Domäne · D2
Infrastruktur
„Wo und durch wen wird der Dienst tatsächlich betrieben — und welche Subunternehmer haben Zugriff?"
1. Strategische Bedeutung§
Die Infrastrukturdomäne bewertet, wo der Dienst physisch und organisatorisch erbracht wird: Rechenzentrumsstandorte, Betriebs- und Supportstrukturen, privilegierte Subunternehmer. Sie unterscheidet sich bewusst von der Datenhoheit (D3), die die Kontrolle über die Daten selbst betrachtet.
Eine sauber europäische Infrastruktur ist Voraussetzung dafür, dass juristische Verortung und Datenhoheit überhaupt operativ wirksam werden. Ein EU-jurisdizierter Anbieter, der seinen Betrieb tatsächlich aus einem Drittstaat heraus führt, ist nicht souverän — er ist formal europäisch und operativ exponiert.
D2 ist die Domäne der nachprüfbaren Geografie und der nachprüfbaren Betriebsorganisation.
2. Kernkriterien§
- Rechenzentrumsstandorte und Datenresidenz
Vollständige Liste aller primären, sekundären und Backup-Standorte; vertraglich zugesicherte Beschränkungen auf EU/EWR.
- Betriebsorganisation
Standort der Betriebs-, Support- und Entwicklungsteams; klare Trennung der Verantwortlichkeiten.
- Subunternehmerkette
Vollständige Kette aller Subunternehmer mit Rolle, Standort und Jurisdiktion. Stille Sub-Auftragsverhältnisse sind unzulässig.
- Privileged Operations Management
Welche Subunternehmer und welche Anbieter-Mitarbeiter dürfen unter welchen Bedingungen administrativ auf die Infrastruktur zugreifen?
- Netzwerk- und Konnektivitätspfade
Transitprovider, Peerings und CDN-Strukturen mit ihrer geopolitischen Exposition.
3. Prüffragen (Auszug)§
- In welchen Rechenzentren und in welchen Mitgliedstaaten wird der Dienst betrieben?
- Kann der Datenstandort vertraglich auf die EU beschränkt werden — auch für Backups und Replikate?
- Welche Subunternehmer haben administrativen Zugriff auf die Plattform?
- Aus welchen Jurisdiktionen heraus arbeiten Betriebs-, Support- und Entwicklungsteams?
- Welche Netzwerkpfade berühren Drittstaaten und welche Alternativen existieren?
4. Akzeptierte Evidenz§
- Liste aller Rechenzentrumsstandorte mit Betreiber und Jurisdiktion
- Auftragsverarbeitungsverträge mit allen Subunternehmern
- Organigramm mit Standort- und Funktionsangaben für Betriebs- und Supportteams
- Netzwerktopologie inklusive Transit- und Peering-Partner
5. Level-Schwellen in dieser Domäne§
| Level | Mindestanforderung in D2 |
|---|---|
| L0 | Standorte und wesentliche Subunternehmer grob benannt. |
| L2 | Vollständige EU-Datenresidenz vertraglich zugesichert; Subunternehmerkette vollständig dokumentiert. |
| L3 | EU-Operation durchsetzbar; Betriebs-, Support- und Subunternehmerstandorte extern auditiert; Drittstaaten-Zugriffe ausgeschlossen oder eng begrenzt. |
| L4 | Vollständige EU-Operation; keine Subunternehmer in Drittstaaten; redundante Standorte in mindestens zwei Mitgliedstaaten. |
6. Anschluss an bestehende Standards§
| Standard | Was abgedeckt ist | Wo EDSO darüber hinausgeht |
|---|---|---|
| BSI C5 | Betriebsorganisation und Standorte detailliert geprüft | Souveränitätswertung der Subunternehmer-Jurisdiktion nicht systematisch |
| ISO/IEC 27001 | Asset- und Lieferantenmanagement abgedeckt | Geopolitische Exposition nicht gefordert |
| EUCS | Standortanforderungen je Vertraulichkeitsstufe | Subunternehmer- und Betriebsstandorte nur eingeschränkt |
7. Typische Audit-Befunde§
- Backup-Replikation in Region außerhalb der EU vertraglich nicht ausgeschlossen
- 24/7-Support faktisch aus Drittstaat heraus geleistet, ohne dass dies im Vertrag offenliegt
- Sub-Auftragsverhältnisse über mehrere Konzernebenen nicht offengelegt