Neues Rechenzentrumspapier des BSI

08.02.2019

Nur als kurze Meldung im Sicherheits-Berater 1/2-2019 erschien der Hinweis auf eine frische Veröffentlichung des BSI zu "Kriterien für die Standortwahl höchstverfügbarer und georedundanter Rechenzentren". Da Veröffentlichungen des BSI gelegentlich schon eine Auslegung erfahren haben, die weit über das Anliegen der Verfasser hinausging, möchte der Sicherheits-Berater helfen, Ziel und Zweck dieser Kriterien für die Standortwahl zu erfassen.

Zunächst einmal sollte abgeschätzt werden, an wen sich die Veröffentlichung richtet. Auch wenn das nirgends explizit geschrieben wurde, ist die Annahme gestattet, das hier vor allem solche Rechenzentren betrachtet werden, die für die nationale Sicherheit von Bedeutung sind. Wenn IT-Dienste von nationaler Bedeutung, also wahrlich kritische Infrastrukturen, aufgebaut oder betrieben werden, die z. B. auch nach einer großen Naturkatastrophe noch zur Verfügung stehen müssen, dann müssen diese Dienste georedundant stationiert werden. Wenn der Rheinpegel in Köln bei 15 Metern liegt und ein RZ eines solchen Verbundes untergeht, dann sollten dazu redundante RZ dazu nicht irgendwo anders am Rhein, sondern in Hunderten Kilometer Entfernung im Trockenen stehen.

Bei der Gelegenheit: Es steht an keiner Stelle des BSI-Papiers das Wort KRITIS. Dieses Papier ist keine Vorgabe für alle KRITIS-Unternehmen, sondern richtet sich an alle Unternehmen – KRITIS oder nicht – die sich Gedanken um RZ-Georedundanz machen. Das Werk wurde vom BSI veröffentlicht, um jedem Interessenten bei Bedarf Hilfestellung zu geben.

Bevor aber nun irgendjemand antritt mit der Behauptung, dass das BSI in diesem Papier irgendetwas im Detail fordert, sollte man zwei entscheidende Sätze daraus wirken lassen:

  1. In Kap 1.3. findet sich eine "Öffnungsklausel":

    "Die in diesem Dokument genannten Maßnahmen und Anforderungen sind in der Regel wie beschrieben umzusetzen. Es besteht ausschließlich dann die Möglichkeit davon abzuweichen, wenn unabweisbare Gründe das erfordern und zugleich ergänzende Maßnahmen ergriffen werden."
  2. In Kap 2.1 steht:

    "Eine aktive Einflussnahme auf die Mindestabstände ist nur bei Neuansiedlung eines RZ möglich."

Satz 1 bedeutet, das risikominimierende Maßnahmen selbstverständlich die Nichterfüllung von Kriterien kompensieren können.

Satz 2 sagt, dass niemand sein RZ aufgeben muss, weil es seit 30 Jahren viel zu nah an einer Tankstelle steht.

Der Sicherheits-Berater empfiehlt, dieses BSI-Papier angstfrei zu lesen. Es enthält Fakten und kluge Gedanken zum Thema. Und wenn einzelne Vorgaben Ihnen überzogen erscheinen, dann überlegen Sie einfach, wie Sie das Schutzziel dennoch erreichen.

: : : Werner Metterhausen : : :


Dieser Beitrag ist Bestandteil von: