Hannemann/Biewer/Kocatepe/Zaruk/Weigl, MaRisk AT 9 Ausla ... / 2.9.1 Auslagerungen an Cloud-Anbieter

Rz. 159

Gemäß Tz. 9.1 BAIT müssen auch Cloud-Dienstleistungen die Anforderungen nach AT 9 erfüllen. "Cloud-Dienstleistungen" sind demnach Auslagerungen von IT-Dienstleistungen, die dem Institut durch ein Dienstleistungsunternehmen über ein Netz bereitgestellt werden (z. B. Rechenleistung, Speicherplatz, Plattformen oder Software) und deren Angebot, Nutzung und Abrechnung dynamisch und an den Bedarf angepasst über definierte technische Schnittstellen sowie Protokolle erfolgen. Die Aufsichtsmitteilung der deutschen Aufsicht zu Auslagerungen an Cloud-Anbieter vom Februar 2024 konkretisiert diese Definition.^[1] Cloud-Dienste sind demnach "Dienste, die mithilfe von Cloud-Computing erbracht werden, d. h. ein Modell, das ortsunabhängigen, komfor­tablen und bedarfsgesteuerten Netzwerkzugriff auf einen gemeinsamen Pool konfigurierbarer Rechenressourcen ermöglicht (wie Netzwerke, Server, Speicher, Anwendungen und Services) und sich schnell sowie mit minimalem Verwaltungsaufwand oder geringer Interaktion des Dienstleisters bereitstellen lässt."^[2] Die deutsche Aufsicht übernimmt damit die Definition der EBA.^[3]

Rz. 160

Das erstmals 2018 mit dem Titel "Orientierungshilfe zu Auslagerungen an Cloud-Anbieter"^[4] veröffentlichte Merkblatt der Aufsicht wurde 2024 als "Aufsichtsmitteilung zu Auslagerungen an Cloud-Anbieter" aktualisiert und richtet sich nicht nur an Banken, sondern an sämtliche im Finanzsektor beaufsichtigte Unternehmen, so dass die Ausführungen und die verwendeten Begriffe im Kontext der jeweils geltenden aufsichtsrechtlichen Anforderungen zu lesen sind. Mit der Aufsichtsmitteilung möchte die deutsche Aufsicht bei den beaufsichtigten Unternehmen ein Problembewusstsein im Umgang mit Cloud-Diensten und den damit verbundenen aufsichtsrechtlichen Anforderungen schaffen. Die ...