Cloud Software verlagert Betrieb und technische Aufgaben zu einem Anbieter. Sie beseitigt nicht die Verantwortung des nutzenden Unternehmens für Zugriffsrechte, geeignete Daten und sichere Arbeitsabläufe. Für eine Instandhaltungslösung sollten Betrieb und IT diese Aufgaben gemeinsam klären.
Was Cloudbetrieb erleichtern kann
Ein zentraler Dienst kann Informationen für mehrere Standorte und Endgeräte verfügbar machen. Updates und Infrastrukturpflege können durch den Anbieter erfolgen. Wie gut das in Ihrem Betrieb funktioniert, hängt jedoch von Leistungsumfang, Verbindung, Endgeräten und den vereinbarten Betriebsbedingungen ab.
Cloudbetrieb bedeutet weder automatisch niedrigere Gesamtkosten noch unterbrechungsfreie Updates. Vergleichen Sie Angebote anhand der tatsächlich benötigten Funktionen und der zugesagten Unterstützung.
Welche Nachweise sollten Sie prüfen?
- Berechtigungen: Welche Rollen gibt es, wie werden Zugänge vergeben und wie werden ausgeschiedene Mitarbeiter gesperrt? Prüfen Sie auch externe Dienstleister.
- Schutz und Wiederherstellung: Welche Sicherungen bestehen, was lässt sich wiederherstellen und wie wird die Wiederherstellung überprüft? Ein vorhandenes Backup allein belegt noch keinen erfolgreichen Wiederanlauf.
- Datenverarbeitung: Wo werden Daten verarbeitet, welche Unterauftragnehmer sind beteiligt und welche vertraglichen Regelungen gelten? Personenbezogene Daten erfordern eine gesonderte datenschutzrechtliche Prüfung.
- Nachweise: Welche Prüfberichte oder Zertifikate beziehen sich auf den konkreten Dienst und welchen Zeitraum decken sie ab? Eine Zertifizierung des Rechenzentrums ist nicht automatisch eine Zertifizierung der gesamten Anwendung.
Das BSI stellt einen Leitfaden zur sicheren Nutzung von Cloud Diensten bereit. Nutzen Sie solche Grundlagen für konkrete Rückfragen, statt aus dem Begriff „Cloud“ auf ein bestimmtes Sicherheitsniveau zu schließen.
Verfügbarkeit am Einsatzort testen
Prüfen Sie typische Arbeitsplätze, darunter Technikräume und schlecht versorgte Hallenbereiche. Klären Sie, welche Informationen bei fehlender Verbindung verfügbar bleiben und wie später erfasste Änderungen zusammengeführt werden. Mobile Nutzung und vollständige Offlinefähigkeit sind unterschiedliche Eigenschaften.
Legen Sie für einen längeren Ausfall einen betrieblichen Ersatzablauf fest. Kritische Arbeiten dürfen nicht von einer ungeprüften Annahme zur ständigen Erreichbarkeit eines Dienstes abhängen.
Den späteren Wechsel mitdenken
Lassen Sie sich einen Export von Anlagen, Aufträgen und Anhängen zeigen. Prüfen Sie Lesbarkeit, Beziehungen und den Umgang mit Aufbewahrung und Löschung. Vereinbaren Sie, wer nach einem Vertragsende welche Schritte ausführt.
Für ELARA sollten Sie den benötigten Funktionsumfang und die verfügbaren Sicherheitsnachweise konkret abstimmen. Bringen Sie dazu Ihre Anforderungen aus Betrieb und IT in das Gespräch ein.
