Art. 8 32018D0559
Für die Zwecke dieses Beschlusses wird ein KIS als ausgelagert betrachtet, wenn es auf der Grundlage eines Vertrags mit einem Drittanbieter bereitgestellt wird, laut dem das KIS außerhalb der Räumlichkeiten der Kommission untergebracht ist. Dazu gehören die Auslagerung einzelner oder mehrerer KIS oder sonstiger IT-Dienste, Datenzentren außerhalb der Räumlichkeiten der Kommission sowie die Verarbeitung von Datensätzen der Kommission durch externe Dienstleister.
Bei der Auslagerung eines KIS sind bezüglich der Sensibilität oder Einstufung der verarbeiteten Informationen folgende Dinge zu berücksichtigen:
KIS, die EU-VS verarbeiten, müssen gemäß Beschluss (EU, Euratom) 2015/444 akkreditiert werden, wobei vorab die Sicherheitsakkreditierungsstelle der Kommission (SAA) zu konsultieren ist. Die Auslagerung von Systemen, die EU-VS verarbeiten, ist verboten.
Der Systemeigner eines KIS, das Nicht-EU-VS verarbeitet, hat unter Berücksichtigung der Risiken einer Auslagerung angemessene Maßnahmen zu ergreifen, um die Sicherheitsanforderungen gemäß den einschlägigen rechtlichen Verpflichtungen bzw. entsprechend der Sensibilität der Informationen zu erfüllen. Die Generaldirektion Humanressourcen und Sicherheit darf dabei zusätzliche Anforderungen auferlegen.
Ausgelagerte Entwicklungsprojekte müssen die Sensibilität des entwickelten Codes und aller bei der Entwicklung verwendeten Testdaten berücksichtigen.
Zusätzlich zu den Grundsätzen nach Artikel 3 des Beschlusses (EU, Euratom) 2017/46 gelten für ausgelagerte KIS folgende Grundsätze:
Auslagerungsvereinbarungen werden so gestaltet, dass die Abhängigkeit von einzelnen Anbietern vermieden wird.
Durch Vereinbarungen über die Sicherheit bei der Auslagerung wird die Möglichkeit verringert, dass Mitarbeiter Dritter auf die Informationen der Kommission zugreifen oder diese verändern.
Mitarbeiter Dritter, die Zugriff auf ein ausgelagertes KIS haben, müssen eine Vertraulichkeitsvereinbarung vorweisen.
Die Auslagerung eines KIS ist im Bestandsverzeichnis der KIS zu erfassen.
Unter Mitwirkung des Dateneigners ist der Systemeigner verpflichtet, Diese Maßnahmen sind jeweils vor der Unterzeichnung eines Vertrags oder einer sonstigen Vereinbarung über die Auslagerung einer oder mehrerer KIS zu treffen.
die Risiken der Auslagerung zu prüfen und zu dokumentieren;
entsprechende Sicherheitsanforderungen festzulegen;
die Systemeigner aller verbundenen KIS zu konsultieren, um sicherzustellen, dass deren Sicherheitsanforderungen abgedeckt sind;
dafür zu sorgen, dass der Auslagerungsvertrag angemessene Sicherheitsanforderungen und Rechte enthält;
sämtliche anderen Anforderungen zu erfüllen, die in dem ausführlichen Verfahren nach Absatz 8 dieses Artikels beschrieben sind.
Um die festgelegten Sicherheitsanforderungen zu erfüllen, müssen die Systemeigner die Risiken in Zusammenhang mit der Auslagerung während der gesamten Lebensdauer des KIS steuern.
Die Systemeigner sorgen dafür, dass Drittanbieter dazu verpflichtet werden, die Kommission umgehend über jegliche IT-Sicherheitsvorfälle in Zusammenhang mit einem ausgelagerten KIS der Kommission zu informieren.
Der Systemeigner hat sicherzustellen, dass das KIS, der Auslagerungsvertrag und die Sicherheitsvorkehrungen den Vorschriften der Kommission über die Informationssicherheit und die IT-Sicherheit entsprechen.
Die Generaldirektion Humanressourcen und Sicherheit legt im Einklang mit dem nachstehenden Artikel 10 eine ausführliche Norm über die in den Ziffern 1 bis 7 dargelegten Zuständigkeiten und Maßnahmen fest.