Um die digitale Transformation in der Bundesverwaltung voranzutreiben, hat der Bundesrat eine neue Cloud-Strategie verabschiedet. Sie wird Anfang 2021 für die zentrale Bundesverwaltung in Kraft treten.

Die Erwartungen sind hoch. Die Cloud-Strategie gilt beinahe als Allheilmittel, wie aus dem Bericht hervorgeht: Mehr Agilität und Geschwindigkeit bei der Innovation; schnellere, innovativere und qualitativ bessere Bereitstellung von Diensten; einfach skalierbare, robuste und resiliente Plattformen; und schliesslich die Reduktion der Kosten für einzelne IT-Dienste, hofft man zu erzielen.

Vorerst könnten die IT-Kosten aber steigen. Und zwar, wenn die möglicherweise vermehrt extern bezogenen Leistungen nicht mit Kostenreduktionen der internen Ressourcen ausgeglichen werden. Im bundesrätlichen Bericht heisst es dazu: "Gegebenenfalls müssen in diesem Zusammenhang Massnahmen zur Optimierung der internen Fixkosten respektive Kostenstrukturen getroffen werden."

Das heisst in der verklausulierten Sprache der Verwaltung einfach: Die internen IT-Kosten müssen reduziert werden. Im 4. Quartal 2021 sollen die konkreten Massnahmen dazu festgelegt werden.

Der Bundesrat hat für die Verwaltung einen vielgestaltigen Ansatz vorgesehen: Private, Public, Multi und Hybrid sind die Modelle, die man für den Cloud-Ansatz vorgesehen hat. Zudem sollen Community-Clouds zum Einsatz kommen, die man gemeinsam mit anderen Organisationen nutzt. Ergänzt wird das Paket durch Managed Services, die die Verwaltungsstellen von Externen aber auch aus dem RZ-Verbund der Bundesverwaltung beziehen können.

Public Clouds sollen klar vermehrt genutzt werden. Diese Möglichkeit werde mit der neuen Strategie eröffnet, heisst es im Bericht. Neben Schweizer Anbietern werden auch die grossen internationalen Provider als Option genannt: also vorrangig AWS, Google Cloud, Microsoft Azure, die nicht namentlich erwähnt werden. Dies soll die Verwaltungseinheiten in den Genuss der neusten Technologien bringen, wenn dies die betreffenden Anwendungen und Daten zulassen.

Bis im 3. Quartal 2021 sollen die ersten Rahmenverträge für die Public Clouds geschlossen sein und den Verwaltungseinheiten zum Abruf bereitstehen. Bis dann sollen auch die Cloud-Prinzipien in der Verwaltung genau definiert sein. Ab 2022 sollen dann Dienste aus der Public Cloud sicher und effizient genutzt werden können. Bis zur Umsetzung der hybriden Multicloud wird es aber laut Roadmap noch etwas dauern: "Die Cloud-Vision der Bundesverwaltung ist Realität", wird für Anfang 2025 angestrebt.

Bei der Nutzung von Cloud-Diensten bildeten der Schutz und die Verfügbarkeit von Daten einen wichtigen Aspekt, heisst es im Bericht. Darum wurde definiert, dass auch künftig Anwendungen und Daten mit hohem Schutzbedarf bestehen würden, welche auf bundesintern betriebenen Infrastrukturen/Plattformen in den RZs der Bundesverwaltung betrieben und bearbeitet werden müssten.

Es obliegt laut dem Bericht aber dem Datenherren zu beurteilen, ob im konkreten Fall Public Cloud zulässig ist. Dieser habe eine Schutzbedarfsanalyse durchzuführen. Zu berücksichtigen sei dabei auch ob die Public-Cloud-Anbieter gemäss den Rechtsordnungen ihrer Herkunftsländer Daten an die jeweiligen Regierungen herausgeben müssen und welche Datenhaltungs-Regionen sie anbieten. Ersteres ist bekanntlich etwa für die grossen US-Firmen mit ihren Ländergesellschaften nicht zweifelsfrei geklärt.

Im Bericht wird vorgeschlagen, dass die Migration in die Public Cloud schrittweise angegangen werden soll. Erst sei mit den am tiefsten klassifizierten Daten zu beginnen. Wer unter Einhaltung des rechtlichen Rahmens und von Schutzkonzepten höher klassifizierte Daten oder Personendaten in der Cloud bearbeiten oder halten wolle, müsse die Generalsekretärenkonferenz (GSK), den Delegierten des Bundes für Cybersicherheit und den Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragen (Edöb) informieren.

Welche Cloud oder welcher Ansatz gewählt wird, solle von den Leistungsbezügern beantragt werden. Danach entscheiden die Departemente oder die Bundeskanzlei auf Grundlage der aktuellen IKT-Sourcing-Strategie. Zudem laufen Arbeiten: Im 1. Quartal 2021 soll das organisatorische Zielbild definiert sein. Dazu gehört die Definition von Rollen, die Aufgaben, Kompetenzen und Verantwortung für die sichere und effiziente Nutzung von Cloud-Diensten übernehmen.