Recht in der Cloud. Die rechtlichen Aspekte von Cloud Computing. Nicole Beranek Zanon Lic. iur., EMBA HSG. Alpiq Cloud Days 2014

Transkript

1 Recht in der Cloud Die rechtlichen Aspekte von Cloud Computing Nicole Beranek Zanon Lic. iur., EMBA HSG

2 2 Agenda Ausgangslage: Cloud oder eigener Betrieb?Cloud Ecosystem Verantwortlichkeit für Compliance Die wichtigsten rechtlichen Themen Auswahl des Cloud-Anbieters Zusammenfassung

3 3 1

4 4 Äpfel nicht mit Birnen vergleichen! Wie sieht der Ist-Zustand im Vergleich zur Cloud-Lösung aus? Was ist zu tun, wenn sich die Welt rund um uns herum ändert? Welche Flexibilität wird gebraucht? Welches Profil habe ich als Unternehmen? Welche Daten sind für unser Unternehmen kritisch? Ist IT eine Kernkompetenz des Unternehmens? Rechtliche Rahmenbedingungen sind gleich.

5 5 2 Fotolia.com

6 6 Cloud-Ecosystem Internet- Accessprovider CH / Ausland IaaS PaaS SaaS XaaS Cloud- Anbieter Verschlüsselungsanbieter IAM-Provider Unternehmen Cloud-Nutzer CH Ausland

7 9 3

8 11 Compliance Who to blame? Pflicht des Verwaltungsrates zur ordnungsgemäßen Organisation (Art. 716a OR) Jedes Unternehmen hat ein Risikomanagement zu betreiben (Art. 728a OR/ IKS) Periodische Prüfung durch Revisor (Swiss Code of Best Practice Corporate Governance Ziff. 19 IKS) Bestandesaufnahme z.b. durch ISMS Technische, aber auch rechtliche Risiken Riskoevaluation sollte auch den Ist-Zustand berücksichtigen.

9 12 4 Alpiq Foto: Cloud delux Days 2014 fotalia.com

10 13 Ausgangslage Auftrag, Mietverhältnis Cloud-Anbieter Sitz und RZ: CH Innominatkontrakt Cloud-Nutzer Monatliches Entgelt

11 14 Anwendbares Recht + Gerichtsstand Gerichtsstand Anwendbares Recht Vollstreckbare Urteile (im In- und Ausland) Was ist sonst noch wichtig? Wo steht das Rechenzentrum Wer beherrscht die Firma des Cloud-Anbieter? Kapitalisierung Kooperationen, Drittpartner + Unterbeauftragte mit Zugriffsmöglichkeiten Zertifizierungen

12 15 Leistungsstörungen Service Level / Kick-Back Redundanzen Schnittstellen Mitteilungen / Kontakte Datenrückgabe / -zugriff

13 17 Datenschutz I Datensicherheit Personendaten müssen durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden (Art. 7 DSG).

14 18 Datensicherheit II - technische + org. Massnahmen Angemessene Massnahmen (Art. 8 Abs. 2 VDSG): Zweck der Datenbearbeitung Art und Umfang der Datenbearbeitung Einschätzung der möglichen Risiken für die betreffende Person Gegenwärtiger Stand der Technik Grundsatz (Art. 8 Abs. 1 VDSG): Vertraulichkeit, Verfügbarkeit, Integrität

15 19 Kündigung, Haftung und Legal Interception Klare Kündigungsregeln Risikominimierung durch klare Regeln Zugriff von NSA & Co. Prozesse für den Zugriff Unterstützung beim Wechsel Vendor-Look-In vermeiden Konkurs des/der Anbieter berücksichtigen

16 22 5 Tom Bayer Fotolia.com

17 23 Interdisziplinäre Herausforderungen des Kunden Überwachung & Mitigation von Risiken Identifikation von Risiken Implementation - Schnittstellen + Verantwortlichkeiten Awareness Analyse der Daten Auswahl RZ/Cloud- Anbieter

18 24 6

19 25 Zusammenfassung Die Welt wird komplexer Sich davor zu verschliessen, ist keine Lösung Reduktion der Komplexität durch: Vertrauenswürdige Partner und Ansprechpersonen suchen Sorgfältige Redaktion der Verträge d.h. Legal Compliance bereits beim Set-Up und der Auswahl beachten und miteinbeziehen Evaluation der eigenen Daten Back-Up zu Drittanbieter / Escrow Agreement für SW Technisch immer up to date

20 26 Danke für Ihre Aufmerksamkeit Vielen Dank für Ihre Aufmerksamkeit! delacruzberanek.com