Take-Aways (AI)
  • Cloud-Ein­satz ist zuläs­sig, sofern Ver­füg­bar­keit, Zuver­läs­sig­keit und Sicher­heit nach Risi­ko­prü­fung sicher­ge­stellt sind.
  • Neun Anfor­de­run­gen ver­lan­gen Cloud Gover­nan­ce: Sze­na­rio­ana­ly­se, Risi­ko­be­wer­tung, Ent­scheid­in­stanz, ver­trag­li­che Rege­lun­gen und Dokumentation.
  • BAV über­wacht Umset­zung künf­tig, mit Fokus auf Lie­fe­ran­ten­ma­nage­ment und Busi­ness Con­ti­nui­ty Management.

The Bun­des­amt für Ver­kehr BAV hat am 23. April 2025 ein Bran­chen­schrei­ben zu Cloud Com­pu­ting für Eisen­bahn­an­wen­dun­gen an die Eisen­bahn­un­ter­neh­men ver­sandt. Das Schrei­ben kon­kre­ti­siert die bestehen­den Vor­ga­ben der Eisen­bahn­ver­ord­nung (EBV) and the Imple­men­ting regu­la­ti­ons (AB-EBV) für den Ein­satz von Clouds.

Die bestehen­den Vor­ga­ben regeln Cloud Com­pu­ting nicht expli­zit. Der Ein­satz von Clouds in Eisen­bahn­an­wen­dun­gen ist daher zuläs­sig, wenn die all­ge­mei­nen Anfor­de­run­gen u.a. an Ver­füg­bar­keit, Zuver­läs­sig­keit und Sicher­heit erfüllt sind. Das BAV ver­langt vor dem Ein­satz ent­spre­chend eine Prü­fung u.a. des Risi­kos eines Aus­falls der Cloud. Das BAV for­mu­liert anschlie­ssend neun Anfor­de­run­gen (Cloud‑1 bis Cloud‑9), die von den erfass­ten Unter­neh­men eine Cloud Gover­nan­ce ver­lan­gen und die über den Eisen­bahn­be­reich hin­aus ver­all­ge­mei­ner­bar sind:

  • Sze­na­rio­ana­ly­se (Cloud‑1): Sze­na­ri­en über Vor­fäl­le mit sicher­heits- oder ver­füg­bar­keits­re­le­van­ten Aus­wir­kun­gen sind syste­ma­tisch zu iden­ti­fi­zie­ren. Dabei sind unter Ein­be­zug der gan­zen Lie­fer­ket­te ins­be­son­de­re zu berück­sich­ti­gen: tech­nisch beding­te Aus­fäl­le, Aus­fäl­le durch Fehl­hand­lun­gen, Cyber­vor­fäl­le (inkl. Sabo­ta­ge und Insi­der­at­tacken) sowie mut­wil­li­ger Ser­vice­un­ter­bruch durch den Ser­vice Pro­vi­der, z.B. auf Befehl einer poli­ti­schen Instanz.
  • Risi­ko­be­wer­tung (Cloud‑2 bis Cloud‑4): Wahr­schein­lich­keit und Aus­mass der iden­ti­fi­zier­ten Vor­fäl­le sind zu bestim­men, Kom­pen­sa­ti­ons­mass­nah­men (Rück­fal­l­e­be­nen) zur Sicher­stel­lung des Bahn­be­triebs zu unter­su­chen, und unter Berück­sich­ti­gung der System­re­le­vanz des Unter­neh­mens ist zu bewer­ten, ob das Rest­ri­si­ko akzep­tiert wer­den kann.
  • Gover­nan­ce (Cloud‑5): Der Ent­scheid über den Cloud-Ein­satz hat basie­rend auf der Risi­ko­be­wer­tung durch eine geeig­ne­te Instanz des Unter­neh­mens zu erfol­gen. Die­ser Ent­scheid ist peri­odisch und bei rele­van­ten Ände­run­gen zu prüfen.
  • Ver­trags­ge­stal­tung (Cloud‑6): Die Anfor­de­run­gen an die Cloud, funk­tio­na­ler wie auch nicht funk­tio­na­ler Art (z.B. Pro­zes­se für die Mel­dung von Vor­fäl­len), sind fest­zu­le­gen und ver­trag­lich mit dem Ser­vice Pro­vi­der festzuhalten.
  • Doku­men­ta­ti­on (Cloud‑7 bis Cloud‑9): Die Risi­ko­be­wer­tung und der Ent­scheid müs­sen doku­men­tiert und dem BAV auf Ver­lan­gen zur Ver­fü­gung gestellt wer­den. Die Auf­nah­me des Pro­zes­ses ins Manage­ment­sy­stem ist zu prü­fen. Zudem muss eine aus­führ­li­che Über­sicht über alle ver­wen­de­ten, betrieb­lich oder sicher­heits­tech­nisch rele­van­ten Clouds geführt werden.

Das BAV will die Umset­zung künf­tig im Rah­men sei­ner Auf­sichts­tä­tig­keit prü­fen, sowohl auf Ver­fah­rens­ebe­ne (Plan­ge­neh­mi­gun­gen, Typen­zu­las­sun­gen) als auch bei der Über­wa­chung (Audits, Betriebs­kon­trol­len). Ein beson­de­rer Fokus soll auf den The­men Lie­fe­ran­ten­ma­nage­ment und Busi­ness Con­ti­nui­ty Manage­ment liegen.