Nürnberger Cloud Strategie (NCS)

Nürnberger

Cloud Strategie

(NCS)

Autor: Amt für Informationstechnologie

Version: 1.03

Stand: 12.05.2025

1 Dokumenteninformation ................................................................................................. 4 1.1 Versionshistorie ..................................................................................................... 4 2 Management Summary .................................................................................................. 5 3 Begriffsklärung und Ausgangssituation ........................................................................... 6 3.1 Der Begriff „Cloud Computing“ .............................................................................. 6

3.2 IT im Wandel .......................................................................................................... 6 3.3 Veränderte Rahmenbedingungen .......................................................................... 7 4 Zielsetzungen ................................................................................................................. 9 4.1 Sicherstellung der Handlungsfähigkeit der Stadt Nürnberg .................................... 9 4.1.1 Verfügbarkeit von Fachverfahren und Anwendungen ......................................... 9 4.1.2 Konzentration auf Kernkompetenz ..................................................................... 9 4.1.3 Verfügbarkeit von IT-Fachpersonal .................................................................... 9 4.2 Skalierbarkeit, Flexibilität und Geschwindigkeit für digitale Bürger Services ......... 10 4.3 Förderung von Innovation und Einsatz neuer Technologien ................................. 10 4.4 Steigerung von Effizienz und Wirtschaftlichkeit der Verwaltung ........................... 10 5 Grundsatz Vorrang cloudbasierter Lösungen (#cloudfirst) ............................................ 11 5.1 Private Cloud Services bzw. der Einsatz Cloud nativer Technologie .................... 11 5.2 Community Cloud Services .................................................................................. 11 5.3 Public Cloud Services .......................................................................................... 11 5.4 Entscheidung für Services im klassischen Eigenbetrieb (on-premises) ................ 12 6 Strategische Leitlinien und Standards .......................................................................... 13 6.1 Compliance und Governance ............................................................................... 13 6.1.1 Rechtsnormen .................................................................................................. 13 6.1.2 Beschaffung von Cloud-Diensten ..................................................................... 13 6.1.3 Datensouveränität, Datenschutz & Schlüsselhoheit ......................................... 14 6.1.4 Informationssicherheit ...................................................................................... 14 6.1.5 Nutzungskonzept und administrative Betreuung............................................... 15 6.1.6 Lizenz- bzw. Abonnementmanagement ........................................................... 15 6.1.7 Controlling (FinOps) ......................................................................................... 15 6.1.8 Standardisierung von Anwendungen ................................................................ 16 6.2 Technische Architekturprinzipien ......................................................................... 16 6.3 Wahrung von Interoperabilität und Portabilität ...................................................... 17

6.3.1 Abhängigkeit von Anbietern ............................................................................. 17 6.3.2 Interoperabilität mit Bund und Land .................................................................. 17

1 Dokumenteninformation

Aus Gründen der besseren Lesbarkeit wird auf die gleichzeitige Verwendung der Sprachformen männlich, weiblich und divers (m/w/d) verzichtet. Sämtliche Personenbezeichnungen gelten gleichermaßen für alle Geschlechter.

1.1 Versionshistorie

2 Management Summary

Die Nürnberger Cloud Strategie beschreibt den angestrebten Einsatz von Cloud-Diensten in der Nürnberger Stadtverwaltung. Ausgehend von der aktuellen Situation, werden die mit dem Einsatz von Cloud-Diensten verbundenen Ziele definiert, die Cloud-Diensten den Vorrang geben. Die strategischen Leitlinien und Standards definieren die Rahmenbedingungen, Einschränkungen und Grenzen des Einsatzes von Cloud-Diensten in der Stadt Nürnberg.

Kern der Nürnberger Cloud Strategie ist der Paradigmenwechsel weg von überwiegend im eigenen Rechenzentrum erstellten IT-Leistungen hin zum externen Bezug dieser Leistungen wann immer dies technisch möglich, rechtlich zulässig und wirtschaftlich tragbar ist – dieser Paradigmenwechsel firmiert unter dem Schlagwort #cloudfirst.

Notwendig wird dieser Wechsel, um die zukünftige Handlungsfähigkeit der kommunalen IT und somit auch der Stadt sicherzustellen. Die

• Tendenz vieler Hersteller Fachverfahren zukünftig bevorzugt cloudbasiert anzubieten,

• gestiegenen Anforderungen städtischer Mitarbeiter hinsichtlich flexibler Arbeitsformen

und einer modernen Softwareausstattung,

• Nutzung neuer, teilweise nur cloudbasiert verfügbarer Technologien (z.B. KI),

• sich rasant verändernde IT-Sicherheitslage mit neuen Bedrohungsszenarien,

• abnehmende Verfügbarkeit von eigenem qualifiziertem IT-Fachpersonal und

• die zunehmende Forderung zur bundesweiten Integration digitaler Dienste

bedingen eine zentrale Strategie, die der städtischen IT und den Dienststellen eine Ausgangsbasis für die Entscheidung für oder gegen einen Cloud-Einsatz an die Hand gibt.

3 Begriffsklärung und Ausgangssituation

3.1 Der Begriff „Cloud Computing“ „Cloud Computing“ (kurz „Cloud“) ist einer der am häufigsten gebrauchten und diskutierten Begriffe in der Entwicklung der Informationstechnologie in den letzten zwei Jahrzehnten. Eine allgemeingültige Definition des Begriffs hat sich bisher nicht durchsetzen können, es existiert jedoch eine Definition der US-amerikanischen Standardisierungsstelle NIST1 (National Institute of Standards and Technology), die vom Bundesamt für Informationssicherheit (BSI) modifiziert und übernommen wurde:2

"Cloud Computing bezeichnet das dynamisch an den Bedarf angepasste Anbieten, Nutzen und Abrechnen von IT-Dienstleistungen über ein Netz. Angebot und Nutzung dieser Dienstleistungen erfolgen dabei ausschließlich über definierte technische Schnittstellen und Protokolle. Die Spannbreite der im Rahmen von Cloud Computing angebotenen Dienstleistungen umfasst das komplette Spektrum der Informationstechnik und beinhaltet unter anderem Infrastruktur (z. B. Rechenleistung, Speicherplatz), Plattformen und Software."

NIST und das BSI unterscheiden den Begriff „Cloud“ dabei weiter in die vier verschiedenen Bereitstellungsmodelle „Private Cloud“, „Public Cloud“, „Community Cloud“ und „Hybrid Cloud“. Die Bereitstellungsmodelle („Wo bzw. wer bietet die Cloud-Dienste an?“) werden zusammen mit den unterschiedlichen Servicemodellen („Welche IT-Leistung beinhaltet der Cloud-Dienst?“) im referenzierten Dokument Grundlagen des Cloud Computings (NCS_Anhang_GrundlagenCloudComputing) näher erläutert.

3.2 IT im Wandel Seit Erfindung des Computers unterliegt die IT-Branche einem schnellen und oft auch disruptiven Wandel. Hatten Computer in den Anfangszeiten noch Raumgröße und brauchten viele Stunden für Berechnungen, vermag ein kleines Tablet heute dank Office-Anwendungen, Spracherkennung und künstlicher Intelligenz ein komplettes Büro abzubilden.

Anwendungen und Datenhaltung im eigenen Rechenzentrum („on-premises“) Die IT-Landschaft - insbesondere die von Großstädten wie der Stadt Nürnberg - ist bislang geprägt vom Grundsatz, dass die gesamte Verfahrenslandschaft sich in der Hand der Behörde selbst befindet – vom Server, über die genutzte (Fach-)Anwendung bis hin zur zugehörigen Datenbank. Alle Daten und Anwendungen wurden in behördeneigenen Rechenzentren („onpremises“ Betrieb) bereitgehalten.

1 https://nvlpubs.nist.gov/nistpubs/legacy/sp/nistspecialpublication800-145.pdf

2 https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungennach-Angriffszielen/Cloud-Computing/Grundlagen/grundlagen.html

Cloud-Dienste auf dem Vormarsch In den letzten Jahren findet in vielen Organisationen ein Umdenken statt, das neben den Unternehmen immer mehr auch die Gesellschaft dazu bringt, sich vermehrt digital aufzustellen und digital zu leben. Bedingt durch die Pandemie und die Anpassung von Arbeitsprozessen, stellen auch Behörden ihre bisherige Haltung - also die Nutzung ausschließlich in Eigenregie betriebener IT-Dienste - zunehmend infrage.

Das Bundesamt für Sicherheit in der Informationstechnologie (BSI) selbst bezeichnet Cloud Computing als Rückgrat für die Digitalisierung der öffentlichen Verwaltung, wobei gleichzeitig die Cybersicherheit erhöht und die Resilienz gestärkt werden.3

3.3 Veränderte Rahmenbedingungen Eine zum Teil erhebliche Veränderung der bestehenden Rahmenbedingungen, ist die Ursache für die Diskussion über Cloud-Computing bei öffentlichen Stellen.

Anbieter stellen On-Premises-Lösungen nach und nach ein Viele Softwarehersteller bieten Fachverfahren, aber auch gängige Softwareprodukte zukünftig nur noch in Verbindung mit der Cloud oder gänzlich in der Cloud an, oder schränken die angebotenen Aktualisierungszyklen oder den Funktionsumfang für on-premise-Lösungen ein. Es ist abzusehen, dass sich dieser Trend verstetigt und cloudbasierte Lösungen im nächsten Jahrzehnt das gängige IT-Betriebsmodell sein werden. Viele eigenbetriebene Lösungen werden zukünftig hinsichtlich Aktualität und Leistungsumfang durch Cloud-Dienste technologisch abgehängt.

Veränderte Arbeitswelten Der digitale Wandel und die damit einhergehende vierte industrielle Revolution beeinflusst die aktuellen und zukünftigen Arbeitsformen und Arbeitsbedingungen. Die Schlagworte Individualität, Mobilität und Vernetzung kennzeichnen diese Entwicklung.

Möglich wird dies durch die Nutzung unterschiedlicher Endgeräte vom Laptop bis hin zum Tablet und Smartphone. Diese sind untereinander und mit dem digitalen Arbeitsplatz vernetzt und erlauben unabhängig von Zeit und Ort die Erfüllung der Arbeitsaufgaben. Die Kommunikation mit der Stadtgesellschaft und innerhalb der Stadtverwaltung erfolgt je nach Arbeitsinhalt auf unterschiedlichen Kommunikationswegen.

3 https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungennach-Angriffszielen/Cloud-Computing/Cloud-Strategie/cloud-strategie_node.html

Veränderte Sicherheitslage Zunehmend geraten auch kommunale Einrichtungen ins Visier von hochprofessionell agierenden, kriminellen Akteuren, die die Abhängigkeit von Institutionen und Unternehmen von ihren Daten und einer funktionierenden IT ausnutzen. In den letzten Jahren haben sich illegale Geschäftsmodelle etabliert, wobei durch Verschlüsselung und Veröffentlichung von Datenbeständen versucht wird Lösegeld zu erpressen. Organisationen, die heute noch nicht über ein ausreichendes IT-Sicherheits- und Notfallmanagement verfügen, werden früher oder später die verheerenden Auswirkungen eines solchen Angriffs erfahren.

In Bezug auf das IT-Sicherheitsmanagement können Cloud-Dienstleister oft schneller und flexibler reagieren und vor allem mehr investieren, als dies im Eigenbetrieb möglich ist. Das bedeutet nicht, dass Cloud-Dienste vor Angriffen per se geschützt sind, denn auch Cloud- Anbieter und Cloud-Nutzer befinden sich im Fadenkreuz der Angreifer.

Übergreifende Integration digitaler Dienste Viele digitale Dienste werden zukünftig nicht mehr nur auf kommunaler Ebene betrieben, sondern müssen Schnittstellen zur Landes-, Bundesebene oder sogar europaweit bereitstellen.

Die im Aufbau befindliche europaweit eindeutige Identifikationsnummer für Personen und Unternehmen (eIDAS 2.0) und das Erstellen voll digitaler Bescheide in Zusammenhang mit der Registermodernisierung sind zwei wichtige Treiber dieser Entwicklung.

Aber auch das Once-Only-Prinzip, das es Bürgern und Unternehmen zukünftig ermöglicht ihre Daten und Dokumente nur einmal mitzuteilen und in dessen Rahmen Nachweisdokumente durch Registerabfragen und zwischenbehördliche Datenaustausche ersetzt werden.

Fachkräftemangel im IT-Bereich Die Verfügbarkeit von qualifiziertem IT-Fachpersonal am Personalmarkt hat in den letzten Jahren nicht mit dem tatsächlichen Bedarf gleichgezogen. Dies hat zu einem Gehaltsniveau geführt, das oftmals nicht mehr durch das derzeitige Besoldungsmodell des öffentlichen Dienstes abgedeckt werden kann.

4 Zielsetzungen

Durch den Einsatz von Cloud-Diensten werden die Ziele Sicherstellung der Handlungsfähigkeit der Stadt Nürnberg, die Verbesserung der digitalen Bürgerservices aber auch die Förderung neuer Entwicklungen verfolgt. Diese positiven Aspekte und der Nutzen der Technologie werden durch die Rahmenbedingungen und Leitlinien ergänzt, die in Kapitel 6 den verantwortungsvollen Einsatz und die Grenzen definieren

4.1 Sicherstellung der Handlungsfähigkeit der Stadt Nürnberg 4.1.1 Verfügbarkeit von Fachverfahren und Anwendungen

Zur Erstellung nahezu aller Dienstleistungen in der Stadt Nürnberg werden Standardanwendungen bzw. Fachverfahren (IT-Anwendungssysteme) eingesetzt. Viele dieser Softwareprodukte werden derzeit noch durch die städtische IT selbst betrieben, mittlerweile bieten viele Softwarehersteller Fachverfahren zunehmend nur noch in Verbindung mit der Cloud oder gänzlich als Cloudprodukte an.

Es ist entscheidend für die Handlungsfähigkeit der Stadt Nürnberg, dass sie die notwendigen Funktionen der eingesetzten Softwareprodukte unabhängig vom Betriebsmodell weiterhin nutzen kann, auch wenn diese zukünftig nur noch cloudbasiert verfügbar sein sollten.

4.1.2 Konzentration auf Kernkompetenz

Im Spannungsfeld zwischen schneller technologischer IT-Entwicklung, einem angespannten IT-Personalmarkt und steigenden Investitions- und Betriebskosten reduzieren viele Organisationen die eigene IT-Fertigungstiefe. Eigenes IT-Knowhow und -Kapazitäten in der benötigten Breite und Tiefe vorzuhalten, ist in vielen Fällen wirtschaftlich nicht mehr umzusetzen.

Standardisierte IT-Basisleistungen (sogenannte „IT-Commodities“), wie beispielsweise E-Mailoder Dateiserver, werden zunehmend nicht mehr selbst erstellt, Infrastrukturkomponenten werden virtualisiert und softwarebasiert zugekauft oder ganze Applikationen in Form reiner Softwarezugänge bezogen und oftmals nutzungsorientiert („pay per use“) abgerechnet.

Diese Entwicklung betrifft auch die öffentlichen Arbeitgeber, sie bietet jedoch gleichzeitig Chancen, sich auf die Kernkompetenz der Verwaltungsdigitalisierung zu konzentrieren. Der Einsatz von Cloud-Lösungen bietet die Möglichkeit, das verfügbare eigene IT-Fachpersonal von Routineaufgaben (beispielsweise das Update- und Versionsmanagement) zu befreien und gezielter mit Aufgaben im Rahmen der Verwaltungsdigitalisierung zu betrauen.

4.1.3 Verfügbarkeit von IT-Fachpersonal

In vielen Fällen können offene IT-Stellen in der Verwaltung nicht besetzt und der Personalbedarf für die eigenbetriebene IT nur unzureichend gedeckt werden. Der Einsatz von Cloud-Lösungen bietet die Möglichkeit, fertige IT-Lösungen einzukaufen bzw. zu mieten, ohne dafür das IT-Fachpersonal in vollem Umfang vorhalten zu müssen.

4.2 Skalierbarkeit, Flexibilität und Geschwindigkeit für digitale Bürger Services Regulative Vorgaben und Veränderungen von Seiten des Gesetzgebers oder anderer übergeordneter Stellen, die in immer kürzeren Zeiträumen umzusetzen sind, aber auch die steigenden Erwartungen der Bürger und Bürgerinnen an die Verfügbarkeit neuer digitaler Services bedingen zunehmend ein schnelles und flexibles Reagieren der Stadtverwaltung.

Das Cloud-Betriebsmodell erlaubt schnellen und bedarfsgerechten Abruf und Nutzung benötigter IT-Ressourcen (Skalierbarkeit) um den wachsenden Anforderungen gerecht zu werden. Dadurch können neue digitale Bürger Services in kürzeren Zeiträumen zur Verfügung gestellt werden und es kann flexibler auch auf kurzfristige oder befristete Herausforderungen (z.B. Katastrophenfälle) reagiert werden.

Die „time to market“ für neue kommunale Dienstleistungen der Verwaltung sinkt damit deutlich.

4.3 Förderung von Innovation und Einsatz neuer Technologien Der Einsatz innovativer IT-Technologie setzt in den meisten Fällen hohe Rechenkapazitäten und schnelle Updatezyklen voraus. Die damit verbundenen hohen Investitionen können in der Regel nur von großen IT-Dienstleistern in deren Rechenzentren erbracht werden. Daher werden moderne Technologien wie künstliche Intelligenz (KI) fast ausschließlich als Cloud integrierte Dienstleistungen angeboten.

Um mit diesen Entwicklungen Schritt halten zu können und Nutzen aus ihnen zu ziehen, ist es für die Verwaltung der Stadt Nürnberg unumgänglich Cloud-Dienste in Anspruch nehmen zu können.

4.4 Steigerung von Effizienz und Wirtschaftlichkeit der Verwaltung Im selben Maße wie die Erstellung digitaler Bürgerservices wird die Effizienz und Wirtschaftlichkeit der Verwaltung durch Cloud-Dienste verbessert. Die schnelle und bedarfsgerechte Bereitstellung von IT-Ressourcen ermöglicht eine optimierte Nutzung und die Vermeidung von Überkapazitäten. Dadurch lassen sich Kosten in eigene IT-Komponenten einsparen und knapp bemessenes IT-Personal gezielter einsetzen.

Der Einsatz cloudbasierter Dienste zur Prozessunterstützung und Automatisierung von Verwaltungsabläufen ermöglicht es, wiederkehrende Aufgaben zu beschleunigen und damit die Mitarbeiter in der Verwaltung zu entlasten und die Produktivität zu erhöhen. Bisher manuell auszuführende Tätigkeiten, wie beispielsweise die Vollständigkeitsprüfungen oder KI-basierte Texterkennungen von Dokumenten können zuverlässig durch Cloud-Dienste abgebildet werden.

Durch Einsatz von Cloud-Diensten steigt die Fähigkeit der Verwaltung veränderte Rahmenbedingungen und Arbeitslasten zeitnah zu adaptieren. Die mobile Verfügbarkeit der Dienste und den Zugriff von Überall wird die Zusammenarbeit und damit die Reaktionsfähigkeit in der Verwaltung verbessern.

5 Grundsatz Vorrang cloudbasierter Lösungen (#cloudfirst)

5.1 Private Cloud Services bzw. der Einsatz Cloud nativer Technologie Mittel- bis langfristig wird die Fertigungstiefe der IT in der Stadt Nürnberg zurückgehen. Um dieser Entwicklung Rechnung zu tragen, ist es sinnvoll den Einsatz nativer Cloudtechnologie und damit einer Private Cloud im städtischen Rechenzentrum voranzutreiben und somit die kommunale IT cloud-freundlich zu gestalten.

Der Einsatz Cloud nativer Technologie im eigenen Rechenzentrum (d.h. Einsatz von Infrastruktur-Lösungen, die speziell für den Einsatz in Cloud-Umgebungen konzipiert sind) ist für die Stadt Nürnberg der erste Schritt in Richtung einer Öffnung zu einer hybriden Cloud und sichert die langfristig Zukunftsfähigkeit der kommunalen IT. Daher sind im Rahmen von infrastrukturellen Neuanschaffungen in der IT der Stadt Nürnberg Cloud native Technologien zu bevorzugen.

5.2 Community Cloud Services Eine Community Cloud wird von mehreren Institutionen mit ähnlichen Interessen geteilt und von einer dieser Institutionen oder einem Dritten betrieben. Die Bundescloud4 für die Bundesverwaltung oder die DeLOS Cloud5 für den öffentlichen Dienst sind Beispiele für Community Clouds im Bereich der staatlichen und kommunalen Verwaltung.

Die Stadtverwaltung Nürnberg beobachtet den Markt der Community Cloud Services und bezieht die Lösungen in ihre Überlegungen mit ein.

5.3 Public Cloud Services Public Cloud Services bezeichnen die Nutzung von allgemein zugänglichen, internetbasierten IT-Diensten mit verbrauchsabhängiger oder benutzerbezogener Abrechnung der in Anspruch genommenen Ressourcen.

Den offensichtlichsten Nutzen sowohl für Kunden als auch für Betreiber bieten „Software-asa-Service“-Lösungen. Betreiber können sich auf die Produkte fokussieren und die fachliche Expertise mit der technischen Betreuung für viele Kunden an einer Stelle bündeln. Und die Kunden können sich auf einen professionellen Betrieb einer stets aktuellen Version stützen, ohne selbst die erforderlichen Kenntnisse und Kapazitäten für einen sicheren und performanten Betrieb vorhalten zu müssen.

Der Einsatz einer SaaS-Lösung ist in vielen Fällen wirtschaftlicher als der Betrieb in Eigenregie („on-premises“). Ein belastbarer Vergleich zu einem möglichen Betrieb in Eigenregie muss dabei nicht nur die Kosten, sondern auch die Verfügbarkeit der benötigten Personalkapazität, die erforderlichen Qualifizierungsmaßnahmen einschließlich der notwendigen Betriebsredundanz berücksichtigen.

4 https://www.itzbund.de/DE/itloesungen/egovernment/bundescloud/bundescloud.html 5 https://www.deloscloud.de/index.html

Im Rahmen der Softwarebeschaffung ist die Nutzung von Cloud-Diensten in Form von Software as a Service (SaaS) das strategische Ziel der Stadt Nürnberg. Die Sourcing Entscheidung für neu anzuschaffende oder zu ersetzende Applikationen in der Stadtverwaltung legt schon seit einiger Zeit eine klare Priorität auf „buy/rent“ und nicht „make“. In der Umsetzung bedeutet dies, dass im Rahmen der Beschaffung im ersten Schritt die Verfügbarkeit cloudbasierter Applikationen geprüft wird und den Vorzug gegenüber eigenbetriebenen Lösungen erhält.

Im Rahmen des Einsatzes von Public Cloud-Diensten wird an dieser Stelle bereits explizit auf die Leitlinie der eigenen Schlüsselhoheit in Kapitel 6 („bring/hold your own key“) als Voraussetzung für den Einsatz von Public Cloud-Diensten referenziert.

5.4 Entscheidung für Services im klassischen Eigenbetrieb (on-premises) Die Beschaffung neuer IT-Dienste mit klassischem, nicht cloud nativem Betrieb im eigenen Rechenzentrum erfolgt nur dann, wenn diese Dienste klassisch on-premises betrieben werden müssen. Gründe hierfür können sein:

• Die Verarbeitung von Daten mit hoher, für die Cloud nach Einzelfallprüfung nicht

zulässiger Schutzbedarfsklasse, oder wenn zwingende gesetzliche oder innerstädtische Vorgaben den Betrieb on-premises vorgeben.

• Die Existenz eines kritischen Alleinstellungsmerkmals oder Mehrwertes, der nur beim

Betrieb on-premises genutzt werden kann.

• Das Vorliegen eines Kosten-Nutzenverhältnisses zwischen Cloud und on-premises

Betrieb das den Cloud Betrieb unwirtschaftlich unter Einbezug einer Vollkosten- Rechnung (TCO) erscheinen lässt.

• Die fehlende technische Verfügbarkeit einer cloudbasierten Lösung für die spezifischen

Anforderungen der Stadt Nürnberg

• Voraussetzung für den on-premises Betrieb ist die Verfügbarkeit des erforderlichen

Personals

• Strategische Leitlinien und Standards

6 Strategische Leitlinien und Standards

Voraussetzung für den Einsatz von Cloud Services in der Stadt Nürnberg ist die Einhaltung der in diesem Kapitel formulierten strategischen Leitlinien und Standards. Besonders hervorzuheben ist dabei die Einstufung der betroffenen Daten hinsichtlich ihrer Schutzwürdigkeit (Schutzbedarfsklasse) und der daraus abgeleiteten notwendigen Maßnahmen/Anforderungen an Cloud-Dienste.

6.1 Compliance und Governance 6.1.1 Rechtsnormen

Verschiedene fachgesetzliche Regelungen lassen ggf. den Einsatz externer Dienstleister – darunter fallen auch die Anbieter von Cloud-Diensten – nicht oder nur unter bestimmten Voraussetzungen zu. Beispielshaft genannt seien hier die Sozialgesetze, die eine Auslagerung der Datenverarbeitung von Sozialbehörden an externe Dienstleister nur in begrenztem Maße und unter Einhaltung bestimmter Voraussetzungen (z. B. erhebliche Kostenersparnis im Vergleich zum Betrieb im eigenen Rechenzentrum oder Ausschluss von Dienstleistern außerhalb der EU bzw. des EWR) zulassen. Ähnliches gilt in Bezug auf Berufsgeheimnisträger wie beispielsweise Ärzte. Auch diese dürfen externe Dienstleister nur in engen Grenzen einsetzen.

LEITLINIE: Die Nutzung von Cloud-Diensten bei der Stadt Nürnberg unterliegt den einschlägigen Rechtsnormen und erfolgt ausschließlich im Einklang und unter Einhaltung dieser Vorschriften. Der fachliche Bedarfsträger ist für die Prüfung der einschlägigen Normen beim Einsatz von Cloud-Diensten verantwortlich.

6.1.2 Beschaffung von Cloud-Diensten

Bei der Beschaffung von Cloud-Diensten ist sicherzustellen, dass diese den grundlegenden Anforderungen der städtischen IT genügen und sich in die bestehende IT Architektur integrieren. Daher ist die Zustimmung des Amtes für Informationstechnik vor der Beschaffung von Cloud-Diensten verpflichtend.

Weiterhin unterliegt Beschaffung von Cloud-Dienstleistungen dem Vergaberecht und den internen Vergabe-Regelungen der Stadt Nürnberg. Als öffentlicher Auftraggeber ist die Stadt Nürnberg verpflichtet, Leistungen, die sie von externen Anbietern zukaufen möchte (z. B. Cloud-Dienste) und die einen bestimmten Schwellenwert übersteigen, deutschland- oder sogar europaweit auszuschreiben.

LEITLINIE: Vor dem Bezug von Cloud-Diensten ist die Zustimmung des Amtes für Informationstechnologie, sowie die Einhaltung der vergaberechtlichen Vorgaben und Normen sicherzustellen.

6.1.3 Datensouveränität, Datenschutz & Schlüsselhoheit

Die Datensouveränität ist ein wichtiger Bestandteil der Digitalen Souveränität. Sie erlaubt die vollständig selbstbestimmte Kontrolle über Erhebung, Speicherung, Nutzung und Verarbeitung der eigenen Daten. Die DSGVO setzt der Auslagerung der Datenverarbeitung Grenzen. Der Einsatz von Cloud-Dienstleistern außerhalb der EU bzw. des EWR ist nur dann zulässig, wenn durch geeignete Maßnahmen sichergestellt werden kann, dass die Daten beim Dienstleister in gleichem Maße geschützt sind wie bei einer Datenverarbeitung unter Geltung der EU- Datenschutz-Grundverordnung (DSGVO). Hierfür sind u. U. zusätzliche Sicherheitsmaßnahmen und/oder Garantien erforderlich.

Die eigene Schlüsselhoheit der Stadt Nürnberg beim Einsatz von Cloud-Diensten („bring/hold your own key“) ist in Abhängigkeit des Schutzbedarfes der Daten und der genauen technischen Ausgestaltung des Cloud-Dienstes ggf. erforderlich, da diese den exklusiven Zugang der Stadt zu Ihren Daten sicherstellt. Als Leitsatz gilt: „Es kommt nicht darauf an, wo die Daten liegen, sondern, dass bzw. wie sie vor unberechtigtem Zugriff gesichert sind.“

LEITLINIE: Der Einsatz von Cloud-Diensten in der Stadt Nürnberg erfolgt unter Wahrung der Datensouveränität der Stadt Nürnberg und erfolgt im Einklang mit der Datenschutzgrundverordnung (DSGVO). Eine Schlüsselhoheit der Stadt Nürnberg ist in Abhängigkeit von der Vertraulichkeit der Daten sicherzustellen, soweit dies technisch und wirtschaftlich vertretbar ist.

Daher ist der behördliche Datenschutz möglichst frühzeitig in die Planung des Einsatzes und die Beschaffung externer Cloud-Dienste mit einzubeziehen.

6.1.4 Informationssicherheit

Beim Einsatz von Cloud-Diensten spielen die Grundlagen der Vertraulichkeit, Integrität, Verfügbarkeit der betroffenen Daten eine wichtige Rolle.

Die Vertraulichkeit der Daten sichert, dass Informationen nur für berechtigte Personen zugänglich sind, während durch die Integrität der Daten gewährleistet wird, dass die Daten nicht durch Dritte verändert oder manipuliert werden können. Die Verfügbarkeit der Daten bedingt, dass Informationen zu jeder Zeit zugreifbar sind und bei Problemen wiederhergestellt werden können.

Das BSI beschreibt in seiner Cloud-Strategie6 die sichere Cloud-Nutzung für die Cybernation Deutschland. Darüber hinaus veröffentlich die Cloud Security Alliance7 (CSA) als gemeinnützige Organisation Publikationen und Empfehlungen die eine Reihe von Prozessen und Modellen für den sicheren Einsatz von Cloud-Diensten beinhalten.

6 https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungennach-Angriffszielen/Cloud-Computing/Cloud-Strategie/cloud-strategie_node.html

7 https://cloudsecurityalliance.org/artifacts/security-guidance-v4

LEITLINIE: Beim Einsatz von Cloud-Diensten sind die Grundsätze der Vertraulichkeit, Integrität, Verfügbarkeit der Daten sicherzustellen. Eine explizite Prüfung der einschlägigen Normen ist vorzunehmen und die Empfehlungen der Cloud-Strategie des BSIs und der Cloud Security Alliance sind zu beachten.

Aus diesem Grund ist die Informationssicherheit möglichst frühzeitig in die Planung des Einsatzes und die Beschaffung externer Cloud-Dienste mit einzubeziehen.

6.1.5 Nutzungskonzept und administrative Betreuung

Cloud-Dienste müssen konfiguriert und administriert werden und erfordern spezifische IT- Kenntnisse und Fähigkeiten in Bezug auf die Integration in die kommunale IT-Landschaft und die Nutzung der Lösung. Ein Nutzungskonzept regelt alle für den reibungslosen und sicheren Betrieb notwendigen Prozesse und Zuständigkeiten.

LEITLINIE: Beim Einsatz von Cloud-Diensten ist sicherzustellen, dass ein Nutzungskonzept vorliegt und eine ausreichend geschulte administrative Betreuung des Dienstes verfügbar ist. Das Nutzungskonzept regelt klar die Verantwortlichkeiten für den Betrieb des Cloud-Dienstes.

Im diesem Sinne ist die frühzeitige Einbindung der IT bei Beschaffung und Bezug von Cloud- Dienstleistungen durch die Dienststellen zu gewährleisten. Dies gilt auch für niederschwellig zu beschaffende Software-as-a-Service Cloud-Dienstleistungen.

6.1.6 Lizenz- bzw. Abonnementmanagement

Cloud-Dienstleistungen werden in der Regel in Form von Abonnements pro Zeiteinheit („subscriptions“) bezogen oder nach tatsächlicher Nutzung („pay-per-use“) abgerechnet. Sie unterliegen damit einem aktiven Abonnementmanagement, das die Anzahl, tatsächliche Nutzung, Erweiterung oder Kündigung steuert und die Grundlage für das Controlling der Cloud-Dienstleistungen liefert.

LEITLINIE: Es ist ein aktives Abonnementmanagement für die Cloud-Dienstleistungen während der Nutzungsdauer sicherzustellen. Wird dies nicht durch die IT erbracht, ist es durch die beschaffende Dienststelle zu gewährleisten.

6.1.7 Controlling (FinOps)

Die nutzungsbasierte Abrechnung von Cloud-Diensten ermöglicht auf der eine Seite eine verursachungsgerechte und transparente Kostendarstellung. Auf der anderen Seite erfordern sie ein aktives Monitoring der laufenden Kosten, um am Ende der Abrechnungsperiode keine „bösen Überraschungen“ zu erleben. Gerade die nutzungsbasierte Abrechnung kann z.B. durch eine fehlerhafte Konfiguration oder Einsatz zu hohen Kosten führen. Das FinOps Framework8 ist ein organisatorisches Rahmenkonzept, das ein optimales Kosten-Nutzen- Verhältnis von Cloud-Diensten sicherstellt.

8 https://www.finops.org/introduction/what-is-finops/

LEITLINIE: Es ist ein angemessenes, aktives Controlling für die Cloud-Dienstleistungen (FinOps) während der Nutzungsdauer sicherzustellen. Wird dies nicht durch die IT erbracht, ist es durch die beschaffende Dienststelle zu gewährleisten.

6.1.8 Standardisierung von Anwendungen

Der Einsatz von Cloud Anwendungen erzeugt, ebenso wie lokale Anwendungen, interne Aufwände für Integration, Administration und Management - auch wenn die Gesamtaufwände im Vergleich zu lokal betriebenen Anwendungen in der Regel niedriger sind. Daher ist vor der Beschaffung von Cloud Anwendungen zu prüfen, ob im städtischen Kontext bereits Anwendungen im Einsatz sind, die die gleiche oder ähnliche Funktionalität anbieten. In diesem Fall sind diese bereits existierenden Anwendungen zu verwenden. Eine Beschaffung von Cloud Anwendungen mit gleicher oder ähnlicher Funktionalität muss begründet werden.

LEITLINIE: Der Einsatz von Cloud Anwendungen, die übergreifend in der Stadt verwendet werden, ist gegenüber einer Beschaffung von funktional ähnlichen oder doppelten Cloud Anwendungen für einzelne Dienststellen zu bevorzugen.

6.2 Technische Architekturprinzipien Die Einhaltung der technischen Architekturprinzipien ermöglicht einen ressourcenschonenden Einsatz von Cloud-Diensten und stellt die reibungslose Integration in die städtische IT sicher. Die Nutzung von Cloud-Diensten entbindet nicht von der Beachtung der technischen Architekturprinzipien wie beispielsweise

• Integration in die zentrale Identitäts- und Berechtigungsverwaltung

• Integration in zentrale Monitoring-& Servicemanagementsysteme (Observability)

• Dokumentation von Schnittstellen & Integrationsmöglichkeiten

• Verfügbarkeit von Backup- und Restore

• Verfügbarkeit von Datenverschlüsselung und Schlüsselverwaltung

Durch die kontinuierliche Weiterentwicklung der Technologie ändern sich die technischen Architekturprinzipien im Zeitverlauf. Die maßgeblichen technischen Architekturprinzipien werden vom Amt für Informationstechnik vorgegeben. Die aktuellen technischen Architekturprinzipien befinden sich im referenzierten Dokument technische Architekturprinzipien (NCS_Anhang_TechnischeArchitekturprinzipien).

LEITLINIE: Beim Einsatz von Cloud-Diensten sind die jeweils aktuell gültigen technischen Architekturprinzipen einzuhalten. Das Amt für Informationstechnologie der Stadt Nürnberg überprüft deren Einhaltung und ist für die Genehmigung notwendiger Ausnahmen zuständig.

6.3 Wahrung von Interoperabilität und Portabilität 6.3.1 Abhängigkeit von Anbietern

Beim Wechsel eines Cloud-Anbieters stellt sich die Frage, wie die Bestandsdaten vom bisherigen auf den neuen Anbieter übertragen werden können. Der bisherige Anbieter muss hierbei mitwirken, obwohl er in der Regel kein Interesse an einem Datentransfer und den damit verbundenen Aufwänden hat. Dadurch wird eine Hürde vor dem Wechsel des Anbieters erzeugt, die als „Vendor-Lock-In“ bezeichnet wird.

Dem begegnet eine „Exit-Strategie“, die die technischen, organisatorischen und wirtschaftlichen Maßnahmen zum Wechsel eines Cloud-Anbieters beziffert.

LEITLINIE: Soweit es technisch, organisatorisch und wirtschaftlich möglich ist, ist eine „Exit- Strategie“ bei der Beauftragung neuer Cloud-Dienstleistungen zu erstellen bzw. die damit verbundenen Aufwände sind zu bewerten.

6.3.2 Interoperabilität mit Bund und Land

Die Interoperabilität zwischen Bund, Ländern und Kommunen ist einer der Eckpfeiler für die Digitalisierung von Prozessen der öffentlichen Verwaltung. Die Deutsche Verwaltungs-Cloud Strategie des Bundes verfolgt gemeinsame Standards und offene Schnittstellen für Cloud- Lösungen, um eine föderale Cloud-Infrastruktur zu etablieren und Cloud-Anwendungen effizient zu nutzen.

LEITLINIE: Die Integration in Cloud-Lösungen auf kommunaler, Landes- und Bundesebene ist anzustreben. Bei der Beschaffung von Cloud Lösungen durch die Stadt Nürnberg sind diejenigen Lösungen zu bevorzugen, die Schnittstellen zu bestehenden oder zukünftigen Cloud-Lösungen auf kommunaler, Landes- und Bundesebene anbieten.