-Compliance zu sorgen. Sobald das Unternehmen aber Leistungen einer Cloud-Computing-Plattform eines externen Anbieters in Anspruch nimmt, verliert es einen Teil dieser Kontrollmöglichkeiten.

Daten werden über öffentliche Netzwerke wie das Internet übertragen und die Verarbeitung oder Speicherung der Daten findet in externen Rechenzentren der Cloud-Anbieter statt. Unter Umständen gelangen Daten in fremde Länder und andere politische Einflusszonen. Mitunter ergeben sich komplexe Konstellationen, durch die sich die Datenflüsse und beteiligten Dienstleister nur noch schwer nachvollziehen lassen. Das steht zum Beispiel im Widerspruch mit den strengen Vorgaben der Europäischen Datenschutzgrundverordnung im Umgang mit personenbezogenen Daten. Unternehmen benötigen für die Einhaltung der Compliance-Vorgaben transparente Informationen der Cloud-Betreiber. Es stellen sich Fragen wie:

• Wo und von wem werden Daten gespeichert und verarbeitet?

• Über welche Netze werden Daten übertragen?

• Wo und wie sind Daten verschlüsselt?

• Wer hat mit welchen Rechten Zugang zu den Daten?

• Welche grundsätzlichen Compliance-Standards unterstützt der Anbieter?

• Wie lässt sich die Compliance des Anbieters überwachen?

• Steht ein Compliance-Reporting zur Verfügung

• Ist die Compliance vertraglich zugesichert?

• Lassen sich individuelle Compliance-Vorgaben und SLAs vertraglich festlegen?

• Wie sehen die Regelungen nach Vertragsende aus?

• Sind weitere Dienstleister in die Erbringung der Leistungen involviert?

Wichtige Vorgaben, Gesetze, Verordnungen und Normen für die Cloud Compliance

Neben unternehmensinternen und freiwilligen Compliance-Vorgaben existieren zahlreiche wichtige Gesetze, Verordnungen und Normen für die Cloud Compliance. Je nach Branche, Land und Art oder Tätigkeit eines Unternehmens sind unterschiedliche Vorgaben einzuhalten. Beispiele für solche externen Vorgaben sind:

• Europäische Datenschutzgrundverordnung (EU-DSGVO): Vorgaben für die Verarbeitung personenbezogener Daten durch private Unternehmen.

• Bundesdatenschutzgesetz (BDSG): ergänzt und präzisiert die DSGVO um nationale Regelungen.

• IT-Sicherheitsgesetz: Vorgaben für Betreiber „kritischer Infrastrukturen“ (KRITIS).

• GoBD: Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form sowie zum Datenzugriff.

• Telekommunikationsgesetz (TKG): reguliert den Wettbewerb im Bereich der Telekommunikation.

• ISO 19600: Richtlinien für den Einsatz von Compliance Management Systemen.

• Sarbanes-Oxley Act (SOX): gültig auch für europäische Unternehmen, die an US-Börsen notiert sind.

• Payment Card Industry Data Security Standard (PCI-DSS).

• HIPAA (Health Insurance Portability and Accountability Act) und HITECH (Health Information Technology for Economic and Clinical Health).

Public, Private, Hybrid & Co.: Definitionen rund um Cloud Computing

Alle relevanten Schlagworte aus dem Bereich Cloud Computing finden Sie auch gut erklärt in unseren Definitionen. Ganz im Sinne eines kleinen, aber feinen Glossars lesen Sie hier leicht verständliche Erklärungen zu den wichtigsten Begriffen. Als Service für Sie haben wir die hier erklärten Begriffe in unseren Beiträgen auch direkt mit den zugehörigen Lexikoneinträgen verlinkt. So können Sie die wichtigsten Begriffe direkt dort nachschlagen, wo sie im Text auftauchen.  

Zum Special: Definitionen rund um Cloud Computing

(ID:48568239)