Erstellung einer Studie für eine effektive und effiziente IT-Sicherheitszertifizierung von Nativen Cloud-Anwendungen (Security Certification of NCA)

Die Studie zielt darauf ab, bestehende Produktzertifizierungsverfahren des BSI besser auf Native Cloud Anwendungen abzustimmen und ggf. angepasste Konformitätsbewertungen von Produkten ableiten zu können. Daher soll sich die Studie exklusiv auf die Konformitätsbewertung von Produkten, zum Beispiel im Rahmen einer Produktzertifizierung, fokussieren. Eine Zertifizierung von Diensten oder Management-Systemen ist dementsprechend im Kontext dieser Studie nicht relevant. Jedoch soll die Produktzertifizierung die Konformitätsbewertung von Produktentwicklungs- und Lebenszyklusprozessen einschließen. Von obigem Ziel lassen sich die folgenden Fragestellungen ableiten: - F1: Welche Elemente und Bestandteile von Cloud Nativen Anwendungen, deren Entwicklungs- und Produktlebenszyklusprozesse sowie deren Betriebsumgebung müssen in die Konformitätsbewertung einbezogen werden, um eine effektivere und effizientere Konformitätsbewertung der Sicherheitsleistung zu gewährleisten? - F2: Wie kann eine effektivere und effizientere Konformitätsbewertung der Sicherheitsleistung von Cloud Native Anwendungen und Plattformen durch ein unabhängiges und unparteiliches Prüflabor realisiert werden? - F3: Inwiefern und unter welchen Bedingungen können Ergebnisse aus den mit Cloud Native Anwendungen assoziierten Entwicklungsprozessen und Praktiken in die Konformitätsbewertung einbezogen werden? - F4: Wie kann eine effektivere und effizientere Aufrechterhaltung der Sicherheitsaussage eines bestehenden Zertifikates bei Produktaktualisierungen realisiert werden? Bei der Studie sollen die die benannten Fragen allgemein, ohne Fokus auf ein bestimmtes Zertifizierungsprogramm, beantwortet werden, um ein grundlegendes Verständnis davon zu schaffen, wie eine effektivere und effizientere Zertifizierung von Nativen Cloud Anwendungen erfolgen kann. Die Ergebnisse der Studie dienen dem AG als Basis dafür Maßnahmen abzuleiten, mit denen das Programm NESAS CCS-GI (bzw. dessen zukünftiger europäischer Nachfolger EU5G NESAS) besser auf die Zertifizierung von Produkten, bei welchen Technologien, Konzepte und Praktiken aus dem Bereich Cloud Native zur Anwendung kommen, abgestimmt werden kann.