PS-02 Redundanzmodell

Die Bereitstellung des Cloud-Dienstes erfolgt aus mindestens zwei Standorten. Die Standorte entsprechen den Sicherheitsanforderungen des Cloud-Anbieters (vgl. PS-01) und weisen einen hinreichenden Abstand zueinander auf, um Betriebsredundanz und -Resilienz zu erreichen.

Ergänzende Informationen

Eine Betriebsredundanz der Standorte zueinander im Sinne dieses Kriteriums ist gegeben, wenn auf Basis der Bewertung elementarer Gefährdungen am Standort entsprechende Abstände der Räumlichkeiten und Gebäude zu diesen Gefahren eingehalten werden. Sehr großräumige Ereignisse, die aufgrund ihres Ausmaßes gleichzeitig oder zeitnah mehrere Standorte der gleichen Redundanzgruppe betreffen könnten (z. B. Hochwasser, Erdbeben), bleiben dabei unberücksichtigt.

Es gibt Cloud-Anbieter, die das Thema Ausfallsicherheit des Cloud-Dienstes auf physischer Ebene nicht mehr durch Redundanz aus zwei unabhängigen Standorten, sondern durch Resilienz adressieren. Hierbei wird der Cloud-Service simultan aus mehr als zwei Standorten erbracht. Die zugrundeliegende verteilte Rechenzentrums-Architektur stellt sicher, dass der Ausfall eines Standortes oder von Komponenten eines Standortes nicht die definierten Verfügbarkeitskriterien des Cloud-Dienstes verletzt. Eine solche Architektur kann eine alternative Erfüllung (vgl. Kapitel 3.4.12) des Kriteriums darstellen. Die im Kriterium geforderten Tests und Übungen zur Funktionsfähigkeit gelten sinngemäß auch für resiliente Architekturen.

Die Betriebsredundanz ist so ausgelegt, dass die in den Service Level-Vereinbarungen enthaltenen Verfügbarkeitsanforderungen eingehalten werden.

Ergänzende Informationen

Eine Betriebsredundanz der Standorte zueinander im Sinne dieses Kriteriums ist gegeben, wenn auf Basis der Bewertung elementarer Gefährdungen am Standort entsprechende Abstände der Räumlichkeiten und Gebäude zu diesen Gefahren eingehalten werden. Sehr großräumige Ereignisse, die aufgrund ihres Ausmaßes gleichzeitig oder zeitnah mehrere Standorte der gleichen Redundanzgruppe betreffen könnten (z. B. Hochwasser, Erdbeben), bleiben dabei unberücksichtigt.

Es gibt Cloud-Anbieter, die das Thema Ausfallsicherheit des Cloud-Dienstes auf physischer Ebene nicht mehr durch Redundanz aus zwei unabhängigen Standorten, sondern durch Resilienz adressieren. Hierbei wird der Cloud-Service simultan aus mehr als zwei Standorten erbracht. Die zugrundeliegende verteilte Rechenzentrums-Architektur stellt sicher, dass der Ausfall eines Standortes oder von Komponenten eines Standortes nicht die definierten Verfügbarkeitskriterien des Cloud-Dienstes verletzt. Eine solche Architektur kann eine alternative Erfüllung (vgl. Kapitel 3.4.12) des Kriteriums darstellen. Die im Kriterium geforderten Tests und Übungen zur Funktionsfähigkeit gelten sinngemäß auch für resiliente Architekturen.

Die Wirksamkeit der Redundanz wird mindestens jährlich durch geeignete Tests und Übungen überprüft (vgl. BCM-04).

Die Bereitstellung des Cloud-Dienstes erfolgt aus mehr als zwei Standorten. Die Standorte entsprechen den Sicherheitsanforderungen des Cloud-Anbieters (vgl. PS-01) und weisen einen hinreichenden Abstand zueinander auf, um Georedundanz und -Resilienz zu erreichen. Bei einem zeitgleichen Ausfall zweier Standorte steht mindestens ein dritter Standort weiterhin zur Verfügung, um einen Totalausfall zu verhindern.

Ergänzende Informationen

Eine Georedundanz der Standorte zueinander im Sinne dieses Kriteriums ist gegeben, wenn ein sehr großräumiges Ereignis an einem Standort keinesfalls gleichzeitig oder zeitnah mehrere Standorte der gleichen Redundanzgruppe trifft. Die BSI-Publikation 'Kriterien für die Standortwahl von Rechenzentren' gibt hierzu Empfehlungen.

Die Georedundanz ist so ausgelegt, dass die in der Service Level-Vereinbarung enthaltenen Verfügbarkeitsanforderungen eingehalten werden.

Ergänzende Informationen

Eine Georedundanz der Standorte zueinander im Sinne dieses Kriteriums ist gegeben, wenn ein sehr großräumiges Ereignis an einem Standort keinesfalls gleichzeitig oder zeitnah mehrere Standorte der gleichen Redundanzgruppe trifft. Die BSI-Publikation 'Kriterien für die Standortwahl von Rechenzentren' gibt hierzu Empfehlungen.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass das vorliegende Redundanzmodell des Cloud-Anbieters und die Nachweise zur Überprüfung des Modells mit den eigenen Anforderungen zur Verfügbarkeit und Verlässlichkeit des Cloud-Dienstes konform sind.