Mobile-Menu

Die Multi-Cloud für die Öffentliche Verwaltung Klare Linien für den Cloudbetrieb

Von Nicola Hauptmann

Anbieter zum Thema

Net at Work GmbH
mgm technology partners GmbH
S-Management Services GmbH

Wie schnell kann die Multi-Cloud für die Öffentliche Verwaltung Gestalt annehmen? Die Umsetzung soll kommen, doch noch gibt es Unklarheiten und Diskussionsbedarf.

In der Umsetzungssteuerung durch stringente Governance sieht das NEGZ ein viertes Handlungsfeld für den Aufbau einer funktionierenden Multi-Cloud-Umgebung
In der Umsetzungssteuerung durch stringente Governance sieht das NEGZ ein viertes Handlungsfeld für den Aufbau einer funktionierenden Multi-Cloud-Umgebung
(© kanpisut – stock.adobe.com)

2023 dürfte Bewegung in die Cloud-Transformation der Öffentlichen Verwaltung kommen: Wie Patrick Burghardt, CIO in Hessen und in diesem Jahr Vorsitzender des IT-Planungsrates, kürzlich in unserem Podcast „Unbürokratisch“ bekräftigte, ist das Thema Cloud einer der Schwerpunkte des IT-Planungsrates. Bereits seit November 2022 läuft bei govdigital die Pilotierung des MVP (Minimum Viable Product) für die Koordinierungsstelle der Deutschen Verwaltungscloud – die Ergebnisse werden in Kürze erwartet.

Ein Rahmenwerk der Zielarchitektur zur Deutschen Verwaltungscloud-Strategie hat der IT-Planungsrat im Oktober 2022 vorgelegt. Die darin enthaltenen Standards richten sich nach innen – während die genauen Anforderungen an Cloud-Anbieter und die Vorgaben zur Beschaffung aber noch nicht feststehen. Der folgende Blick auf zwei aktuelle Positionierungen zeigt, wo noch Unklarheiten bestehen.

Cloud ahead und die roten Linien des BSI

Cloud ahead, eine neue Plattform von Experten, die sich für digitale Souveränität und Open-Source engagieren, hat dazu die bestehenden IT-Sicherheitsvorgaben analysiert. Die „roten Linien“ des BSI, veröffentlicht im Juni 2022 über die Plattform „Frag den Staat“, beschreiben die Sicherheitsanforderungen an souveräne Cloud-Plattformen für die Öffentliche Verwaltung. Jockel Merholz von Cloud ahead bewertet die Vorgaben insgesamt als eine gute Basis, „um in Deutschland leistungsfähige und gleichzeitig kontrollierbare Cloud-Lösungen für staatliche Organisationen entstehen zu lassen“. Die Experten benennen aber auch Herausforderungen bei der Umsetzung, insbesondere begrenzte Ressourcen und Kompetenzen, die noch aufgebaut werden müssten:

Die roten Linien des BSI
Kernherausforderungen

Von den insgesamt 121 Sicherheitsanforderungen bewertet Cloud ahead 35 als schwierig umsetzbar und zwei als unklar. Diese 35 Vorgaben wurden entsprechend den Herausforderungen in sechs Gruppen eingeteilt:

  • 1. Staatsverantwortung: Die Private Cloud soll von einem kommerziellen Anbieter in staatlicher Infrastruktur zur Verfügung gestellt und von staatlichen Mitarbeitern betrieben werden: Für Cloud ahead schwer vorstellbar, da es, verkürzt gesagt, an Fachkräften und Know-how mangele.
  • 2. Individualisierung: Software-Updates oder Patches sollen durch den staatlichen Betreiber auch abgelehnt oder individuell angepasst werden können. In der Folge müssten Anbieter diese Änderungen oft als zusätzliche Variante mit pflegen, was aufwendig wäre und zudem Entwicklungsprozesse verlangsamen würde.
  • 3. Kontrolle und Sicherheit: Der Betreiber soll Updates; das BSI den Source Code prüfen können. Hier geben die Experten von Cloud ahead vor allem zu bedenken, dass bei Tausenden von Updates pro Monat die Prüfungskapazitäten bei BSI und Betreibern nicht ausreichten.
  • 4. Autarkie und Kontinuität: Die Cloud muss im Notfall auch ohne außereuropäischen Support im Autarkie-Modus weiterlaufen können. Zurück im Normalmodus, sollen alle Services auf den aktuellen Softwarestand gebracht werden – und da liegt das Problem, das sei aufgrund der Vielzahl an Updates nach einiger Zeit technisch nicht mehr zu schaffen.
  • 5. Anforderungen an die Hersteller in Bezug auf Transparenz (langfristige Roadmaps) und den Verzicht auf die Übermittlung von Telemetriedaten seien wohl nur in engeren Partnerschaften zwischen europäischem Cloudanbieter und außereuropäischem Technologieanbieter durchsetzbar.
  • 6. Interoperabilität: Eine Migration zwischen verschiedenen Cloud-Angeboten muss möglich sein. Dies setze voraus, dass „die Cloud-Anbieter sich selbst sehr genau synchronisieren oder der Bund genaue Spezifikationen für Cloud-Services und Schnittstellen vorgibt“. Cloud ahead schätzt beide Optionen als unwahrscheinlich ein.

Auf der nächsten Seite: NEGZ, Fachverfahren.

(ID:49218275)

Jetzt Newsletter abonnieren

Wöchentlich die wichtigsten Infos zur Digitalisierung in der Verwaltung

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte