- «Vertrauenswürdige Cloud» ist das Gütesiegel der staatlichen Cloud-Richtlinie (2021): die SecNumCloud-Zertifizierung der ANSSI sowie Immunität gegenüber extraterritorialen Gesetzen wie dem Cloud Act. Seit Version 3.2 des Referenzrahmens ist diese Immunität eine Anforderung von SecNumCloud selbst.
- Die Rechtslehre lässt ausländische Technologien zu, sofern diese vollständig unter Lizenz von einem europäischen Akteur betrieben werden und damit außerhalb des Geltungsbereichs des US-Rechts liegen. Der Leitfaden 3.2 legt diese Kriterien für die Kapital- und Betriebskontrolle fest.
- Die Doktrin «Cloud im Mittelpunkt» geht auf das Rundschreiben vom 5. Juli 2021 zurück; sie wurde 2023 aktualisiert.
- Outscale, OVHcloud und Oodrive werden in der Fachpresse als de facto zulässige Anbieter genannt.
Was genau ist die „vertrauenswürdige Cloud“?
Die «Cloud de confiance» ist ein Gütesiegel der Cloud-Strategie des französischen Staates, das aus der Doktrin „Cloud au centre“ von 2021 hervorgegangen ist. Ursprünglich bezeichnete es die Kombination zweier Aspekte: die SecNumCloud-Zertifizierung der ANSSI und eine Immunität gegenüber dem US-amerikanischen Cloud Act, die gewährt wird, wenn die Technologie des Anbieters vollständig von einem europäischen Akteur betrieben wird, auch im Rahmen einer Lizenz. Seit Version 3.2 des SecNumCloud-Referenzrahmens ist diese Immunität gegenüber extraterritorialen Gesetzen Teil der Anforderungen der Zertifizierung selbst: Das Gütesiegel und die Zertifizierung sind miteinander verschmolzen.
Vertrauenswürdige Cloud, souveräne Cloud, SecNumCloud: Was ist der Unterschied?
Der Begriff „souveräne Cloud“ bezeichnet im weiteren Sinne eine Infrastruktur, die der französischen oder europäischen Rechtshoheit unterliegt. SecNumCloud ist die von der ANSSI verliehene Sicherheitszertifizierung, die seit ihrer Version 3.2 die Immunität gegenüber dem Cloud Act überprüft. Die „vertrauenswürdige Cloud“ ist die Bezeichnung, die die staatliche Doktrin für dieses Anforderungsniveau verwendet, wobei zusätzlich ein Anreiz zur Interoperabilität über die GAIA-X-Initiative gegeben wird.
- Souveräne Cloud: Eine Gerichtsbarkeit: französisch oder europäisch.
- SecNumCloud: Eine technische Zertifizierung, ausgestellt von der ANSSI.
- Vertrauenswürdige Cloud: Die vom Staat für diese Stufe festgelegte Bezeichnung: SecNumCloud 3.2, einschließlich Immunität.
Woher kommt dieses Label, und warum gerade jetzt?
Der französische Staat hat diese Doktrin im Rundschreiben «Cloud im Mittelpunkt» vom 5. Juli 2021, das 2023 aktualisiert wurde, festgelegt, um den Schutz sensibler Daten französischer Bürger und Unternehmen zu stärken. Das erklärte Ziel: Die Cloud in den Mittelpunkt der digitalen Transformation des Staates zu stellen, ohne von einem Anbieter abhängig zu sein, der extraterritorialen Rechtsvorschriften unterliegt.
Warum ist das für eine Organisation wichtig, die sich für einen Hosting-Anbieter entscheidet?
Ein Unternehmen, das sensible, personenbezogene oder regulierte Daten verarbeitet, begrenzt sein rechtliches Risiko, indem es einen Hosting-Anbieter wählt, dessen Technologie nicht unter den Geltungsbereich des Cloud Act fällt. Dies ist in erster Linie ein rechtliches Entscheidungskriterium und erst in zweiter Linie ein Marketingargument. Im Falle einer amerikanischen Vorladung kann ein dem Cloud Act unterliegender Anbieter gezwungen sein, Daten zu übermitteln, unabhängig davon, wo diese gespeichert sind.
Die Outscale-Cloud von Dassault Systèmes und die vertrauenswürdige Cloud
Die Outscale-Cloud von Dassault Systèmes ist in ihrer Region „cloudgouv-eu-west-1“ nach SecNumCloud 3.2, der aktuell gültigen Version des ANSSI-Referenzrahmens, zertifiziert (Quelle: outscale.com/our-certifications). Die Fachpresse (LeMagIT) nennt Outscale neben OVHcloud und Oodrive als einen der de facto in Frage kommenden Anbieter für die „Cloud de confiance“. Ohmycad betreibt diese Infrastruktur und bietet die SecNumCloud-Option über die Region „cloudgouv-eu-west-1“ an, wenn die Zertifizierung erforderlich ist.
Fazit
Die vertrauenswürdige Cloud ist ein rechtliches und technisches Auswahlkriterium: Sie unterscheidet zwischen Anbietern, deren Technologie nicht unter den Geltungsbereich des Cloud Act fällt, und solchen, die lediglich ein Standortversprechen abgeben.
Ohmycad betreibt die Outscale-Cloud von Dassault Systèmes, die nach SecNumCloud 3.2 zertifiziert ist und von der Fachpresse als einer der de facto in Frage kommenden Anbieter für vertrauenswürdige Cloud-Lösungen genannt wird. Die SecNumCloud-Option wird über die Region „cloudgouv-eu-west-1“ aktiviert, wenn Ihre Vorschriften oder Ihr Endkunde dies verlangen.
Bevor Sie sich für einen Hosting-Anbieter entscheiden, sollten Sie dessen Qualifikation, den Gerichtsstand und den Betreiber, der die Infrastruktur tatsächlich betreibt, überprüfen: Das ist der Unterschied zwischen tatsächlicher Konformität und einem bloßen Konformitätsversprechen.
Entdecken Sie das souveräne Cloud-Angebot von Ohmycad →
Weiterführende Informationen: Souveränität und Compliance · IT-Outsourcing und Betrieb
Quellen
- economie.gouv.fr, Cloud-Strategie der Regierung
- LeMagIT, „Cloud de Confiance“ – ein neues Gütesiegel
- outscale.com, Zertifizierungen
FAQ
Häufig gestellte Fragen
Ist die „Vertrauenswürdige Cloud“ eine Zertifizierung wie SecNumCloud?
Nein. SecNumCloud ist eine von der ANSSI verliehene Qualifikation mit einem öffentlichen Register. Die „vertrauenswürdige Cloud“ ist ein konzeptionelles Gütesiegel ohne eigene Zertifizierung: Es bezeichnete ursprünglich SecNumCloud sowie die Immunität gegenüber dem Cloud Act – eine Immunität, die nun in Version 3.2 des Referenzrahmens enthalten ist.
Trägt die Outscale-Cloud von Dassault Systèmes das Gütesiegel „Vertrauenswürdige Cloud“?
Das Unternehmen verfügt in seiner Region „cloudgouv-eu-west-1“ über die Einstufung „SecNumCloud 3.2“ und wird in der Fachpresse als einer der de facto für die „Cloud de confiance“ in Frage kommenden Anbieter genannt. Das Gütesiegel selbst ist im Gegensatz zu SecNumCloud keine offizielle Zertifizierung mit öffentlichem Register.
Ist SecNumCloud für alle Ohmycad-Kunden verpflichtend?
Nein, weiterhin optional, wird auf Wunsch des Endkunden oder aufgrund gesetzlicher Vorschriften aktiviert.
Was hat GAIA-X damit zu tun?
GAIA-X ist eine deutsch-französische Initiative, die darauf abzielt, die Datenportabilität und den Wechsel des Cloud-Anbieters zu erleichtern. Die Strategie für vertrauenswürdige Cloud-Dienste fördert deren Einführung, ohne sie jedoch vorzuschreiben.
Benötigen Sie ein souveränes Hosting, das in Ihrem Umfeld betrieben und kalkuliert wird? Ein Ohmycad-Techniker meldet sich bei Ihnen mit einem individuellen Kostenvoranschlag – nicht mit einer allgemeinen Preisliste: sich zurückrufen lassen. Das gesamte Angebot finden Sie auf der Seite souveräne Cloud.
