Ihr öffentlicher Kunde fordert „Sovereign Cloud“. Sollte SecNumCloud (OVHcloud, Scaleway, Clever Cloud) oder eine klassische europäische Cloud ausreichen?
Die Antwort findet sich nicht in einem LinkedIn-Thread zu Cloud Act und Ihr Vertrag. Es findet sich wörtlich in den Spezifikationen wieder und liegt im genauen Umfang der Qualifikation.
Viele Teams verwechseln Marketinghoheit und vertragliche Verpflichtung. Ein Rechenzentrum in Frankreich oder Deutschland erfüllt häufig die DSGVO; SecNumCloud fügt ein ANSSI-Framework hinzu, wenn ein öffentlicher Auftraggeber oder ein Betreiber von entscheidender Bedeutung es vorschreibt. Mit der Qualifikation ohne schriftliche Anforderung zu beginnen bedeutet, mit der Komplexität zu bezahlen; es zu ignorieren, wenn es erforderlich ist, bedeutet, dass Sie von der Ausschreibung ausgeschlossen werden.
Klassische europäische Cloud: die DSGVO-Basis
Eine gut ausgewählte EU-Cloud bietet europäische Rechenzentren, eine unterzeichnete DPA, eine dokumentierte Auswahl von Subunternehmern und eine lesbare Richtlinie für die Beantwortung behördlicher Anfragen. Dies reicht für ein Standard-KMU-, E-Commerce- oder B2B-SaaS aus – sofern die komplette Kette ohne unregulierten extraterritorialen Zugriff abgebildet wird.
OVHcloud, Scaleway, Hetzner, Infomaniak und andere europäische Akteure decken Millionen von Projekten ohne SecNumCloud ab. Die DSGVO erfordert keine ANSSI-Qualifizierung für einen Online-Shop oder eine B2B-API. Entscheidend ist der tatsächliche Speicherort der Daten, Backups und Administratorzugriffe – nicht das Abzeichen auf der Verkaufsfolie.
Um diese Basis zu gestalten, kreuzen Sie europäisches Hosting und reale Standortumfrage, bevor Sie eine SecNumCloud-Ebene hinzufügen.
SecNumCloud: wenn ANSSI die Anforderung formalisiert
SecNumCloud ist eine ANSSI-Qualifikation: verschärfte Anforderungen gegen extraterritorialen Zugriff (Cloud Act, British CLOUD Act usw.). Dies wird erforderlich, wenn ein sensibler öffentlicher Markt oder ein Betreiber von entscheidender Bedeutung dies ausdrücklich im Vertrag oder im Einkaufsrahmen vorschreibt.
Die Kosten und der Umfang bleiben eingeschränkter als bei einem allgemeinen Cloud-Angebot. Hierbei handelt es sich nicht um eine Standard-Marketingoption: Qualifizierte Angebote decken bestimmte Dienste ab (Computer, Speicher, Backup, je nach Akteur), nicht unbedingt den gesamten Lieferantenkatalog.
| Standort | Klassische EU-Cloud | SecNumCloud |
|---|---|---|
| KMU B2B | Oft ja | Übergroß |
| Sensibler öffentlicher Markt | Bei Bedarf nicht ausreichend | Erforderlich |
| HDS Gesundheit | Komplementär | Komplementär |
| Startups | Selten Tag 1 | Wenn der Vertrag es erfordert |
Lesen Sie den Vertrag vor dem Logo
Fragen Sie nach dem gültigen Zertifikat, nicht nach einer Homepage-Erfassung. Prüfen Sie den technischen Umfang: Shared Hosting, VPS, Kubernetes, Objektspeicher, Backups, Administrationsunterstützung? Derselbe Akteur kann qualifizierte und unqualifizierte Angebote auf unterschiedlichen Abrechnungslinien anbieten.
Querverweis mit SecNumCloud reversibilite und Scaleway souveränität, um vertragliche Garantien, Veröffentlichungszeiten und den Speicherort von Sicherungskopien zu vergleichen. Die Qualifikation deckt den Inhalt der Bescheinigung ab – nicht das, was Ihr Team dann versehentlich aufgrund eines unqualifizierten Angebots einsetzt.
Kosten, Zeit und Reversibilität
SecNumCloud bringt oft zusätzliche Kosten- und Architekturbeschränkungen mit sich: reduzierter Umfang, längerer Kaufprozess, für das Audit zu erstellende Dokumentation. Vergleichen Sie über einen Zeitraum von 36 Monaten die Gesamtsumme (Computer, Speicher, ausgehende Übertragung, Support) zwischen einem qualifizierten Angebot und einem klassischen EU-Angebot – nicht nur den ersten Aktionsmonat.
Erwarten Sie auch den Ausstieg: Wechsel des Lieferanten, Migration auf ein unqualifiziertes Angebot bei Änderung der Spezifikationen, Export von Schlüsseln und Protokollen. Eine Qualifikation, die heute nützlich ist, kann morgen zum Engpass werden, wenn im ursprünglichen Vertrag keine Reversibilität ausgehandelt wurde.
Der Gipfel: Qualifikation entscheidet über den Vertrag, nicht Angst
Entscheide dich und gehe ohne blinden Fleck voran
Lesen Sie die Spezifikationen Zeile für Zeile und achten Sie auf explizite Erwähnungen von SecNumCloud, operativer Souveränität oder ANSSI-Standards. Erfordern das gültige Zertifikat und den abgedeckten technischen Umfang (Computing, Speicherung, Backups, Support). Ordnen Sie Subunternehmer, den Standort der Sicherungskopien und den Administratorzugriff außerhalb der Europäischen Union zu.
Vergleichen Sie die Gesamtkosten über einen Zeitraum von 36 Monaten, nicht über den ersten Aktionsmonat. Konsultieren Sie SecNumCloud reversibilite, Scaleway-Souveränität und das Verzeichnis, um die Liste auf die Akteure zu reduzieren, die an Ihre tatsächlichen Einschränkungen angepasst sind.
Häufig gestellte Fragen
Ist SecNumCloud für alle KMU verpflichtend?
Nein. Die Qualifikation wird insbesondere für bestimmte sensible öffentliche Aufträge und für Betreiber von lebenswichtiger Bedeutung obligatorisch, je nachdem, was die Spezifikationen vorschreiben. Für den Großteil der KMU, die standardmäßig personenbezogene Daten verarbeiten, reichen die DSGVO und eine gut dokumentierte europäische Cloud aus – sofern die Subunternehmer- und Backup-Kette abgebildet ist.
Sind OVHcloud und Scaleway SecNumCloud?
Beide bieten in bestimmten Bereichen qualifizierte Angebote an, jedoch nicht den gesamten Katalog. Fordern Sie das offizielle Zertifikat an und prüfen Sie, welche Servicelinie abgedeckt ist: Ein allgemeiner VPS und ein qualifizierter Service können mit demselben Akteur koexistieren. Eine Homepage-Erfassung ersetzt nicht das Vertragsdokument.
Ersetzt SecNumCloud HDS?
Nein. HDS reagiert auf das Hosting von Gesundheitsdaten in Frankreich; SecNumCloud formalisiert die operative Souveränität angesichts des extraterritorialen Zugriffs. Ein Gesundheitsprojekt kann beides in unterschiedlichem Umfang erfordern – zum Beispiel HDS für Patientendaten und SecNumCloud für eine Verwaltungsplattform, die einer öffentlichen Ausschreibung unterliegt.
Ist die EU-Cloud ohne SecNumCloud „nicht souverän“?
Souveränität ist ein Spektrum: Vertragsgerichtsbarkeit, amerikanische Subunternehmer, Schlüsselmanagement, Supportstandort. SecNumCloud formalisiert eine von ANSSI in bestimmten Kontexten geforderte Ebene – es ist weder die einzige Definition des Wortes noch eine universelle Voraussetzung für die Einhaltung der DSGVO.
SecNumCloud entscheidet über die Vertragslinie – nicht über die Angst vor dem generischen Cloud Act.