Bewusster Umgang mit Cloud-Lösungen
Bahnunternehmen lagern ihre digitalen Daten und Anwendungen zunehmend auf externe Server aus. Das sogenannte Cloud Computing birgt gewisse Risiken. Das Bundesamt für Verkehr (BAV) hat Anforderungen formuliert, um die Branche für den bewussten Umgang mit Cloud Computing zu sensibilisieren. Im Rahmen seiner Überwachungstätigkeit wird das BAV die Einhaltung der Regeln prüfen.
Mit der fortschreitenden Digitalisierung etabliert sich das Cloud Computing auch bei den Bahnen. Daten und Anwendungen werden immer weniger im eigenen Haus aufbewahrt und betrieben, sondern an externe Dienstleister ausgelagert. Dies kann Daten und digitale Instrumente im Bereich der Sicherungsanlagen, Bahnleitsysteme, Instandhaltung, etc., sowie Daten und Applikationen der Bahnstromversorgung betreffen.
Kontrolle sicherstellen
Cloud Computing hat für die Unternehmen zwar viele Vorteile, die Risiken eines Kontrollverlusts mit den entsprechenden Auswirkungen auf die Sicherheit des Bahnbetriebs sind jedoch nicht zu unterschätzen. Aktuell ist der Einsatz von Cloud Computing in den Vorgaben des Bundes nicht explizit geregelt. Es sind generelle Anforderungen formuliert, welche die verschiedenen Anwendungen erfüllen müssen.
Aus diesem Grund hat das BAV in einem Schreiben an die Eisenbahnunternehmen diese generellen hoheitlichen Vorgaben konkretisiert und detaillierte Anforderungen formuliert.
Das BAV intensiviert die Kontrolle
Wichtigster Punkt dieser Konkretisierung ist der Umgang mit einem Systemausfall: Das Cloud Computing darf in einer Eisenbahnanwendung erst eingesetzt werden, nachdem das Risiko «Ausfall der Cloud mit betriebs- oder sicherheitsrelevanten Folgen» untersucht wurde. Allfällige Kompensationsmassnahmen sind zu benennen. Und schliesslich muss entscheiden werden, ob das Risiko akzeptiert werden kann.
Die Unternehmen müssen ihre Überlegungen und Entscheidungsschritte, welche diese Anforderungen betreffen, schriftlich festhalten. Die entsprechenden Dokumente sind dem BAV auf Verlangen vorzuweisen. Das BAV wird in Zukunft im Rahmen seiner Aufsichtstätigkeiten sowohl auf Verfahrensebene (Plangenehmigungen und Typenzulassungen) als auch im Rahmen seiner Überwachungstätigkeit (Audits und Betriebskontrollen) die Umsetzung der Anforderungen prüfen.