Cloud-Zertifizierungen im Überblick: Welche Siegel für kritische Infrastruktur in Österreich wirklich zählen

Wir starten mit einer klaren These: Nicht jede Cloud-Zertifizierung schützt kritische Infrastruktur – und genau das führt bei NIS2 oft zu falscher Sicherheit. Wer als Betreiber kritischer Infrastruktur in Österreich eine Cloud nutzt, verlässt sich häufig auf ein Zertifikat, das zwar gut aussieht, aber dynamische Bedrohungen nicht abbildet. In diesem Beitrag ordnen wir die wichtigsten Siegel ein, erklären, was NIS2 und die österreichische NISG-Novelle wirklich verlangen, und zeigen, warum Anomalieerkennung und gelebte Resilienz den Unterschied machen.

Warum Cloud-Zertifizierungen für kritische Infrastruktur in Österreich entscheidend sind

Die regulatorische Lage in Österreich hat sich in den vergangenen zwei Jahren deutlich verschärft. NIS2 und die österreichische NISG-Novelle verpflichten Betreiber kritischer Infrastruktur zu strengeren Sicherheitsnachweisen – und das betrifft zunehmend auch die eingesetzten Cloud-Dienste. Wer Energie-, Gesundheits- oder Verkehrsinfrastruktur betreibt, muss nicht nur die eigene IT absichern, sondern auch die Lieferkette und damit die Cloud-Anbieter im Blick behalten.

NIS2 und österreichisches NISG: Was Betreiber jetzt wissen müssen

NIS2 und die österreichische NISG-Novelle verpflichten Betreiber kritischer Infrastruktur zu strengeren Sicherheitsnachweisen. Konkret bedeutet das: Risikomanagement, Meldepflichten bei Vorfällen und die Verantwortung der Geschäftsführung werden verbindlich. Die RTR (Rundfunk und Telekom Regulierungs-GmbH) spielt eine Rolle bei der Umsetzung von NIS2 in Österreich und fungiert in Teilbereichen als zuständige Behörde bzw. koordinierende Stelle. Für Sektoren wie Energie und Gesundheit heißt das, dass sie ihre Cloud-Anbieter nicht mehr nur nach Preis und Skalierbarkeit auswählen dürfen, sondern belastbare Sicherheitsnachweise einfordern müssen.

Von der Freiwilligkeit zur Nachweispflicht: Der Druck auf Cloud-Anbieter

Freiwillige Selbstauskünfte reichen heute nicht mehr. Anbieter müssen nachweisen, dass sie Sicherheitskontrollen nicht nur dokumentiert, sondern auch getestet haben. Für österreichische Betreiber bedeutet das, dass Zertifikate zwar ein Einstiegskriterium sind, aber nicht das Ende der Prüfung. Wir erleben in der Praxis oft, dass ein Zertifikat die eigentliche Frage – nämlich jene nach der kontinuierlichen Erkennung von Anomalien – nicht beantwortet.

Die wichtigsten Cloud-Zertifizierungen im Vergleich

Wir schauen uns die fünf Zertifizierungen an, die in Österreich am häufigsten genannt werden, wenn es um Cloud-Sicherheit für kritische Infrastruktur geht. Wichtig ist uns dabei die Einordnung: Was bedeutet ein Siegel konkret für ein österreichisches Unternehmen, und wo liegen die Grenzen?

ISO/IEC 27001 und ISO/IEC 27017: Der globale Standard

ISO/IEC 27001 ist der international anerkannte Standard für Informationssicherheits-Managementsysteme. Er beschreibt, wie ein Unternehmen Sicherheitsprozesse aufsetzt, überwacht und verbessert. ISO/IEC 27017 ergänzt diesen Standard um cloud-spezifische Kontrollen. Große Anbieter wie Microsoft Azure und AWS sind nach ISO/IEC 27001 zertifiziert. Der Vorteil liegt in der breiten Anerkennung. Der Nachteil: Das Zertifikat sagt nichts darüber aus, wie schnell ein Anbieter auf einen konkreten Angriff reagiert.

BSI C5: Der deutsche Prüfstandard mit Strahlkraft nach Österreich

BSI C5 ist ein deutscher Prüfstandard, der auch in Österreich von vielen Cloud-Anbietern genutzt wird. Er wurde vom Bundesamt für Sicherheit in der Informationstechnik entwickelt und legt den Fokus auf Cloud-spezifische Anforderungen wie Mandantentrennung, Transparenz und Incident-Management. Anbieter wie A1 Digital setzen auf C5, um Vertrauen im deutschsprachigen Raum zu schaffen. Für österreichische Betreiber kritischer Infrastruktur ist C5 oft dann relevant, wenn Daten in Deutschland oder Österreich verarbeitet werden sollen.

SOC 2 und EU Cloud CoC: Transparenz versus europäische Souveränität

SOC 2 ist ein US-amerikanischer Prüfstandard, der vor allem Transparenz über Sicherheitskontrollen schafft. Viele internationale Anbieter legen SOC-2-Berichte vor. Der EU Cloud CoC ist ein europäischer Verhaltenskodex, der DSGVO-Konformität und Souveränität stärker betont. Für österreichische Unternehmen stellt sich damit die Frage: Wollen wir maximale Transparenz über einen globalen Standard oder maximale europäische Souveränität? Beides hat Berechtigung, aber keines der beiden Siegel ersetzt eine eigene Risikobewertung.

• ISO/IEC 27001: globaler Standard, breite Anerkennung, cloud-spezifisch ergänzt durch ISO/IEC 27017.
• BSI C5: deutscher Prüfstandard, hohe Relevanz im DACH-Raum, von Anbietern wie A1 Digital genutzt.
• SOC 2: US-amerikanischer Transparenzstandard, stark bei Reporting, schwächer bei Souveränität.
• EU Cloud CoC: europäischer Verhaltenskodex, DSGVO-fokussiert, noch in Verbreitung.

Anomalieerkennung und Resilienz: Was Zertifikate nicht abdecken

Zertifizierungen sind statisch. Sie werden zu einem bestimmten Zeitpunkt vergeben und in definierten Intervallen überprüft. Dynamische Bedrohungen wie Ransomware oder Supply-Chain-Angriffe entwickeln sich jedoch schneller als jeder Audit-Zyklus. Wir argumentieren deshalb, dass ein Zertifikat allein keine ausreichende Grundlage für Cloud-Sicherheit in kritischer Infrastruktur ist.

Warum ein Zertifikat keine Anomalieerkennung ersetzt

Der Angriff auf die Kärntner Landesregierung 2023 zeigt die Grenzen statischer Zertifizierungen. Ein System kann alle Checklisten erfüllen und trotzdem Opfer eines gezielten Angriffs werden, wenn niemand ungewöhnliche Zugriffsmuster oder Datenbewegungen in Echtzeit erkennt. Anomalieerkennung bedeutet, Abweichungen vom Normalverhalten automatisiert zu identifizieren – etwa wenn ein Cloud-Konto plötzlich Daten in ungewöhnlichem Umfang abruft. Genau diese Fähigkeit fehlt in vielen Zertifizierungsrahmen.

Resilienz messen: Von der Checkliste zur kontinuierlichen Überwachung

Resilienz ist kein Zustand, den man einmalig nachweist, sondern eine Fähigkeit, die kontinuierlich gemessen werden muss. Wir empfehlen Betreibern kritischer Infrastruktur, Kennzahlen wie Mean Time to Detect (MTTD) und Mean Time to Respond (MTTR) vertraglich mit dem Cloud-Anbieter zu vereinbaren. Ein Zertifikat, das diese Kennzahlen nicht abbildet, sagt wenig über die tatsächliche Widerstandsfähigkeit im Ernstfall aus.

Österreichische Besonderheiten: Datenschutz, Behörden und Souveränität

Österreich hat im europäischen Vergleich eine besondere Ausgangslage: eine aktive Datenschutzbehörde, eine starke Diskussion um digitale Souveränität und eine wachsende Community, die europäische Cloud-Lösungen vorantreibt.

DSGVO und österreichische Datenschutzbehörde: Was Cloud-Anbieter beachten müssen

Die DSGVO gilt in ganz Europa, doch die österreichische Datenschutzbehörde legt in ihrer Praxis Wert auf klare Auftragsverarbeitungsverträge und nachvollziehbare Datenflüsse. Für Cloud-Anbieter bedeutet das, dass sie nicht nur zertifiziert sein müssen, sondern auch transparent darlegen müssen, wo Daten gespeichert und verarbeitet werden. Für Betreiber kritischer Infrastruktur ist das ein zentraler Prüfstein.

Souveränität versus Skalierung: Der österreichische Weg

Die Österreichische Computer Gesellschaft (OCG) engagiert sich für Cloud-Souveränität und Standards. Die Initiative „Cloud für Österreich“ setzt sich dafür ein, dass heimische und europäische Lösungen gestärkt werden. Wir sehen hier einen pragmatischen Weg: Skalierung über globale Hyperscaler dort, wo es sinnvoll ist, und souveräne Lösungen dort, wo kritische Daten und Steuerungsfunktionen betroffen sind. Diese Balance ist typisch österreichisch – und sie verlangt von Betreibern eine bewusste Entscheidung.

Unsere Empfehlung: So wählen wir Cloud-Zertifizierungen für kritische Infrastruktur aus

Wir geben eine praktische Entscheidungshilfe, die sich in der Beratung österreichischer Betreiber bewährt hat. Entscheidend ist, die Kritikalität der jeweiligen Anwendung zuerst zu bestimmen und danach die passenden Zertifikate und Prüfsteine auszuwählen.

Ein Entscheidungsbaum für österreichische Betreiber

1. Kritikalitätsstufe bestimmen: Handelt es sich um Steuerungs- oder Sicherheitsfunktionen oder um unterstützende Anwendungen?
2. Basiszertifikat wählen: ISO/IEC 27001 als Mindestanforderung für alle Cloud-Dienste.
3. DACH-Fokus prüfen: Bei Datenverarbeitung im DACH-Raum BSI C5 als zusätzlichen Nachweis einfordern.
4. Souveränität bewerten: Bei hoher Kritikalität EU Cloud CoC oder souveräne Lösungen prüfen.
5. Dynamik absichern: Anomalieerkennung und Incident-Response-Zeiten vertraglich regeln.

Fragen, die wir jedem Cloud-Anbieter stellen würden

• Wie schnell erkennt und meldet ihr eine Anomalie in unserem Mandanten – in Minuten oder in Tagen?
• Welche vertraglich garantierten Incident-Response-Zeiten bietet ihr für kritische Infrastruktur?
• Legt ihr aktuelle Transparenzberichte vor, die über das Zertifikat hinausgehen?
• Wo werden unsere Daten gespeichert, und wer hat Zugriff auf die zugrunde liegende Infrastruktur?
• Wie stellt ihr sicher, dass eure Lieferkette selbst den Anforderungen von NIS2 genügt?

Zertifizierungen sind ein Ausgangspunkt, aber kontinuierliche Anomalieerkennung und gelebte Resilienz machen den Unterschied. Wer kritische Infrastruktur in Österreich betreibt, sollte Siegel als Eintrittskarte verstehen – nicht als Ziel. Die eigentliche Sicherheit entsteht durch laufende Überwachung, klare Verantwortlichkeiten und die Bereitschaft, den Anbieter auch nach der Zertifizierung kritisch zu prüfen.

FAQ: Häufige Fragen zu Cloud-Zertifizierungen und kritischer Infrastruktur

Reicht eine ISO/IEC 27001-Zertifizierung für NIS2 aus?

Nein. ISO/IEC 27001 ist ein wichtiger Baustein, deckt aber die spezifischen Anforderungen von NIS2 und der österreichischen NISG-Novelle nicht vollständig ab. Betreiber kritischer Infrastruktur müssen zusätzlich Risikomanagement, Meldepflichten und Lieferkettenabsicherung nachweisen. Wir empfehlen, ISO/IEC 27001 als Basis zu nutzen und durch cloud-spezifische Nachweise wie BSI C5 zu ergänzen.

Was unterscheidet BSI C5 von SOC 2?

BSI C5 ist ein deutscher Prüfstandard, der klare Anforderungen an Cloud-Anbieter im DACH-Raum stellt und von österreichischen Unternehmen gut nachvollzogen werden kann. SOC 2 kommt aus den USA und legt den Schwerpunkt auf Transparenzberichte. Für österreichische Betreiber kritischer Infrastruktur ist C5 oft die näherliegende Wahl, wenn Daten in Deutschland oder Österreich verarbeitet werden.

Warum ersetzt ein Zertifikat keine Anomalieerkennung?

Zertifikate werden zu einem bestimmten Zeitpunkt vergeben und in festen Zyklen überprüft. Anomalieerkennung arbeitet kontinuierlich und erkennt Abweichungen in Echtzeit. Der Angriff auf die Kärntner Landesregierung 2023 hat gezeigt, dass formal erfüllte Checklisten keinen Schutz vor gezielten Angriffen bieten. Erst die laufende Überwachung schließt diese Lücke.

Welche Rolle spielt die RTR bei NIS2 in Österreich?

Die RTR (Rundfunk und Telekom Regulierungs-GmbH) spielt eine Rolle bei der Umsetzung von NIS2 in Österreich und fungiert in Teilbereichen als zuständige Stelle. Für Betreiber kritischer Infrastruktur bedeutet das, dass sie sich mit den konkreten Meldewegen und Nachweispflichten vertraut machen müssen, die über die RTR kommuniziert werden.

Was bedeutet Cloud-Souveränität für österreichische Unternehmen konkret?

Cloud-Souveränität bedeutet, dass Daten und Steuerungsfunktionen nicht allein von außereuropäischen Anbietern abhängen. Die Österreichische Computer Gesellschaft (OCG) engagiert sich für entsprechende Standards, und Initiativen wie „Cloud für Österreich“ stärken heimische Lösungen. In der Praxis heißt das: kritische Daten bevorzugt in europäischen oder österreichischen Clouds verarbeiten, weniger kritische Lasten dürfen skalieren, wo es wirtschaftlich sinnvoll ist.