EU Cloud Certification Scheme (EUCS) Fingerhakeln um die EUCS-Kriterien

Anbieter zum Thema

OVH GmbH

Fortinet Deutschland GmbH

Impossible Cloud GmbH

XOPERO SOFTWARE S.A.

Wenn Politiker von der Wirtschaft Innovationen fordern und diese durch regulatorische und bürokratische Rahmenbedingungen ermöglichen wollen, wird der Bock häufig zum Gärtner gemacht. Ob das für die European Cybersecurity Certification Scheme for Cloud Services (EUCS) gilt, wird sich zeigen.

Auf EU-Ebene wird schon seit geraumer Zeit im Hintergrund an einem „EUCS-Schema“ gewerkelt. Die Abkürzung steht für „European Cybersecurity Certification Scheme for Cloud Services“. Kurz gesagt, soll es einen einheitlichen Standard für Cloud-Sicherheit und Datenschutz in der EU schaffen. Ein freiwilliges Zertifizierungssystem soll es sein, aufgehängt bei der ENSIA (European Union Agency for Cybersecurity). Das EUCS ist eine freiwillige Zertifizierung, die idealerweise in allen EU-Mitgliedsstaaten identisch sein sollte. Um das Thema schwirren allerdings viele Fragezeichen. Angefangen bei der Frage, warum das Akronym ENSIA nicht zum ausformulierten Agenturnamen passt und endend in Unklarheiten darüber, ob das Zertifikatssystem US-amerikanische Cloud-Dienste der Hyperscaler eher einbindet oder aussperrt. Was das Akronym angeht: Es wurde der Name geändert und das alte Akronym behalten und was die US-Hyperscaler angeht, wird es kompliziert.

Stufen der Sicherheitszertifizierung

Das angedachte EUCS-Schema soll voraussichtlich mit verschiedenen Stufen der Sicherheitszertifizierung daherkommen. Für das angedachte Zertifizierungsniveau „High+“ ist es erforderlich, dass Cloud-Dienste vollständig durch europäische Anbieter oder solche mit europäischer Beteiligung verwaltet und betrieben werden. Dies soll verhindern, dass Daten und Systeme den Gesetzen oder Überwachungsmaßnahmen von Nicht-EU-Ländern unterliegen. Damit wird also nicht nur eine Datenlokalisierung innerhalb der EU gefordert, sondern auch, dass keine Abhängigkeit oder rechtliche Verpflichtung gegenüber außereuropäischen Staaten besteht.

Wird das so umgesetzt, kommt der US-amerikanische CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ins Spiel. Er erlaubt es US-Behörden unter bestimmten Bedingungen, auf Daten zuzugreifen, die von US-Unternehmen im Ausland gespeichert werden, einschließlich in der EU. Das bedeutet, dass amerikanische Cloud-Anbieter wie Amazon, Microsoft oder Google gesetzlich verpflichtet sein könnten, auf Anfragen der US-Regierung hin Daten ihrer Kunden – auch solche in der EU – offenzulegen. Ein High+-Kriterium im EUCS-Schema würde dadurch in weite Ferne rücken.

Einsatz für strenge Rahmenbedingungen

Bei OVHcloud macht man an dieser Lesart und dieser Form von EUCS-Rahmenbedingungen gar die technologische Souveränität einer europäischen Cloud abhängig. Zumindest sagt Falk Weinreich, General Manager Central Europe bei OVHcloud, man unterstütze die High+-Kriterien nachdrücklich, „da sie gewährleisten sollen, dass die Dienste vor dem Zugriff durch Dritte durch extra-territoriale Gesetze geschützt sind.“ Ein zentraler Grundsatz von OVHcloud sei schließlich, „dass wir die Daten unserer Kunden niemals einsehen und, dass sie rechtlich völlig durch die DSGVO und europäische Rechte geschützt sind“.

Bedeutung der Kriterien in der Praxis

Wenn für bestimmte Cloud-Verwendungen High+-Kriterien angesetzt werden – beispielsweise bei Ausschreibungen oder behördlichen Vorgaben – setzen diese Kriterien in letzter Konsequenz also eine Art Filter, bei dem nur Anbieter aus der EU herauskommen. Allerdings gibt es eine laufende Diskussion darüber, ob die High+-Kriterien des EUCS-Schemas möglicherweise abgeschwächt oder entfernt werden sollten. Konkret wurden Anfang April 2024 Änderungen des EUCS-Zertifizierungsschemas für die High+-Kriterien der Cybersicherheit aus dem Entwurf gestrichen. Das wiederum öffnet US-Hyperscalern Türen, für die High+ eigentlich ein Schloss darstellen sollte. Anders formuliert: Das Schloss wurde entfernt.

Das Hickhack geht weiter

So geht das Hickhack um die Kriterien weiter, beispielsweise in Form eines offenen Briefes, den auch OVHcloud unterzeichnet hat. „Als Unterzeichner möchten wir vor den negativen Folgen einer Abschaffung dieser Kriterien warnen“, heißt es aus dem Unternehmen. Die High+-Kriterien seien der einzige wirkliche Hebel, um europäischen Cloud-Nutzern den Schutz sensibler Daten zu garantieren.

Ihnen gefällt dieser Artikel? Mehr exklusive Inhalte finden Sie in unserer E-Paper-Ausgabe!

Aktuell und auf einen Blick lesen Sie hier die Top-News aus dem Channel, sowie fundiert recherchierte Fachbeiträge zu Trends und Themen der Branche!

Hier geht es zum aktuellen E-Paper!

(ID:50234920)