Cloud-Compliance: Anforderungen und Strategien für kritische Sektoren unter NIS2, DORA und DSGVO

Hintergrund

Die Einführung von Cloud-Lösungen in hochkritischen Sektoren (Energie, Transport, Gesundheitswesen, digitale Infrastrukturen, Finanzen) hat eine erhebliche betriebliche Reife erreicht und entwickelt sich hin zu hybriden Infrastrukturen und Multi-Cloud-Umgebungen. Diese architektonische Komplexität wird von einer wachsenden regulatorischen Komplexität begleitet. Die NIS2-Richtlinie (in Italien mit dem D.lgs. 138/2024 umgesetzt), die DORA-Verordnung (ab dem 17. Januar 2025 für den Finanzsektor anwendbar) und die DSGVO für die Verarbeitung personenbezogener Daten definieren einen komplexen Rahmen von Verpflichtungen. Ergänzt werden diese durch technische Frameworks wie ISO 27001, ISO 27017, ISO 27018, CSA CCM und NIST CSF, die die Anforderungen in operative Kontrollen übersetzen. Cloud-Compliance ist in diesem Szenario nicht nur Audit und Zertifizierungen, sondern das Ergebnis von Architekturwahlen, Governance-Prozessen und technischen Fähigkeiten, die bereits in der Planungsphase integriert sind.

Warum es wichtig ist

Für Organisationen, die in kritischen Sektoren tätig sind, ist ein Sicherheitsvorfall in einer Cloud-Umgebung nicht nur ein technisches Problem, sondern ein Ereignis mit regulatorischen, reputationsbezogenen und manchmal strafrechtlichen Folgen. Die Verantwortung für die Compliance verbleibt beim regulierten Unternehmen, unabhängig von den Zertifizierungen des Cloud Service Providers (CSP). Die NIS2-Richtlinie schreibt ein strenges Risikomanagement für die Sicherheit der Cloud-Lieferkette (Art. 21) vor und erfordert die Bewertung und vertragliche Festlegung von Sicherheitsanforderungen mit den Providern. Die DORA-Verordnung führt für Finanzunternehmen ein strukturiertes ICT Third-party Risk Management ein, mit direkter Überwachung für kritische Provider. Die DSGVO schließlich erfordert besondere Aufmerksamkeit bei der Übermittlung personenbezogener Daten außerhalb der EU, mit der Notwendigkeit solider Rechtsgrundlagen und Transfer Impact Assessments (TIA) zur Risikominderung, auch bei ISO 27018-zertifizierten CSPs.

Was zu tun ist

• Das Risiko aller kritischen Cloud Service Provider (CSP) und Sub-Processoren in der Cloud-Kette kartieren und bewerten.
• Spezifische Vertragsklauseln zu Sicherheit, Auditrecht und Incident-Meldung in Verträge mit CSPs aufnehmen.
• Überprüfen, ob die CSPs anerkannte Standards wie ISO 27001, CSA STAR, SOC 2 und ISO 27018 einhalten.
• Für die Übermittlung personenbezogener Daten außerhalb der EU die Rechtsgrundlage prüfen und ein Transfer Impact Assessment (TIA) durchführen.
• Das Verzeichnis der Verarbeitungstätigkeiten und das Verzeichnis der ICT-Verträge aktualisieren und Cloud-Dienste nach operativer Kritikalität klassifizieren.
• Exit-Strategien und Migrationspläne für kritische CSPs definieren.

Was zu vermeiden ist

• Adoption von improvisierten oder unstrukturierten Ansätzen zur Verwaltung der Cloud-Compliance.
• Die Sicherheit der Cloud-Lieferkette (Supply Chain) nicht aktiv überwachen.
• Sich ausschließlich auf die Zertifizierungen der CSPs verlassen, ohne eigene Risikobewertungen und kontinuierliche Überprüfungen.
• Übermittlung personenbezogener Daten außerhalb der EU ohne ausreichende Rechtsgrundlagen und ohne die Durchführung der erforderlichen Transfer Impact Assessments (TIA).

Praktische Auswirkungen

Cloud-Compliance ist keine reine Audit-Übung, sondern erfordert die Integration von Architekturwahlen, Governance-Prozessen und technischen Fähigkeiten bereits in der Planungsphase. Organisationen müssen die volle Verantwortung behalten, auch wenn sie Dienste an CSPs delegieren, indem sie die Lieferkette und Datenübermittlungen aktiv überwachen. Vorfälle in Cloud-Umgebungen können schwerwiegende regulatorische, reputationsbezogene und strafrechtliche Folgen haben.

Empfohlene Maßnahmen

• Einen strukturierten Prozess für das ICT Third-party Risk Management (TPRM) implementieren.
• Die Datenresidenz für sensible Daten gemäß den anwendbaren Vorschriften konfigurieren.
• Operationelle Resilienztests (TLPT) in kritischen Cloud-Umgebungen durchführen, sofern von der DORA-Verordnung gefordert.
• Das Personal bezüglich der Verantwortlichkeiten im Zusammenhang mit Cloud-Compliance und Risikomanagement schulen.

Zu vermeidende Fehler

• Die wachsende regulatorische Komplexität ignorieren, die mit der Einführung hybrider und Multi-Cloud-Umgebungen einhergeht.
• Die rechtlichen und reputationsbezogenen Implikationen eines Sicherheitsvorfalls in einer von Dritten verwalteten Cloud-Umgebung unterschätzen.
• Die Verzeichnisse der Verarbeitungstätigkeiten und der ICT-Verträge nicht ständig mit Verweisen auf die CSPs aktualisieren.

Fragen zur Selbsteinschätzung

• Hat unsere Organisation alle verwendeten kritischen CSPs und Sub-Processoren kartiert und bewertet?
• Enthalten die Verträge mit den CSPs alle von NIS2 und DORA geforderten Klauseln zu Sicherheit, Audit und Incident-Meldung?
• Haben wir TIAs durchgeführt und die Rechtsgrundlagen für jede Übermittlung personenbezogener Daten außerhalb der EU, insbesondere an US-amerikanische Anbieter, überprüft?
• Sind unsere Governance-Prozesse ausreichend, um Compliance und Risiken in hybriden und Multi-Cloud-Umgebungen zu verwalten?
• Wurden Exit-Strategien und Migrationspläne für kritische Cloud-Dienste gemäß den regulatorischen Anforderungen definiert?

Verweise

Nationales Recht: Direttiva NIS2 (D.lgs. 138/2024, Art. 21) · Regolamento DORA (Reg. UE 2022/2554, applicabile dal 17 gennaio 2025) · GDPR (Reg. UE 2016/679) · ISO/IEC 27001 · ISO/IEC 27017 · ISO/IEC 27018 · CSA CCM (Cloud Security Alliance Cloud Controls Matrix) · NIST CSF (National Institute of Standards and Technology Cybersecurity Framework) · Linee guida ENISA per la sicurezza cloud