225
}
Daher wird die Anwendung von Zertifizierungen durch anerkannte
Prüfstellen eine immer wichtiger werdende Funktion für den Nachweis von
Kontrollpflichten sein.
6.3
Auditierung von IT-Outsourcing und Cloud-Service-Anbietern
6.3.1
Generelle Compliance-Anforderungen
Unter dem Begriff Compliance verstehen wir die Einhaltung von Gesetzen
und Richtlinien des Unternehmens für eine ordnungsgemäße
Betriebsführung. Für den Bereich Cloud-Computing erreicht man die
Prüfbarkeit der Compliance-Anforderungen nur durch eine ausreichende
Transparenz der externen Serviceerbringung: die konkrete Bestimmung der
Datenorte, der Leistungserbringer und ihrer Funktionen sowie die
vertragliche Prüfung aller notwendigen Leistungsgarantien. Hinzu kommt
die Anzeigepflicht eventueller Änderungen in der Leistungserbringung, die
dann auch zu einem außerordentlichen Kündigungsrecht führen muss und
bei der im Vorfeld auch eine ordnungsgemäße Rückführung der Daten an
den Anwender vorgesehen wird.
6.3.2
Funktionsbereiche der Auditierungen
Es gibt schon eine Reihe von Auditierungsschemen für IT-Outsourcing, die
sich allerdings sehr auf die Themen Sicherheit und korrekte
Transaktionsdurchführung beziehen. Für den komplexen Bereich des Cloud-
Computing müssen aber alle kritischen Bereiche im Sinne der Compliance-
Anforderungen geprüft werden. Hierzu gehören demnach:
IT-Sicherheit
Datensicherheit
Prozesse
Vertrag und Recht
Servicequalität
Datenrückführung
Die Prüfung darf sich auch nicht monolithisch in diesen Bereichen bewegen,
sondern muss auch die Zusammenhänge untersuchen. So ist zum Beispiel
die Zusage einer Verfügbarkeit von 99,9 % einer SaaS-Anwendung nicht viel
