Was „ACN-qualifiziert“
wirklich bedeutet.

ACN steht für Agenzia per la Cybersicurezza Nazionale, die Nationale Agentur für Cybersicherheit Italiens: die italienische Behörde für Informationssicherheit. Sie wurde mit dem Gesetzesdekret Nr. 82 vom 14. Juni 2021 gegründet und ist die nationale Cybersicherheitsbehörde Italiens. Unter anderem setzt sie in Italien die NIS2-Richtlinie um und qualifiziert die Cloud-Dienste, die die italienische öffentliche Verwaltung beschaffen darf.

Es bedeutet, dass die Nationale Agentur für Cybersicherheit Italiens geprüft hat, dass der Cloud-Dienst die Anforderungen an Sicherheit, Qualität, Leistung, Interoperabilität und Portabilität der Cloud-Verordnung Nr. 21007/2024 erfüllt, und ihn mit einem Datenblatt und einer Gültigkeitsdauer in ihrem Katalog veröffentlicht hat. Italienische öffentliche Verwaltungen dürfen ihn für Daten der auf dem Datenblatt angegebenen Stufe einsetzen.

Das sind die vier Qualifizierungsstufen für Cloud-Dienste, abhängig von der Art der Daten, die die öffentliche Verwaltung damit verarbeiten darf. QC1 betrifft gewöhnliche Daten und Dienste, QC2 kritische, QC3 und QC4 strategische; jede Stufe fügt der vorherigen Anforderungen hinzu. Die drei AtWorkStudio-Dienste sind nach QC1 qualifiziert: geeignet für gewöhnliche Daten, also den größten Teil der täglichen Arbeit einer Behörde oder eines Unternehmens.

Nein. Sie betrifft den einzelnen Cloud-Dienst, nicht das Unternehmen als Ganzes: Deshalb hat jeder Dienst sein eigenes Datenblatt. Um sie zu erhalten, muss der Anbieter aber bereits ein zertifiziertes Managementsystem haben: Für QC1 verlangt die Verordnung die Konformität mit ISO 9001 und die Zertifizierung nach ISO/IEC 27001 mit den Cloud-Erweiterungen 27017 und 27018 (alternativ die Zertifizierung CSA STAR Stufe 2). AtWorkStudio besitzt alle vier ISO-Zertifizierungen, ausgestellt von einer akkreditierten Zertifizierungsstelle.

Keine Vorschrift verpflichtet ein privates Unternehmen, ACN-qualifizierte Dienste zu wählen. Es ist jedoch eine Prüfung durch eine Behörde anhand schriftlicher, öffentlich einsehbarer Anforderungen und keine Selbstauskunft des Anbieters. Wer nachweisen muss, zuverlässige Lieferanten gewählt zu haben, etwa für die von NIS2 verlangte Sicherheit der Lieferkette oder bei einem Kundenaudit, hat damit einen konkreten Nachweis für die Akten.

Jeder qualifizierte Dienst hat ein öffentliches Datenblatt auf dem Portal der Nationalen Agentur für Cybersicherheit Italiens, mit einem Code (zum Beispiel SA-7323), der Qualifizierungsstufe, dem Namen des Anbieters sowie Beginn und Ende der Gültigkeit. Die Seiten der drei AtWorkStudio-Dienste verlinken direkt auf ihr Datenblatt: Wenn ein Anbieter sich als qualifiziert bezeichnet, aber keinen Datenblatt-Code nennt, lohnt es sich nachzufragen.

Höchstens sechsunddreißig Monate, danach muss sie erneuert werden. Während der Gültigkeit muss der Anbieter die Anforderungen weiter erfüllen und die Agentur über seine qualifizierten Dienste auf dem Laufenden halten. Die Gültigkeitsdaten stehen auf dem öffentlichen Datenblatt jedes Dienstes.

Nein, und das steht auf jedem Datenblatt: Die Veröffentlichung im Katalog nach den in der Verordnung vorgesehenen Prüfungen stellt keine Unterstützung oder Werbung durch die Agentur dar. Die Qualifizierung sagt, dass ein Dienst die Anforderungen erfüllt, nicht, dass er besser ist als ein anderer. Aus demselben Grund verwendet AtWorkStudio das Logo der Agentur nicht auf seiner Website.