Nicht der Anbieter ist das Objekt, sondern der Dienst
Der BSI-Baustein OPS.2.2 Cloud-Nutzung verlangt für jeden Cloud-Dienst eine Service-Definition, geklärte Verantwortungsbereiche, einen Nachweis der Informationssicherheit und eine geordnete Beendigung. Ohne ein Verzeichnis der Dienste lässt sich das nicht führen, weil das Bezugsobjekt fehlt. Gefragt ist dabei nicht der Anbieter, sondern der Dienst: Ein Anbieter liefert in der Regel mehrere, etwa Exchange Online, Teams und Entra ID. Das Register ergänzt die vorhandenen Verzeichnisse und ersetzt keines. Was schon im Dienstleister-, Vertrags- oder Auftragsverarbeiter-Verzeichnis gepflegt wird, ist hier ein Verweis.
Jeder Cloud-Dienst ist ein Zielobjekt. Aus der Detailansicht lassen sich die Anforderungen des Bausteins mit einem Klick in den Realisierungsplan übernehmen, wo Umsetzungsstand, Termin und Verantwortliche ohnehin gepflegt werden. Ein zweiter Ort für dieselbe Sache würde auseinanderlaufen.
Ausstiegsregelung, Kündigungsfrist und Portabilität stehen neben dem Feld, wann der Ausstieg zuletzt erprobt wurde. Zwischen einer beschriebenen und einer erprobten Ablösung liegt die Frage, ob der Export vollständig und außerhalb des Dienstes benutzbar ist.
Cloud Security Posture Management findet Fehlkonfigurationen in den Konten. Das Register beantwortet die andere Hälfte: welcher Dienst, mit welchen Daten, in welchem Land, mit welchen Unterauftragnehmern und mit welchem Weg wieder heraus.
Ein Verzeichnis, das OPS.2.2 nicht beschreibt, sondern das Bezugsobjekt liefert, an dem die Anforderungen planbar werden.
Vereinbaren Sie eine unverbindliche Demo – wir zeigen Ihnen das Modul an Ihren eigenen Anwendungsfällen.
