- Cloud-Einsatz ist zulässig, sofern Verfügbarkeit, Zuverlässigkeit und Sicherheit nach Risikoprüfung sichergestellt sind.
- Neun Anforderungen verlangen Cloud Governance: Szenarioanalyse, Risikobewertung, Entscheidinstanz, vertragliche Regelungen und Dokumentation.
- BAV überwacht Umsetzung künftig, mit Fokus auf Lieferantenmanagement und Business Continuity Management.
The Bundesamt für Verkehr BAV hat am 23. April 2025 ein Branchenschreiben zu Cloud Computing für Eisenbahnanwendungen an die Eisenbahnunternehmen versandt. Das Schreiben konkretisiert die bestehenden Vorgaben der Eisenbahnverordnung (EBV) and the Implementing regulations (AB-EBV) für den Einsatz von Clouds.
Die bestehenden Vorgaben regeln Cloud Computing nicht explizit. Der Einsatz von Clouds in Eisenbahnanwendungen ist daher zulässig, wenn die allgemeinen Anforderungen u.a. an Verfügbarkeit, Zuverlässigkeit und Sicherheit erfüllt sind. Das BAV verlangt vor dem Einsatz entsprechend eine Prüfung u.a. des Risikos eines Ausfalls der Cloud. Das BAV formuliert anschliessend neun Anforderungen (Cloud‑1 bis Cloud‑9), die von den erfassten Unternehmen eine Cloud Governance verlangen und die über den Eisenbahnbereich hinaus verallgemeinerbar sind:
- Szenarioanalyse (Cloud‑1): Szenarien über Vorfälle mit sicherheits- oder verfügbarkeitsrelevanten Auswirkungen sind systematisch zu identifizieren. Dabei sind unter Einbezug der ganzen Lieferkette insbesondere zu berücksichtigen: technisch bedingte Ausfälle, Ausfälle durch Fehlhandlungen, Cybervorfälle (inkl. Sabotage und Insiderattacken) sowie mutwilliger Serviceunterbruch durch den Service Provider, z.B. auf Befehl einer politischen Instanz.
- Risikobewertung (Cloud‑2 bis Cloud‑4): Wahrscheinlichkeit und Ausmass der identifizierten Vorfälle sind zu bestimmen, Kompensationsmassnahmen (Rückfallebenen) zur Sicherstellung des Bahnbetriebs zu untersuchen, und unter Berücksichtigung der Systemrelevanz des Unternehmens ist zu bewerten, ob das Restrisiko akzeptiert werden kann.
- Governance (Cloud‑5): Der Entscheid über den Cloud-Einsatz hat basierend auf der Risikobewertung durch eine geeignete Instanz des Unternehmens zu erfolgen. Dieser Entscheid ist periodisch und bei relevanten Änderungen zu prüfen.
- Vertragsgestaltung (Cloud‑6): Die Anforderungen an die Cloud, funktionaler wie auch nicht funktionaler Art (z.B. Prozesse für die Meldung von Vorfällen), sind festzulegen und vertraglich mit dem Service Provider festzuhalten.
- Dokumentation (Cloud‑7 bis Cloud‑9): Die Risikobewertung und der Entscheid müssen dokumentiert und dem BAV auf Verlangen zur Verfügung gestellt werden. Die Aufnahme des Prozesses ins Managementsystem ist zu prüfen. Zudem muss eine ausführliche Übersicht über alle verwendeten, betrieblich oder sicherheitstechnisch relevanten Clouds geführt werden.
Das BAV will die Umsetzung künftig im Rahmen seiner Aufsichtstätigkeit prüfen, sowohl auf Verfahrensebene (Plangenehmigungen, Typenzulassungen) als auch bei der Überwachung (Audits, Betriebskontrollen). Ein besonderer Fokus soll auf den Themen Lieferantenmanagement und Business Continuity Management liegen.