CLOUD FÜR BEHÖRDEN UND ÖFFENTLICHE EINRICHTUNGEN | ISO 27001 UND C5-TESTAT
Souveräne Cloud für die öffentliche Verwaltung – für Kommunen, Länder und Bund
✓ Zertifiziert nach dem Standard des BSI: ISO 27001 auf Basis von IT-Grundschutz, ausgestellt durch das Bundesamt für Sicherheit in der Informationstechnik.
✓ Standardmäßig in Hallstadt: Ihre Daten liegen in unserem eigenen Rechenzentrum bei Bamberg, im deutschen Rechtsraum.
✓ Nachweise für Ihre Vergabe: Zertifikate mit Geltungsbereich, TOM-Dokumentation und Auftragsverarbeitungsvertrag im Trust Center.
✓ Offene Standards statt Bindung: OpenStack- und Kubernetes-Basis, damit ein Anbieterwechsel möglich bleibt.
Digitale Souveränität lässt sich nicht behaupten, sondern nur belegen
Fast jeder Cloud-Anbieter wirbt inzwischen mit digitaler Souveränität. Für eine Vergabestelle ist das wertlos, solange die Aussage nicht durch Unterlagen gedeckt ist, die im Verfahren standhalten. Entscheidend sind vier prüfbare Punkte: wo die Daten liegen, welchem Recht der Anbieter unterliegt, welche Zertifikate mit welchem Geltungsbereich vorliegen und ob Sie den Anbieter wieder verlassen können.
Diese Seite beantwortet alle vier Punkte. Sie richtet sich an Kommunen, Landes- und Bundesbehörden, kommunale IT-Dienstleister und öffentliche Einrichtungen wie Hochschulen, Kammern und Zweckverbände.
Vier Nachweise statt vier Versprechen
✔️ Der Standard, mit dem Sie selbst arbeiten
Unser Informationssicherheits-Managementsystem ist nach ISO 27001 auf Basis von IT-Grundschutz zertifiziert, ausgestellt durch das Bundesamt für Sicherheit in der Informationstechnik. IT-Grundschutz ist derselbe Rahmen, den die öffentliche Verwaltung für ihre eigene Informationssicherheit anwendet. Sie prüfen unsere Infrastruktur also nicht gegen ein fremdes Regelwerk, sondern gegen Ihr eigenes.
Der Geltungsbereich umfasst den Betrieb von ccloud³ und Managed Cloud an den Standorten Hallstadt, Nürnberg und Frankfurt am Main. Für den Informationsverbund gilt ein hoher Schutzbedarf hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit.
✔️ Ein Standort, den Sie benennen können
Ihre Daten liegen standardmäßig im centron-Rechenzentrum in Hallstadt bei Bamberg. Abweichende Standorte werden nur auf Ihren ausdrücklichen Wunsch genutzt. Das ist der Unterschied zu Formulierungen wie „in Europa“ oder „in der EU-Region“, die im Vergabeverfahren regelmäßig zu Rückfragen führen.
centron ist ein deutsches Unternehmen ohne ausländische Muttergesellschaft. Vertragspartner, Betreiber und Rechenzentrum unterliegen damit demselben Recht.
✔️ Unterlagen, die im Verfahren standhalten
Zertifikate mit ausgewiesenem Geltungsbereich, das BSI-C5-Testat, die Dokumentation der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO stehen im Trust Center zum Download bereit.
Sie müssen die Unterlagen weder anfordern noch auf einen Rückruf warten, wenn eine Frist läuft.
✔️ Ein Ausgang, den Sie kennen
Souveränität endet nicht beim Standort. Sie zeigt sich daran, ob Sie den Anbieter wieder verlassen können. Unsere Plattform basiert auf offenen Standards: OpenStack für die Virtualisierung, Kubernetes für Container, S3-kompatible Schnittstellen für den Objektspeicher.
Ihre Daten und Ihre Konfigurationen bleiben damit portabel. Ein Wechsel bedeutet Aufwand, aber keinen Neubau, und Sie geraten nicht in eine Abhängigkeit, die sich später nur noch über den Preis regeln lässt.
Beschaffung: EVB-IT Cloud und was wir dafür liefern
Seit 2022 steht mit dem EVB-IT Cloud ein eigener Vertragstyp für die Beschaffung von Cloud-Leistungen durch die öffentliche Hand bereit. Er regelt unter anderem Leistungsbeschreibung, Verfügbarkeit, Datenschutz, Subunternehmer und die Rückgabe von Daten am Vertragsende.
Für Sie als Vergabestelle heißt das: Der Vertrag steht, gebraucht werden die Angaben, mit denen sich die Anlagen füllen lassen. Dazu gehören der Leistungsumfang, die Verfügbarkeitszusagen, die Liste der eingesetzten Subdienstleister mit ihren Standorten, die technischen und organisatorischen Maßnahmen und das Verfahren zur Datenrückgabe.
Diese Angaben stellen wir bereit, ohne dass Sie sie einzeln erfragen müssen. Wenn Sie eine Ausschreibung vorbereiten, gehen unsere Cloud-Experten die Anlagen mit Ihnen durch.
Anwendungsfälle in Verwaltung und öffentlichen Einrichtungen
Fachverfahren betreiben
Fachanwendungen von Bürgerbüro bis Bauamt laufen auf virtuellen Maschinen oder containerisiert. Sie behalten die Anwendungshoheit, wir stellen die Plattform.
Bürgerportale und Onlinedienste
Antrags- und Serviceportale erleben Lastspitzen zu Stichtagen und Fristen. Über Kubernetes lassen sich Ressourcen vorher erweitern und danach wieder reduzieren.
Archivierung und Datenhaltung
Aufbewahrungsfristen im öffentlichen Bereich reichen über Jahrzehnte. S3 Object Storage wächst mit dem Bestand, unabhängig von der Rechenleistung.
Test- und Entwicklungsumgebungen
Getrennte Umgebungen für Test, Abnahme und Produktion lassen sich in Minuten bereitstellen und bei Nichtgebrauch abschalten. Den Betrieb übernimmt auf Wunsch unser Managed-Server-Team.
Wer wofür verantwortlich ist
Diese Grenze ist im Geltungsbereich unserer Zertifizierung ausdrücklich festgehalten. Das macht sie im Audit belegbar statt verhandelbar.
| Ebene | Bei Ihnen | Bei centron |
|---|---|---|
| Fachverfahren und Anwendungen | Auswahl, Konfiguration, Datenpflege | — |
| Betriebssystem der Instanzen | Konfiguration und Patching, sofern nicht als Managed Service beauftragt | Managed Service auf Wunsch |
| Plattform | — | Virtualisierung, Netzwerk, Speicher, Monitoring, Logging, Backup |
| Rechenzentrum | — | Betrieb, Zutritt, Redundanz, Notfallmanagement |
| Daten | Verantwortliche Stelle | Auftragsverarbeiter nach Art. 28 DSGVO |
Die Bausteine
Einzeln buchbar, unabhängig voneinander skalierbar.
Ihre Anforderungen gemeinsam durchgehen und vor der Ausschreibung testen
Eine Schutzbedarfsfeststellung lässt sich leichter treffen, wenn die Umgebung schon einmal gelaufen ist. Registrieren Sie sich kostenlos, stellen Sie eine Testinstanz für ein einzelnes Fachverfahren bereit und prüfen Sie Leistung, Bedienung und Dokumentation, bevor eine Leistungsbeschreibung entsteht. Es entsteht keine Vertragsbindung.
Wenn Sie lieber direkt einsteigen: Welche Verfügbarkeit Sie brauchen und welche Unterlagen Ihre Vergabestelle verlangt, gehen unsere Cloud-Experten mit Ihnen durch.
Häufig gestellte Fragen zur Cloud für die öffentliche Verwaltung
Prüfbar sind vier Punkte: der Standort der Verarbeitung, das Recht, dem der Anbieter und seine Muttergesellschaft unterliegen, die vorliegenden Zertifikate einschließlich ihres Geltungsbereichs, und die Möglichkeit, den Anbieter wieder zu verlassen. Aussagen wie „souveräne Cloud“ oder „Made in Germany“ ohne Beleg zu einem dieser vier Punkte sind im Vergabeverfahren nicht verwertbar.
Bei der Zertifizierung auf Basis von IT-Grundschutz wird das Informationssicherheits-Managementsystem zusätzlich gegen die Bausteine des IT-Grundschutz-Kompendiums geprüft, und das Zertifikat wird vom Bundesamt für Sicherheit in der Informationstechnik ausgestellt. Für die öffentliche Verwaltung ist das relevant, weil IT-Grundschutz derselbe Rahmen ist, nach dem sie ihre eigene Informationssicherheit ausrichtet.
Bei centron standardmäßig im eigenen Rechenzentrum in Hallstadt bei Bamberg. Abweichende Standorte werden nur auf Ihren ausdrücklichen Wunsch genutzt. Der Geltungsbereich unserer Zertifizierung umfasst die Standorte Hallstadt, Nürnberg und Frankfurt am Main. Achten Sie bei anderen Anbietern darauf, ob ein konkreter Ort genannt wird oder nur eine Region wie „EU“ oder „Europa“.
Die Zertifikate mit ausgewiesenem Geltungsbereich, das BSI-C5-Testat, die Dokumentation der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Sie finden alles im Trust Center. Für die Anlagen zum EVB-IT Cloud liefern wir zusätzlich Angaben zu Leistungsumfang, Verfügbarkeit, Subdienstleistern und Datenrückgabe.
Der EVB-IT Cloud ist der Vertragstyp, den Sie als öffentlicher Auftraggeber verwenden. centron liefert die Angaben, mit denen sich die Anlagen füllen lassen. Welche Vergabeart für Ihr Vorhaben zulässig ist und ob eine Rahmenvereinbarung besteht, über die Sie abrufen können, prüft Ihre Vergabestelle.
Durch offene Standards und eine vertragliche Regelung zur Datenrückgabe. Unsere Plattform setzt auf OpenStack, Kubernetes und S3-kompatible Schnittstellen. Damit bleiben Daten und Konfigurationen portabel, und ein Anbieterwechsel bedeutet Migrationsaufwand statt Neuentwicklung. Prüfen Sie zusätzlich, ob proprietäre Zusatzdienste eingesetzt werden, die es beim nächsten Anbieter nicht gibt; das ist die häufigste Ursache für eine spätere Bindung.
Der EVB-IT Cloud sieht die Rückgabe der Daten am Vertragsende ausdrücklich vor, einschließlich Format, Frist und anschließender Löschung beim Anbieter. Legen Sie diese Punkte bereits in der Leistungsbeschreibung fest, nicht erst bei der Kündigung. centron stellt die Daten über die S3-kompatible Schnittstelle bereit und dokumentiert die Löschung.
Ihre Einrichtung bleibt Verantwortliche im Sinne der DSGVO und entscheidet über Zwecke und Mittel der Verarbeitung. centron ist Auftragsverarbeiter und verarbeitet die Daten ausschließlich nach Ihrer Weisung. In unserer Verantwortung liegen Rechenzentrum, Plattform, Netzwerk, Speicher, Monitoring und Backup der Plattform; in Ihrer bleiben Fachverfahren, Betriebssysteme, Prozesse und Daten. Diese Grenze ist im Geltungsbereich unserer ISO-27001-Zertifizierung festgehalten.
Die Kosten richten sich nach Rechenleistung, Speicher und dem gewünschten Betriebsmodell. Eine erste Größenordnung liefert der Preisrechner. Für die Kalkulation im Haushalt oder in der Leistungsbeschreibung erhalten Sie ein Angebot mit fest kalkulierten Positionen; sprechen Sie uns dafür direkt an.