Cloud Compliance

Cloud Compliance bedeutet, die für einen Cloud-Einsatz geltenden gesetzlichen, vertraglichen und internen Anforderungen umzusetzen und ihre Erfüllung nachvollziehbar zu belegen. Cloud Security behandelt den Schutz von Daten und Systemen; Governance legt Zuständigkeiten und Entscheidungen fest. Technische Sicherheit allein deckt deshalb nicht alle Compliance-Pflichten ab.

Für Banken sind insbesondere die konkrete Institutsart, die unterstützte Geschäftsfunktion, Daten und Dienstleister entscheidend. DORA-pflichtige Finanzunternehmen bleiben auch bei Nutzung externer IKT-Dienste für ihre Pflichten verantwortlich. Ein Anbieter-Testat ersetzt weder die eigene Risikoanalyse noch sichere Konfigurationen, Verträge und laufende Überwachung. ADVISORI verbindet diese fachliche Einordnung mit Cloud-Governance und technischen Kontrollen.

Prüfen Sie zunächst, welche Regeln für Ihr Institut und den konkreten Cloud-Dienst gelten. Für Unternehmen im DORA-Anwendungsbereich sind IKT-Risikomanagement und IKT-Drittparteienrisiken nach DORA maßgeblich. BAIT gelten nicht zusätzlich für Institute, die ein IKT-Risikomanagement nach den einschlägigen DORA-Artikeln betreiben müssen; für andere Institute können 2026 noch Übergangsregelungen relevant sein.

Zu klären sind unter anderem Risikoanalyse, Vertrags- und Kontrollanforderungen, Datenverarbeitung, Auslagerungseinordnung und Aufsichtszuständigkeit. Das DORA-Informationsregister erfasst die vertraglichen Vereinbarungen über IKT-Dienste; Pflege, Umfang und aktuelle Übermittlungsvorgaben sind getrennt zu prüfen. Eine pauschale Erstpflicht „seit März 2026“ bildet dies nicht richtig ab.

Quelle zur Abgrenzung: Bundesbank: BAIT / DORA.

ADVISORI unterstützt bei IKT-Risikomanagement, Cloud-Governance, Dienstleisterbewertung, Informationsregister und der Abstimmung von Kontroll- und Meldeprozessen. Der Umfang richtet sich nach Institut, Cloud-Diensten und unterstützten Funktionen.

DORA unterscheidet allgemeine Anforderungen an IKT-Dienstleistungsverträge von zusätzlichen Anforderungen für Dienste, die kritische oder wichtige Funktionen unterstützen. Dafür werden beispielsweise Leistungsumfang, Unterauftragnehmer, Verarbeitungsorte, Kontrollrechte, Unterstützung bei Vorfällen und Exit-Regelungen geprüft. Ein SaaS-Vertrag darf deshalb nicht allein anhand eines Anbieterlogos oder Zertifikats freigegeben werden.

Praktisches Beispiel, kein Kundenfall: Bei einer cloudbasierten Dokumentenablage wird für Zugriffsschutz festgehalten, wer die Plattform betreibt, wer Benutzer und Rollen freigibt und wer Änderungen prüft. Als Nachweise dienen passende Anbieterberichte, eigene Konfigurationsauszüge und dokumentierte Berechtigungsprüfungen. Jeder Nachweis erhält Dienstbezug, Datum und Verantwortliche. TLPT ist ein gesonderter Prüfungsumfang für die dafür bestimmten Finanzunternehmen, kein automatischer Bestandteil jeder Cloud-Beratung.

Rechtsgrundlage: DORA, insbesondere Artikel 28 bis 30.

C5 ist ein BSI-Kriterienkatalog für die Informationssicherheit von Cloud-Diensten. Ein Testat beruht auf einer unabhängigen Prüfung; es ist keine vom BSI ausgestellte Zertifizierung. Prüfen Sie im Bericht insbesondere Dienst und Geltungsbereich, Katalogversion, Prüfungszeitraum, Abweichungen und vom Kunden zu erfüllende Kontrollen.

Typ 1 und Typ 2 unterscheiden sich hinsichtlich der zeitpunktbezogenen Beurteilung und der Prüfung der Wirksamkeit über einen Zeitraum. Daraus folgt keine pauschale Pflicht für jedes Finanzinstitut zu einem bestimmten Typ oder einer allgemein festen Mindestdauer. Welche Nachweise ausreichen, hängt vom konkreten Einsatz und den anwendbaren Anforderungen ab. Die eigene Risikoanalyse bleibt erforderlich. ADVISORI unterstützt bei Berichtsbewertung, Gap-Analyse und Prüfungsvorbereitung.

Quelle: BSI: Kriterienkatalog C5.

Die EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02) sind ein Bezugspunkt für Auslagerungs-Governance, Risikoanalyse, Verträge, Überwachung und Exit-Planung. Bei Cloud-Diensten muss ihr Verhältnis zu DORA und den für das Institut geltenden nationalen Anforderungen konkret eingeordnet werden. Nicht jede IKT-Dienstleistung ist zugleich eine Auslagerung; DORA-Anforderungen an IKT-Drittparteien dürfen deshalb nicht allein von der bisherigen Auslagerungsklassifizierung abhängig gemacht werden.

Trennen Sie Institutsart, Dienst, unterstützte Funktion und maßgebliches Regelwerk in der Bewertung. Eine Konsultation zu neuen Leitlinien ist noch keine geltende Endfassung. ADVISORI unterstützt bei der Zuordnung und bei konsistenten Prozessen, ohne identische Nachweise unnötig mehrfach aufzubauen.

Multi-Cloud Governance verbindet gemeinsame Regeln mit den technischen Besonderheiten jedes Dienstes. ADVISORI unterstützt bei zentralen Policies, Monitoring, Infrastructure-as-Code-Kontrollen und Dienstleisterbewertung. Gleichlautende Richtlinien müssen für AWS, Azure, Google Cloud und SaaS-Dienste jeweils auf tatsächlich verfügbare Kontrollen abgebildet werden.

Führen Sie pro Kontrolle Anforderung, Dienst, zuständige Rolle, Prüfmethode, Nachweis und offene Abweichung zusammen. Automatisierte Prüfungen können etwa öffentliche Freigaben oder fehlende Protokollierung erkennen; Vertragsrechte, Rechtsgrundlagen und organisatorische Freigaben brauchen weitere Prüfungen. Ein grünes Dashboard belegt nur die getesteten Kriterien im erfassten Umfang.

Erfassen Sie Speicher- und Verarbeitungsorte sowie Support- und Unterauftragnehmerzugriffe. Ein EU-Rechenzentrum allein beantwortet nicht alle Datenschutz- und Übermittlungsfragen. Multi-Cloud ist keine automatische Compliance-Garantie und kann neue Abhängigkeiten erzeugen.

Die bestehende Roadmap umfasst Bestandsaufnahme und Gap-Analyse, Governance mit Rollen und Regeln, technische Kontrollen, Dienstleistermanagement und laufende Überwachung. Zu jeder Phase werden Ausgangslage, vereinbarte Ergebnisse, Verantwortliche und offene Entscheidungen dokumentiert.

Für IKT-Dienste, die kritische oder wichtige Funktionen unterstützen, gehört die Exit-Planung zur DORA-Bewertung. Praktisch sollten Datenexport, nutzbare Formate, Wiederherstellung, Zugriffswechsel und ein realistischer Übergang geprüft werden. Ein Dokument allein zeigt noch nicht, dass der Wechsel funktioniert; geeignete Tests und ihre Grenzen sind festzuhalten.

Für eine erste Anfrage helfen Institutsart, Cloud-Anbieter und Dienste, Geschäftsfunktionen, Datenarten, bestehende Verträge und verfügbare Prüfberichte. Aufwandstreiber sind Zahl und Komplexität der Dienste, Nachweislücken, Vertrags- und Integrationsbedarf sowie Testumfang. Leistungsumfang und Kosten werden darauf abgestimmt; sensible Originaldaten sind für die erste Anfrage nicht erforderlich.