Compliance und Souveränität als Klammer

Teil 1 dieser Blogserie hat das Dilemma beschrieben: Wachstum und Digitalisierung verlangen Tempo, der regulatorische Rahmen verlangt Nachweisbarkeit. Teil 2 hat gezeigt, wie Sicherheit zum Betriebsprinzip wird. Teil 3 hat FinOps als Steuerungsmodell für Kosten eingeführt.

Teil 4 schliesst nun den Kreis: Compliance und Souveränität sind die Klammer, die Security, Kosten, Betriebsmodell und Governance verbindlich zusammenführt und damit Cloud-Nutzung überhaupt erst «bankentauglich» macht.

Compliance in der Cloud: Was Aufsicht und Prüfungen verlangen

Viele Anforderungen klingen technisch, sind aber im Kern Governance-Fragen:

• Wer bleibt verantwortlich?
• Wer darf was prüfen?
• Wie stellen wir Kontrolle und Fortführung sicher?

Besonders zentral sind zwei Punkte, die in Cloud-Diskussionen oft unterschätzt werden

1. Audit- und Einsichtsrechte: FINMA, Prüfgesellschaft und Institut müssen in der Lage sein, die Einhaltung aufsichtsrechtlicher Bestimmungen beim Dienstleister zu prüfen, mit jederzeitigem, ungehindertem Einsichts- und Prüfrecht.
2. Subdienstleister und geordneter Ausstieg: Cloud ist selten «ein Anbieter». Deshalb verlangt die FINMA, dass Institute frühzeitig über den Beizug oder Wechsel wesentlicher Unterakkordanten informiert werden – und dass sie die Möglichkeit haben, ein Outsourcing geordnet zu beenden.

Hinzu kommt: Cloud muss auch in die Resilienzlogik passen. Mit dem Rundschreiben 2023/1 zu operationellen Risiken und Resilienz betont die FINMA u. a. Themen wie kritische Prozesse, BCM und die Behandlung kritischer Daten. Und schliesslich spielt Datenschutz in der Cloud als Rechtsrahmen und als Erwartung an Transparenz eine Doppelrolle. Das totalrevidierte Datenschutzrecht ist seit 1. September 2023 in Kraft.

Souveränität: Worum es wirklich geht

«Souveränität» wird oft auf den Datenstandort Schweiz reduziert. Das ist wichtig, aber nicht ausreichend. Für Entscheider ist Souveränität am Ende die Summe aus vier Steuerungsfähigkeiten:

• Juristische Steuerbarkeit: Welche Rechtsräume können auf Daten und Prozesse wirken (Stichwort: Foreign Lawful Access, also behördliche Zugriffe aufgrund ausländischer Gesetze)? Die SBVg führt dieses Thema explizit als Schwerpunkt im aktualisierten Cloud-Leitfaden.
• Vertragliche Steuerbarkeit: Habe ich echte Audit-, Informations- und Mitwirkungsrechte – auch bei Subdienstleistern – und eine praktikable Exit-Option?
• Technische Steuerbarkeit: Wer kontrolliert Schlüssel und Identitäten? Wie wird Datenabfluss begrenzt? Wie werden Protokolle/Evidenzen erzeugt?
• Operative Steuerbarkeit: Kann der Betrieb in Störungen fortgeführt werden, inklusive Zugriff auf die notwendigen Informationen in der Schweiz? Das ist im Outsourcing-Kontext ausdrücklich adressiert.

«Hybrid» ist besonders stark

Die Hybride Cloud ist Architekturprinzip und Kontroll- und Governance-Modell in einem. Sie erlaubt, Workloads entlang von Risiko, Regulatorik und Business-Value zu platzieren und gleichzeitig Innovation über Public-Cloud-Dienste nutzbar zu machen.

Praktisch heisst das:

• Sensible, stark regulierte Workloads laufen in einer in der Schweiz betriebenen Community-/Private-Umgebung mit klaren Betriebs- und Nachweismechanismen.
• Innovations- und Skalierungsbausteine können in Public-Cloud-Services genutzt werden – aber eingebettet in ein einheitliches Governance-, Security- und Monitoring-Regime.

Also: In der Schweiz betriebene Community Cloud für Banken und Versicherungen sowie Public-Cloud-Services, die explizit auf Automatisierung, Monitoring sowie Governance- und Sicherheitsvorgaben aufsetzen. Damit ist Compliance nicht nur nachgelagert dokumentiert, sondern direkt im Betrieb erzeugt. Die Steuerung wird zur strategischen Führungsaufgabe in der hybriden, hochregulierten IT-Welt.

Die Checkliste für das Management

Der Unterschied zwischen «Cloud nutzen» und «Cloud beherrschen» liegt im Management. Public-Cloud-Hyperscaler liefern leistungsfähige Plattformen. Diese sind jedoch global gebaut, global betrieben und adressieren nicht automatisch die Schweizer Ausprägungen von Aufsicht, Audit und Datenanforderungen.

Ein Anbieter muss also Verantwortung für Betriebsfähigkeit und Nachweisbarkeit übernehmen. Wenn Sie dieses Thema in der Geschäftsleitung pragmatisch ansprechen möchten, reichen fünf Fragen als Start:

1. Können wir jederzeit Audit- und Einsichtsrechte entlang der gesamten Leistungskette (inkl. Unterakkordanten) durchsetzen?
2. Ist unser Exit realistisch geplant – technisch, organisatorisch und vertraglich – oder nur «theoretisch möglich»?
3. Wo liegen unsere kritischsten Daten und Prozesse, und passen Standort, Schlüssel-/Identity-Kontrolle und BCM dazu?
4. Haben wir einen klaren Umgang mit Foreign Lawful Access und behördlichen Verfahren, inklusive Transparenz und Zusammenarbeit mit Providern?
5. Erzeugen wir Compliance-Evidenz «by build», also laufend, oder erst kurz vor dem Audit?

Fazit: Compliance und Souveränität als Innovations-Booster

Wer Cloud im regulierten Umfeld erfolgreich nutzt, denkt Compliance und Souveränität als Designprinzip. FINMA-Outsourcing-Anforderungen, Resilienz-Erwartungen und Datenschutz setzen den Rahmen. In der Praxis besonders kritisch: Steuerung, Datenbearbeitung, Behörden/Verfahren und Audit.

Hybride Cloud ist ein besonders wirksamer Ansatz dafür: Sie verbindet Schweizer Betriebs- und Kontrolllogik mit der Innovationskraft moderner Cloud-Services. Vorausgesetzt, sie wird gemanagt, integriert und governancefähig umgesetzt.