Zuerst erschienen in der Ausgabe .public 01-2019
von Ludwig Scherr
Der Einsatz von Cloud-IT-Services im Behördenumfeld wird kontrovers diskutiert. Im Fokus der Diskussionen stehen meist Aspekte des Datenschutzes. Außerdem werden in der Regel nur Standardanwendungen wie Workgroup- oder Dokumentenmanagement betrachtet. Doch wie müsste die Diskussion geführt werden, wenn Individualanwendungen betrachtet würden, die für Behörden geschäftskritisch sind?
Dieser Artikel leitet aus den unausweichlichen Beziehungen zwischen Behörden und IT-Dienstleistern das notwendige Zusammenarbeitsmodell ab. Und stellt, darauf aufbauend, die Merkmale eines behördlichen Cloud-IT-Service Providers im Unterschied zu einem kommerziellen Cloud-IT-Service- Providers heraus.
Damit Behörden ihre gesetzlich festgeschriebenen Aufgaben erfüllen können, benötigen sie IT-Unterstützung. Behördliche Anwendungen für spezifische Geschäftsprozesse, mit denen gesetzesrelevante Anforderungen umgesetzt werden können, sind in der Regel Individualanwendungen. Sie werden durch einen Software-Provider bereitgestellt und – nach erfolgreicher Übernahme in einen IT-Service – vom behördlichen IT-Service- Provider produktiv betrieben. Das bedeutet: Software-Provider und behördlicher IT-Service-Provider müssen beispielsweise im Release- oder Problemmanagement eng zusammenarbeiten, um einen qualitativ hochwertigen IT-Service gewährleisten zu können.
Bietet der behördliche IT-Service-Provider auch IT-Services für Entwicklung und Test an und werden diese vom Software- Provider angenommen, können sich Synergieeffekte ergeben.
Daher benötigt der Software-Provider für die Entwicklung und Bereitstellung der behördlichen Anwendung auch entwicklungsund testbezogene IT-Services. So kann unter anderem sichergestellt werden, dass im IT-Service verbaute Infrastruktur- und Plattform- IT-Services in Entwicklung, Test und Produktion identisch sind und somit potenzielle Fehler minimiert werden. In diesem Fall muss jedoch der behördliche IT-Service-Provider nicht nur IT-Services für die Behörde, sondern auch für den Software-Provider in Form von IT-Services für Entwicklung und Test bereitstellen.
Damit bedient der behördliche IT-Service-Provider zwei Kundengruppen mit teils unterschiedlichen Anforderungen. Beide IT-Dienstleister – Software-Provider und behördlicher IT-Service- Provider – müssen sich an der IT-Strategie innerhalb der IT-Governance der Behörde ausrichten. Dies betrifft insbesondere die einzusetzenden IT-Infrastrukturen und -Plattformen. Doch wo liegen nun die Herausforderungen für einen solchen behördlichen IT-Service-Provider? Einerseits muss er – insbesondere in einem agilen Umfeld – schnell verfügbare Entwicklungs- und Testservices anbieten. Andererseits muss er aber im produktiven Umfeld einen stabilen und SLA-gesicherten Betrieb der Individualanwendungen auf SaaS-Ebene sicherstellen.
Genau diese gegensätzlichen Anforderungen kennzeichnen einen behördlichen IT-Service-Provider. Er bietet zum einen eine Palette von Standard-IT-Services für Entwicklungs- und Testumgebungen für den Software-Provider, die vielfach abgerufen werden. Zum anderen stellt er Individualservices auf Applikationsebene (SaaS) für die Behörde zur Verfügung, die in der Regel nur einmal betrieben werden. All diese kundenorientierten IT-Services beruhen auf denselben unterstützenden Plattformund Infrastrukturservices.
Im Rahmen einer cloud-orientierten Organisation wird sich der behördliche IT-Service-Provider für Services im Bereich IaaS und PaaS die Paradigmen einer Cloud-Organisation zunutze machen. Für die behördlichen Individualservices auf SaaS-Ebene, die in der Regel nur einmal als Service bereitgestellt werden, müssen die Mechanismen für die Übernahme und den Betrieb von Individualsoftware angewendet und im Cloud-Kontext optimiert werden. Dies betrifft sowohl traditionell entwickelte Individualsoftware mit definierten Release-Zyklen als auch agile Methoden wie DevOps mit gemischten Entwicklungs- und Betriebsteams. Bei Letzterem müssen Themen wie SLA-Verantwortung oder die Einbettung in standardisierte ITSM-Prozesse wie Incident Management oder Service-Desk geklärt werden.
Die Struktur eines behördlichen IT-Service-Providers kann sich dennoch an den Cloud-Modellen kommerzieller Anbieter orientieren. Den Kern der Cloud-Struktur bildet ein Servicekatalog, der alle IT-Services auflistet die – im Idealfall über ein Self-Service- Portal – bestellt werden können. Bereitgestellt werden die standardisierten IT-Services über eine Cloud-Managementplattform, die in der Ebene des Cloud-Servicebetriebs die Komponenten der IT-Services steuert. Eingebettet ist der Cloud-Servicebetrieb in das IT-Service-Management, das sich um die Serviceebene kümmert und die Schnittstelle zum Kunden und Anwender übernimmt. Dieses Modell funktioniert vollumfänglich für beide Kundengruppen, das heißt
- für den Software-Provider, der standardisierte IT-Services im IaaS- und PaaS-Umfeld für Entwicklungs- und Testumgebungen benötigt und
- für die Behörde, für die der IT-Service-Provider die gleichen standardisierten IT-Services im IaaS- und PaaS-Umfeld für den Aufbau der Produktivumgebung verwendet. Zusätzlich bringt der IT-Service-Provider hier noch die Individualanwendung ein.
Welche Eigenschaften soll eine Cloud für Behörden besitzen, die einerseits standardisierte andererseits aber auch individuelle IT-Services erbringt? Standardisierte IT-Services können sich die folgenden Cloud-Eigenschaften zunutze machen:
- Nutzung eines Servicekatalogs, in dem die IT-Services hinterlegt und beschrieben sind.
- Globaler und universaler Zugang über Netzwerke.
- Vollständige Selbstzuweisung (Bestellung, Verwaltung) von IT-Services durch den Kunden über ein Self-Service-Portal
- Weitgehend automatisierte Bereitstellung, Änderung und Abbau von IT-Services.
- Flexible und elastische Nutzung von IT-Ressourcen, die in einem Pool zur Verfügung gestellt werden
- Bereitstellung unterschiedlicher Arbeitslasten durch Nutzung der Elastizität der Cloud
- Verbrauchsgerechte Abrechnung der IT-Services durch Messen der individuellen Nutzung auf Basis der hinterlegten Preismodelle
IT-Services auf SaaS-Ebene, bei denen es sich um behördliche Individualanwendungen handelt, werden in der Regel nur einmal bereitgestellt. Sie sind zwar im Servicekatalog des IT-Service- Providers gelistet, können jedoch nicht über das Self-Service- Portal bestellt werden. Denn diese nichtstandardisierten ITServices können nicht per Knopfdruck abgerufen, sondern müssen immer individuell konfiguriert und angepasst werden.
Als „dualer“ IT-Service-Provider betreibt der behördliche IT-Service-Provider neben standardisierten IT-Services auch individuelle, für die Behörde maßgeschneiderte und durch Service-Level-Agreements abgesicherte IT-Services. Diese weitgefächerte Serviceerbringung ist letztlich der größte und wichtigste Vorteil einer behördlichen Cloud gegenüber kommerziellen Cloud-Betreibern.
