Die Bundesverwaltung setzt gemäss ihrer Cloud-Strategie weiterhin primär auf eigene Rechenzentren und Leistungen aus bundeseigenen Private Clouds. Ergänzend dazu schafft der Bund mit dem Vorhaben «Public Clouds Bund» die Möglichkeit, bei Bedarf Public-Cloud-Leistungen zu beziehen. In der aktuellen Phase des Vorhabens wird erarbeitet, nach welchen Richtlinien und zu welchen Konditionen die Departemente künftig Dienste von Public-Clouds-Anbietern beziehen können.

Diese Arbeiten beinhalten zwei Schwerpunkte. Zum einen werden Grundlagen erarbeitet, die die Verwaltungseinheiten später beim Bezug von Cloud-Leistungen unterstützen. Dazu gehören auch Vorgaben (sogenannte Governance). Zum anderen werden derzeit Verträge mit den fünf Anbietern ausgearbeitet, die bei der öffentlichen Ausschreibung den Zuschlag erhielten.

Die Arbeiten werden unter der Leitung des Bereichs Digitale Transformation und IKT-Lenkung (DTI) der Bundeskanzlei ausgeführt, in enger Zusammenarbeit mit dem Bundesamt für Bauten und Logistik (BBL) und dem Bundesamt für Informatik und Telekommunikation (BIT). Es handelt sich um komplexe rechtliche, technische und organisatorische Arbeiten. Ein Datum für den Abschluss kann daher nicht genannt werden.

Umgang mit sensiblen Daten

Nach Abschluss der Arbeiten werden Verwaltungseinheiten bei den fünf Public-Cloud-Anbietern Dienste beziehen können. Der Abruf von Leistungen bleibt optional. Die Departemente und die Bundeskanzlei sind zuständig für den Entscheid, ob und welche Leistung sie beziehen. Sie beachten dabei die Governance und die rechtlichen Vorgaben, insbesondere jene zum Datenschutz und zur Informationssicherheit. Diese Vorgaben schränken ein, welche Anwendungen und Daten auf Public Clouds gebracht werden dürfen.

Der Bund beabsichtigt nicht, sensible Daten mit erhöhtem Schutzbedarf in Public Clouds zu verschieben (zum Beispiel Steuerdaten). Anwendungen und Daten mit erhöhtem Schutzbedarf werden auch künftig auf Infrastrukturen in den Rechenzentren der Bundesverwaltung betrieben, respektive gespeichert. Es gibt in der Bundesverwaltung aber auch viele Daten, die öffentlich zugänglich sind und sehr hohe Rechenkapazitäten benötigen. Dazu zählen beispielsweise Kartenmaterial von swisstopo oder Wetterprognosen von MeteoSchweiz.

Umfangreiche Abklärungen in jedem einzelnen Projekt

Bevor Public-Cloud-Dienste bezogen werden, müssen in jedem Fall umfangreiche Abklärungen getroffen werden. Grundlagen, Vorlagen und Hilfsmittel für diese Abklärungen werden zurzeit erarbeitet. Das betrifft zum Beispiel Checklisten für Risikoanalyse und Datenschutzfolgeabschätzung.

Die Rechtskonformität der Auslagerung und Bearbeitung von Daten in einer Public Cloud müssen von den Departementen und der Bundeskanzlei in jedem Vorhaben vor dem Leistungsbezug geprüft und dokumentiert werden. Für alle Anwendungen und Daten muss eine Schutzbedarfsanalyse erstellt werden. Weiter muss gemäss Cloud-Strategie der Bundesverwaltung vor jedem Bezug eine Risikoanalyse durchgeführt werden.

Zugang zu neuen Technologien

Mit dem Vorhaben «Public Clouds Bund» geht es dem Bund weniger um zusätzlichen Datenspeicher als um einen Zugang zu einer hochskalierbaren Infrastruktur und einer breiten Palette neuer Technologien. Die Bundesverwaltung erhält einen geordneten Zugang zu Public-Cloud-Leistungen. Dies entspricht einem steigenden Bedürfnis der Departemente und der Bundeskanzlei. Die Bundesverwaltung muss sich zudem darauf vorbereiten, dass Anbieter ihre Software vermehrt nur noch aus der Cloud anbieten.

Die Bundesverwaltung beschäftigt sich ständig mit der Weiterentwicklung ihrer Cloud-Infrastruktur und Cloud-Angebote. Das Vorhaben «Public Clouds Bund» ist ein Element von mehreren in der Umsetzung der Cloud-Strategie. Die Strategie lässt nebst Public Clouds und bundeseigenen Private Clouds auch weitere Formen zu. Bei entsprechendem Bedarf könnten zum Beispiel ergänzende Leistungen von Anbietern in der Schweiz beschafft werden.

«Public Clouds Bund»: Verträge mit den Anbietern werden ausgearbeitet