Mobile-Menu

Verschlussachen in der Cloud

Vom Perimeter zur Datenzentrik

< zurück

Seite: 6/6

Anbieter zum Thema

secunet Security Networks AG
SysEleven GmbH

Der VS-IT-Freigabeprozess in sieben Schritten

Nach Aufbau und Einrichtung der Cloud-Umgebung folgt die VS-Freigabe nach § 50 VSA in sieben vordefinierten Schritten.

  • Zunächst ist die Einhaltung der BSI-Standards geboten. Nach § 50 Absatz 2 VSA ist dies Grundvoraussetzung für die Freigabe.
  • Zweiter Schritt ist die Erfassung der Umsetzung von Geheimschutzanforderungen nach § 50 Absatz 3 VSA, einschließlich der Durchführung von Penetrationstests oder der Überprüfung der Einhaltung von Nutzerpflichten.
  • Der dritte Schritt ist die Durchführung einer Risikoanalyse und das Ableiten von Maßnahmen mit Umsetzungsplanung.
  • Vierter Schritt: Bei VS-Vertraulich oder höher ist das Einholen eines VS-Freigabevotums des BSI, welches die Umsetzung der Geheimschutzanforderungen und die durchgeführte Überprüfung prüft, notwendig.
  • Der fünfte Schritt ist die Evaluation des Geheimschutzbeauftragten, der basierend auf den Ergebnissen und dem BSI-Votum eine Leitungsvorlage erstellt.
  • Als sechster Schritt folgt die Freigabe durch die Dienststellenleitung unter Berücksichtigung des Votums des Geheimschutzbeauftragten.
  • Der siebte und finale Schritt ist die Mitteilung der Freigabe an das BSI nach § 50 Absatz 10 VSA mittels eines entsprechenden Formulars.

Zuständigkeiten und Verantwortlichkeiten im VS-IT-Verbund

Die Zuständigkeit für die Erteilung einer Freigabe ist in § 50 Absätze 4 bis 6 VSA geregelt. Sie kann je nach Art und Umfang der VS-IT durch eine Dienststelle selbst oder bei mehreren beteiligten Dienststellen durch die zuständige Dienststelle für den VS-IT-Verbund erfolgen. Die zuständige Dienststelle wird dabei gemeinsam durch die beteiligten Dienststellen festgelegt. Im Zweifel soll die zuständige Dienststelle durch die zuständige oberste Bundesbehörde bestimmt werden. Falls die VS-IT ressortübergreifend genutzt wird, hat Bundesministerium des Innern als Nationale Sicherheitsbehörde für den Geheimschutz das letzte Wort.

Was heute noch nicht geht

Im Leitfaden des BSI wird ausdrücklich auf die aktuellen Restriktionen hingewiesen. Dazu zählen unter anderem die Verarbeitung von Verschlusssachen im PaaS- oder SaaS-Servicemodell auf einer Public Cloud. Dies ist zum aktuellen Zeitpunkt (noch) nicht möglich. Ebenso kommt die Verarbeitung innerhalb einer Public Cloud nur bis zum Geheimhaltungsgrad VS-NfD in Betracht. Für höhere Geheimhaltungsgrade fehle derzeit noch die technischen und organisatorischen Voraussetzungen. Ob diese in späteren Iterationen hizugefügt werden, steht derzeit noch nicht fest.

Wenn Sie den Leitfaden im Volltext einsehen und lesen möchten, können Sie dies über die offizielle Webseite des BSI tun.

(ID:50698319)

Jetzt Newsletter abonnieren

Wöchentlich die wichtigsten Infos zur Digitalisierung in der Verwaltung

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte