Bank-Clouds: Einheitliche Tests für Zuverlässigkeit und Sicherheit

Die wichtigsten Vorgaben

Zu den Pflichtkriterien zählt der Betrieb in einem Rechenzentrum der Stufe Tier III oder höher nach der Klassifizierung des Uptime Institute. Dort lässt sich die Technik planmäßig warten, ohne den Betrieb zu stoppen. Das System zur Verwaltung der Cloud-Ressourcen muss mindestens 99,95 Prozent der Zeit verfügbar sein. Verpflichtend ist zudem die Prüfung von Backup und Wiederherstellung virtueller Maschinen.

Geprüft wird außerdem, ob die Plattform über eine attestierte Umgebung nach FSTEK-Erlass Nr. 239 verfügt, der die Sicherheit bedeutender Objekte kritischer Informationsinfrastruktur regelt. Öffentliche Tests sind für das vierte Quartal 2026 geplant.

Zwei unabhängige Rechenzentren sollen dagegen nur ein optionales Kriterium sein. Der Test des Cloud-Betriebs bei vollständigem Ausfall eines Standorts bleibt eine Empfehlung.

Stimmen aus der Branche

Nikolaj Kozak, stellvertretender Vorstandsvorsitzender der Dom.RF Bank, verweist darauf, dass für kritische Bankensysteme bereits eigene Anforderungen gelten. Der Totalausfall eines von zwei Standorten sei ein Katastrophenszenario, und Banken planten keine vollständige Verlagerung in die Cloud, sondern nur weniger kritische Dienste.

K2-Direktor Sergej Zinkewitsch sagt, einheitliche Kriterien würden erstmals vorgeschlagen. Üblicherweise erhalte der Anbieter bei Audits konkrete Beanstandungen und Gelegenheit zur Behebung; Details hänge von der Arbeitsgruppe ab.

Ilja Wassiltschenko von Turbo Cloud sieht in der Stromversorgung ein mögliches Problem für schlecht geschützte Standorte. Die Tests sollten zeigen, ob eine Plattform bei simulierten Ausfällen, etwa einer Stromzuführung, verfügbar bleibt. Ein Mitarbeiter eines Cloud-Anbieters hält die Vorgaben für erfüllbar, da Rechenzentren mehrere Stromleitungen, USV-Anlagen und Dieselgeneratoren einplanen.