Was ist ein Cloud-Computing-Dienst?
Ein Cloud-Computing-Dienst ist nach dem BSIG ein digitaler Dienst, der auf Abruf die Verwaltung eines skalierbaren und elastischen Pools gemeinsam nutzbarer Rechenressourcen sowie den umfassenden Fernzugang zu diesem Pool ermöglicht. Eine Verteilung auf mehrere Standorte schließt die Einordnung nicht aus.
Der Normwortlaut
Im Sinne dieses Gesetzes ist oder sind „Cloud-Computing-Dienst“ ein digitaler Dienst, der auf Abruf die Verwaltung eines skalierbaren und elastischen Pools gemeinsam nutzbarer Rechenressourcen sowie den umfassenden Fernzugang zu diesem Pool ermöglicht, auch wenn die Rechenressourcen auf mehrere Standorte verteilt sind;
Normtext: Der Wortlaut stammt aus § 2 Nummer 4 BSIG. Verwaltung auf Abruf und umfassender Fernzugang werden kumulativ verlangt; die Mehrstandort-Klausel verhindert, dass eine räumliche Verteilung der Ressourcen allein die Einordnung ausschließt.
Welche Merkmale müssen für die Definition vorliegen?
Rechtliche Einordnung: Sämtliche Merkmale müssen gemeinsam vorliegen: ein digitaler Dienst, ein skalierbarer und elastischer Pool gemeinsam nutzbarer Rechenressourcen, dessen Verwaltung auf Abruf sowie umfassender Fernzugang zu diesem Pool. Die Produktbezeichnung „Cloud“ genügt nicht.
Wann ist ein Anbieter vom BSIG erfasst?
Anwendungsbereich: Anbieter von Cloud-Computing-Diensten sind eine Einrichtungsart der Anlage 1 BSIG. Die Legaldefinition allein macht einen Anbieter aber noch nicht zu einer besonders wichtigen oder wichtigen Einrichtung. Zusätzlich sind die Voraussetzungen des § 28 BSIG zu prüfen, insbesondere das entgeltliche Angebot für andere und die jeweils einschlägige Größenlogik.
Für eine besonders wichtige Einrichtung genügt alternativ eine Beschäftigtenzahl von mindestens 250 oder die Kombination aus mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Jahresbilanzsumme. Nur soweit keine Einstufung als besonders wichtige Einrichtung nach § 28 Absatz 1 vorliegt, gilt für eine wichtige Einrichtung alternativ eine Beschäftigtenzahl von mindestens 50 oder die Kombination aus jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Weitere Voraussetzungen des § 28 bleiben zu prüfen. Eine Anlagen-, Sektor- oder Unterziffer wird hier bewusst nicht genannt, weil ihre genaue Fundstelle vor Veröffentlichung am aktuellen amtlichen Text zu verifizieren ist.
Welche Grenzen und Ausnahmen gelten?
Nicht jedes Hosting-, Rechenzentrums- oder Softwareangebot erfüllt die Legaldefinition. Nach § 28 Absatz 3 BSIG können vernachlässigbare Geschäftstätigkeiten bei der Zuordnung unberücksichtigt bleiben. Einrichtungen der Bundesverwaltung sind nach § 28 Absatz 1 Satz 2 beziehungsweise Absatz 2 Satz 2 ausgenommen, soweit die jeweilige Vorschrift dies bestimmt.
Die Spezialregime in § 28 Absätzen 5 bis 8 sind tätigkeits- und pflichtenbezogen: Absatz 5 betrifft die dort bezeichneten Telekommunikationseinrichtungen und die Abgrenzung ihrer Risikomanagement- und Meldepflichten zum telekommunikationsrechtlichen Regime. Absatz 6 trifft eine entsprechende Abgrenzung für die bezeichneten Energieeinrichtungen gegenüber energierechtlichen Vorgaben. Absatz 7 ordnet für die dort bezeichneten Finanzunternehmen das Verhältnis der Risikomanagement- und Meldepflichten zum DORA-Regime. Absatz 8 begrenzt einzelne BSIG-Pflichten für die dort bezeichneten Konstellationen der Telematikinfrastruktur, soweit deren Spezialregime greift. Welche Pflicht im Einzelfall ausgenommen bleibt und welche Rückausnahme sie wieder erfasst, ist ausschließlich dem jeweiligen Absatz zu entnehmen; die Regelungen dürfen nicht zwischen den Gruppen übertragen werden. Sie heben die Definition in § 2 Nummer 4 nicht auf.
Ausnahmebescheide: Über einen einfachen oder erweiterten Ausnahmebescheid nach § 37 BSIG entscheidet das Bundesministerium des Innern; beide setzen die dort bezeichneten gleichwertigen Vorgaben voraus. Die Teilbefreiung nach Absatz 2 ist auf die dort genannten Tätigkeiten oder Dienste in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung begrenzt und verlangt anderweitig gewährleistete und beaufsichtigte IT-Sicherheit. Die Absätze 1 bis 3 gelten nicht für Vertrauensdiensteanbieter. Treten nachträglich Tatsachen ein, die der Erteilung entgegengestanden hätten, ist der Bescheid nach Absatz 5 grundsätzlich zu widerrufen. Eine allgemeine Ausnahme für Cloud-Anbieter folgt daraus nicht.
Wie ist der Begriff technisch einzuordnen?
Technische Einordnung: Erwägungsgrund 33 der Richtlinie (EU) 2022/2555 nennt als Rechenressourcen beispielhaft Netze, Server, sonstige Infrastruktur, Betriebssysteme, Software, Speicher, Anwendungen und Dienste. Genannt werden außerdem IaaS, PaaS, SaaS und NaaS sowie private, gemeinschaftliche, öffentliche und hybride Bereitstellungsmodelle. Erwägungsgrund 35 verdeutlicht, dass Rechenzentrumsdienste auch außerhalb einer Cloud erbracht werden können. Diese Erläuterungen ersetzen nicht die Prüfung der Legaldefinition.
Welche Fristen sind für erfasste Anbieter relevant?
Die Legaldefinition selbst enthält keine Frist. Eine besonders wichtige oder wichtige Einrichtung muss sich nach § 33 BSIG spätestens drei Monate nach dem erstmaligen oder erneuten Eintritt dieser Eigenschaft registrieren.
Bei Kenntnis von einem erheblichen Sicherheitsvorfall verlangt § 32 BSIG – frühestens ab Einrichtung des gesetzlichen Meldewegs – eine frühe Erstmeldung unverzüglich, spätestens binnen 24 Stunden, eine weitere Meldung binnen 72 Stunden und grundsätzlich eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Dauert der Vorfall dann noch an, ist zunächst eine Fortschrittsmeldung vorzulegen; die Abschlussmeldung folgt nach der abschließenden Bearbeitung. Einschlägige Ausnahmen nach § 28 sind gesondert zu prüfen.
Welche Pflichten hat die Geschäftsleitung?
Rechtsfolge: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die nach § 30 BSIG erforderlichen Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Nach § 38 BSIG müssen sie außerdem regelmäßig an Schulungen teilnehmen, um die gesetzlich bezeichneten Risiken, Praktiken und Auswirkungen beurteilen zu können. Einen festen Schulungszeitabstand nennt die Vorschrift nicht; einschlägige Ausnahmen nach § 28 bleiben vorbehalten.
Häufige Fehlannahmen
- „Jedes Cloud genannte Produkt ist ein Cloud-Computing-Dienst.“ Falsch: Alle Merkmale des § 2 Nummer 4 BSIG müssen kumulativ erfüllt sein.
- „Jeder Cloud-Dienst macht den Anbieter automatisch zu einer erfassten Einrichtung.“ Falsch: Zusätzlich sind Anlage 1 und die Voraussetzungen des § 28 BSIG maßgeblich.
- „Hosting und Rechenzentrum sind immer Cloud.“ Falsch: Solche Leistungen können außerhalb einer Cloud erbracht werden und müssen anhand der Legaldefinition geprüft werden.
- „Verteilte Standorte sprechen gegen Cloud-Computing.“ Falsch: Die gesetzliche Definition lässt ausdrücklich mehrere Standorte zu.
- „Für Leitungsschulungen gilt ein gesetzlich festgelegter Jahresrhythmus.“ Falsch: § 38 verlangt regelmäßige Teilnahme, nennt aber keinen festen Zeitabstand.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte unterstützen eine belastbare Einordnung und Nachweisführung; sie sind nicht als zusätzliche gesetzliche Pflichten zu verstehen.
- Für jeden Dienst dokumentieren, ob sämtliche Merkmale des § 2 Nummer 4 BSIG erfüllt sind.
- Einrichtungsstatus, Entgeltlichkeit, Größenkriterien, vernachlässigbare Tätigkeiten und mögliche Spezialregeln nach § 28 nachvollziehbar prüfen.
- Bei erfasstem Status Verantwortlichkeiten für Maßnahmen nach § 30, Registrierung und Vorfallmeldungen festlegen und deren Umsetzung überwachen.
- Schulungen der Geschäftsleitung risikogerecht planen und Teilnahme sowie behandelte Inhalte dokumentieren, ohne einen nicht gesetzlich vorgegebenen Turnus zu behaupten.
- Die Einordnung und ihre Nachweise bei Änderungen an Diensten, Unternehmensgröße oder gesetzlichen Voraussetzungen erneut prüfen.
Für die Geschäftsleitung
Entscheidend ist die Trennung von Dienstdefinition und Einrichtungsstatus: Zuerst sind die kumulativen Cloud-Merkmale festzustellen, danach Anlage 1, § 28 und mögliche Spezialregeln. Ist das Unternehmen als besonders wichtige oder wichtige Einrichtung erfasst, sind Governance, Risikomanagement, Registrierung, Meldeprozesse und regelmäßige Leitungsschulungen zu steuern. Als Praxisempfehlung schafft eine dokumentierte Merkmals-, Schwellen- und Ausnahmeprüfung einen belastbaren internen Entscheidungs- und Nachweisstand.
