Cloud in Saudi-Arabien: NCA Cloud Cybersecurity Controls CCC-2:2024 und das CST-Regelwerk für Cloud-Dienste

Problem in der Praxis

Das erste Missverständnis ist eine Abkürzung. In den CCC steht CST für Cloud Service Tenant, also den Cloud-Kunden; im Regelwerk der Kommission steht CST für die Behörde selbst. Wer Unterlagen querliest, verwechselt Kundenpflichten mit Behördenbefugnissen. Dieser Artikel schreibt deshalb "Cloud-Kunde" für den Tenant und "CST" nur für die Kommission.

Das zweite Missverständnis betrifft die Reichweite. Ein deutscher SaaS-Anbieter mit Rechenzentrum in Frankfurt geht oft davon aus, saudisches Cloud-Recht greife erst mit einem Rechenzentrum im Königreich. Für die Registrierungspflicht der CST trifft das nach dem Wortlaut zu, für das übrige Regelwerk nicht: Es gilt für Dienste an Kunden mit Wohnsitz oder Kundenadresse im Königreich, und die Pflichten treffen den Anbieter, der den Vertrag geschlossen hat. Für die CCC ist der Standort gleichgültig; entscheidend ist, ob der Kunde zum Geltungsbereich gehört.

Das dritte Missverständnis ist die Lokalisierung. In älteren Fassungen beider NCA-Werke standen Vorgaben, Cloud-Dienste aus dem Königreich zu erbringen. Die CCC-2:2024 hat diese Vorgaben gestrichen und an das NDMO verwiesen. Wer heute pauschal "Daten müssen in Saudi-Arabien liegen" schreibt, stützt sich auf überholte Fassungen; wer umgekehrt "keine Lokalisierung" schreibt, übersieht die Regeln des CST-Regelwerks zu Daten staatlicher Stellen und die nicht vorliegenden NDMO-Vorgaben.

CISO-Einordnung

CCC-2:2024: Gegenstand und Adressaten. Die CCC sind als Erweiterung der Essential Cybersecurity Controls (ECC) gebaut und setzen Mindestanforderungen für Anbieter und Kunden. Sie haben CCC-1:2020 abgelöst. Erfasste Cloud-Kunden sind staatliche Stellen des Königreichs, nach dem Wortlaut innerhalb oder außerhalb des Königreichs, samt ihrer Gesellschaften und Untereinheiten, sowie alle Privatunternehmen, die CNI besitzen, betreiben oder hosten und Cloud-Dienste nutzen oder ihre Nutzung planen. Erfasst ist jeder Anbieter, der solche Kunden bedient. Als Beispiele außerhalb des Geltungsbereichs nennt das Dokument Anbieter, die nur nicht-saudische Stellen außerhalb des Königreichs bedienen, und Anbieter, die nur Einzelpersonen und private Unternehmen ohne CNI-Bezug bedienen, jeweils ohne Kunden aus dem Geltungsbereich. Alle anderen Stellen im Königreich werden zur Nutzung ermutigt.

Verhältnis zur ECC. Die CCC stellen zwei Regeln auf. Erstens sind die Kundencontrols Erweiterung und Ergänzung der ECC; erfasste Kunden müssen beide fortlaufend einhalten. Zweitens gilt dasselbe für Anbietercontrols, und zwar ausdrücklich für Anbieter innerhalb wie außerhalb des Geltungsbereichs der ECC. Für einen Anbieter bedeutet das: Wer einen erfassten Kunden bedient, übernimmt die ECC mit, auch wenn er selbst kein staatliches oder CNI-Unternehmen ist. Viele CCC-Controls verweisen deshalb auf ein ECC-Control, das sie ergänzen.

Aufbau. Die CCC-2:2024 haben 4 Hauptdomänen (Governance, Defense, Resilience, Third-Party Cybersecurity) und 24 Subdomänen, mit 37 Hauptcontrols und 94 Subcontrols für Anbieter und 18 Hauptcontrols und 26 Subcontrols für Kunden. Die Kennung zeigt in der dritten Stelle, ob ein Control den Anbieter (P) oder den Kunden (T) betrifft.

Ebenen nach Datenklassifizierung. Die Controls sind in vier Stufen gestaffelt, von oben nach unten: Stufe 1 für als streng geheim, Stufe 2 für als geheim, Stufe 3 für als vertraulich und Stufe 4 für als öffentlich eingestufte Daten, jeweils nach den Vorgaben der zuständigen Stelle. Enthält ein zusammenhängender Datenbestand mehrere Stufen, gilt die höchste. Welche Controls je Stufe verpflichtend oder nur empfohlen sind, regeln Tabellen im Anhang A; vor allem auf der untersten Stufe sind einzelne Controls oder Subcontrols nur empfohlen oder nicht anwendbar. Die Einstufung selbst nehmen die CCC nicht vor.

Prüfung und Lokalisierung. Die NCA bewertet die Einhaltung über mehrere Wege, etwa Selbstbewertungen, periodische Berichte eines Compliance-Werkzeugs oder Prüfungen vor Ort; ein eigenes Werkzeug (CCC-2:2024 Assessment and Compliance Tool) ist angekündigt. Fristen und Sanktionen nennt das Dokument nicht. Laut Änderungsanhang wurden die beiden Subcontrols gestrichen, die Speicherung, Verarbeitung, Notfallwiederherstellung, Überwachung und Support aus dem Königreich verlangten; Stellen sollen sich vor eigenen Schritten zur Lokalisierung an das NDMO wenden. Die Einleitung nennt eine Abgleichstudie mit internationalen Werken, darunter der deutsche C5; eine Anerkennung oder Gleichwertigkeit regelt das Dokument nicht.

CST-Regelwerk: Grundlage und Geltungsbereich. Die CST hat das Regelwerk auf Grundlage des Telekommunikations- und IT-Gesetzes (Königliches Dekret M/106 vom 02.11.1443 AH) und ihres Statuts erlassen. Es gilt für Cloud-Dienste an Kunden mit Wohnsitz oder Kundenadresse im Königreich (Ziff. 3-1-1); kurze Besuche und Transit begründen keinen Wohnsitz, und bei zwei Adressen zählt die im Königreich. Die Pflichten daraus treffen den Anbieter, der den Cloud-Vertrag geschlossen hat (Ziff. 3-1-3). Unabhängig vom Kunden gelten für Daten, die im Königreich verarbeitet oder gespeichert werden, die Regeln zur Entfernung rechtswidriger Inhalte, zur Meldung von Verstößen gegen das Gesetz gegen Cyberkriminalität, eine Ausnahme zum Datenschutz und die Registrierung (Ziff. 3-1-2). Die Bestimmungen sind zwingend und während der Vertragslaufzeit nicht abänderbar, soweit nichts anderes bestimmt ist (Ziff. 3-1-4). Anbieter im Sinne des Regelwerks sind auch Vermittler, Aggregatoren, Wiederverkäufer und Vertreter.

Registrierung. Kein Anbieter darf direkte oder tatsächliche Kontrolle über Rechenzentrum oder wesentliche Infrastruktur eines im Königreich gehosteten und genutzten Cloud-Systems ausüben, bevor er sich korrekt und vollständig bei der CST registriert hat; dazu gehört die Nutzung der Kommunikationsinfrastruktur einschließlich internationaler Verbindungen über von der CST zugelassene Anbieter (Ziff. 3-2-1). Anforderungen und Verfahren stehen verbindlich in der arabischen Fassung des CST-Leitfadens für Cloud-Anbieter. Tabelle 2 des Regelwerks führt drei Registrierungskategorien, die festlegen, mit welchen Klassifizierungsstufen von Kundendaten ein Anbieter umgehen darf; daneben kann die CST Anbieter in einer Qualifizierungskategorie registrieren, für die sie Anforderungen und Verfahren selbst festlegt (Ziff. 3-2-3); für geheime und streng geheime Daten staatlicher Stellen sind zusätzlich Genehmigungen über die CST einzuholen.

Datenklassifizierung und Datenstandort. Der Kunde wählt die passende Klassifizierung aus Tabelle 1 oder einer vergleichbaren Liste des Anbieters (Ziff. 3-3-3); für Daten staatlicher Stellen unterscheidet das Regelwerk die Stufen streng geheim, geheim, eingeschränkt und öffentlich, für andere Daten verweist es auf das NDMO und die Sektoraufsicht. Kunden mit Daten staatlicher Stellen müssen bei einem registrierten Anbieter einkaufen. Registrierte Anbieter und Kunden dürfen Inhalte aus Daten staatlicher Stellen in keiner Form aus dem Königreich verbringen, auch nicht vorübergehend für Sicherung oder Zwischenspeicherung, es sei denn, andere saudische Gesetze oder Regelungen als dieses Regelwerk erlauben es ausdrücklich (Ziff. 3-3-5). Registrierte Anbieter müssen Kunden vorab informieren und ihre Zustimmung einholen, wenn deren Inhalte außerhalb des Königreichs übertragen, gespeichert oder verarbeitet werden (Ziff. 3-3-7). Ein allgemeines Lokalisierungsgebot für alle Daten enthält das Regelwerk nicht; andere Vorschriften bleiben unberührt (Ziff. 3-3-1, 3-4-6, 3-11-1).

Pflichten der Anbieter. Anbieter melden Verletzungen von Nutzerinformationen oder Dokumenten, von denen sie wissen, ohne unangemessene Verzögerung der CST und den Kunden; die CST unterrichtet das NDMO, wenn staatliche Stellen oder viele Menschen betroffen sein können (Ziff. 3-3-8). Sie dürfen Kundeninhalte und Kundendaten grundsätzlich weder Dritten bereitstellen noch über den Vertrag hinaus nutzen, müssen offenlegen, welche Befugnisse sie zur Einsicht oder Entschlüsselung haben, und neue Befugnisse nur mit ausdrücklicher vorheriger schriftlicher Zustimmung der CST einführen (Ziff. 3-4-2); das gilt unbeschadet ausländischen Rechts, dem ein Kunde unterliegt. Die Weitergabe- und Nutzungsschranken entfallen in zwei Fällen (Ziff. 3-4-3): wenn der Kunde Offenlegung, Übermittlung, Verarbeitung oder Nutzung im Einklang mit saudischem Recht verlangt, und bei Daten nichtstaatlicher Kunden einer anderen Datenart, wenn der Kunde vorher ausdrücklich eingewilligt hat, sei es in eine Weitergabe oder in deren Ausschluss; diese Einwilligung kann er jederzeit für die Zukunft widerrufen. Sie informieren vor Vertragsschluss über Leistung, Bedingungen, Service Level, Zahlung und Registrierungskategorie (Ziff. 3-6-1) und nehmen Mindestinhalte in den Vertrag auf (Ziff. 3-6-3). Auf schriftliche Anweisung der CST oder einer anderen zuständigen Behörde müssen sie rechtswidrige oder schutzrechtsverletzende Inhalte aus Rechenzentren und Systemelementen im Königreich entfernen oder, wo die Quelle dies vorsieht, im Königreich unzugänglich machen; eine allgemeine Überwachungspflicht begründet das Regelwerk nicht (Ziff. 3-5). Ohne ausdrückliche schriftliche Zustimmung der CST dürfen sie keine Gesetze oder Vorschriften anwenden und keinen Anfragen nachkommen, die mit saudischem Recht oder den im Königreich geltenden Sicherheitsanforderungen in Konflikt stehen können (Ziff. 3-11-2). Sie informieren über eine etwaige Haftpflichtdeckung zugunsten der Kunden (Ziff. 3-3-9) und geben eine Zusammenfassung ihrer Regelungen zu Business Continuity, Notfallwiederherstellung und Risikomanagement (Ziff. 3-8-2). Die Datenschutz- und Inhaltsregeln erfassen auch Anbieter, die ohne eigenen Vertrag über Zwecke und Mittel der Verarbeitung bestimmen oder die Verarbeitung kontrollieren (Ziff. 3-4-1, 3-5-1). Registrierte Anbieter machen zudem die tatsächliche Service-Level-Erfüllung und die erfüllten Standards einsehbar (Ziff. 3-8-1), führen ein Risikoregister und ein Business-Continuity-Managementsystem (Ziff. 3-11-3) und unterstützen Prüfungen der CST (Ziff. 3-10-3).

Rechte der Kunden. Kunden haben das Recht und die technische Möglichkeit, ihre Daten einzusehen, zu prüfen, zu berichtigen und zu löschen, soweit das den Vorgaben des NDMO zu personenbezogenen Daten nicht widerspricht (Ziff. 3-4-4); unberührt bleiben die Rechte des Anbieters an den von ihm erzeugten Nutzungs-, Abrechnungs- und Protokolldaten (Ziff. 2-1-15-3), soweit diese für die Abrechnung oder die Erfüllung gesetzlicher Pflichten im Königreich nötig sind (Ziff. 3-4-5). Bei Vertragsende muss der Anbieter dem Kunden ermöglichen, eine Kopie seiner Inhalte zu erhalten, für den Zeitraum und mit den Mitteln und dem Format, die der Vertrag festlegt (Ziff. 3-6-6). Hinzu kommen ein Kundendienst (Ziff. 3-6-4) und das Recht, Streitigkeiten in Streitbeilegungsverfahren der CST zu bringen (Ziff. 3-6-5). Anbieter haften gegenüber der CST und einzelnen Kunden nach Maßgabe von Ziff. 3-7 und anderer saudischer Gesetze auch für Handlungen ihrer Beauftragten, Subunternehmer und Beschäftigten, soweit diese im Rahmen ihres Auftrags handeln, gleich ob innerhalb oder außerhalb des Königreichs (Ziff. 3-7-1). Sie können die Haftung für Verlust oder Beschädigung von Kundendaten und für verfehlte Service-Standards nicht ausschließen, soweit Vorsatz, Fahrlässigkeit oder Unterlassen des Anbieters zugrunde liegen; eine Bemühensklausel befreit gegenüber einzelnen Kunden nicht bei Vorsatz oder grober Fahrlässigkeit. Die Beweislast trägt der Kunde. Unbeschadet anwendbarer Gesetze darf der Anbieter die Haftung für unbeabsichtigt verursachte indirekte Schäden und entgangene Einnahmen oder Gewinne ausschließen und seine Haftung im größtmöglichen angemessenen Umfang begrenzen, etwa durch Ersatzlösungen, Erstattung der Entgelte oder Service-Gutschriften (Ziff. 3-7-5).

Befugnisse und Rechtsfolgen. Verstöße unterliegen den Sanktionen nach den Regeln der CST, unbeschadet anderer Gesetze wie des Gesetzes gegen Cyberkriminalität und des Gesetzes über elektronische Transaktionen. Die CST kann Berichte verlangen, prüfen lassen, Leitlinien und Musterverträge herausgeben und die Registrierung aussetzen oder widerrufen (Ziff. 3-10). Beträge nennt das Regelwerk nicht.

Umsetzungsperspektive

1. Kunden klassifizieren. Für jeden saudischen Kunden festhalten: staatliche Stelle oder CNI-Bezug (dann CCC samt ECC), Wohnsitz oder Adresse im Königreich (dann CST-Regelwerk), Daten staatlicher Stellen im Spiel (dann registrierter Anbieter und Transferverbot).
2. Infrastrukturfrage gesondert stellen. Kontrollieren wir Rechenzentrum oder wesentliche Infrastruktur im Königreich? Dann vor Betriebsbeginn registrieren.
3. Stufe der Daten vom Kunden einholen. Die CCC-Stufe folgt der Einstufung durch die zuständige Stelle, nicht einer Selbstwahl des Anbieters.
4. Verträge an die Mindestinhalte und Haftungsgrenzen anpassen. Pauschale Haftungsausschlüsse für vorsätzlich oder fahrlässig verursachte Datenverluste und verfehlte Service-Standards trägt das CST-Regelwerk nicht.
5. Lokalisierung über NDMO und PDPL klären. Weder CCC noch CST-Regelwerk beantworten sie für private Daten abschließend.
6. Meldewege doppelt anlegen. Datenverletzungen gehen nach dem CST-Regelwerk an CST und Kunden; NCA-Pflichten erfasster Kunden laufen daneben.

Typische Fehler

1. Die Abkürzung CST wird in CCC und CST-Regelwerk gleich gelesen.
2. Ein Anbieter hält sich für außerhalb der CCC, weil er selbst nicht unter die ECC fällt, obwohl er erfasste Kunden bedient.
3. Pauschale Lokalisierungsaussagen werden aus gestrichenen Controls älterer Fassungen abgeleitet.
4. Umgekehrt wird das Transferverbot für Daten staatlicher Stellen übersehen.
5. Die vier CCC-Stufen werden mit den Klassifizierungsstufen des CST-Regelwerks gleichgesetzt, obwohl die Bezeichnungen der dritten Stufe abweichen (vertraulich gegenüber eingeschränkt).
6. Die Abgleichstudie mit dem C5 wird als Anerkennung eines C5-Testats gelesen.
7. Für Meldungen nach dem CST-Regelwerk wird eine Stundenfrist genannt; der Text sagt "ohne unangemessene Verzögerung".

Risiken und Trade-offs

Eine Registrierung bei der CST und ein Betrieb im Königreich öffnen das Geschäft mit Kunden, die Daten staatlicher Stellen verarbeiten, binden aber an Prüfungen und Berichtspflichten. Daneben gilt für alle Anbieter, dass sie Anfragen, die mit saudischem Recht oder den geltenden Sicherheitsanforderungen in Konflikt stehen können, nur mit ausdrücklicher schriftlicher Zustimmung der CST nachkommen dürfen. Das kann mit Pflichten aus dem Heimatrecht kollidieren und gehört vor der Investition auf den Tisch.

Ohne Registrierung bleibt ein Anbieter auf Kunden ohne Daten staatlicher Stellen beschränkt, unterliegt aber nach dem Wortlaut trotzdem den Kundenschutzregeln des CST-Regelwerks, sobald er Kunden mit Wohnsitz oder Adresse im Königreich bedient. Wie die CST diese Regeln gegenüber Anbietern ohne Präsenz im Königreich durchsetzt, sagen die Quellen nicht.

Entscheidungspunkte

• Bedienen wir staatliche Stellen oder Unternehmen, die CNI besitzen, betreiben oder hosten, als Cloud-Kunden und übernehmen damit ECC und CCC?
• Betreiben oder kontrollieren wir Infrastruktur im Königreich, und wer verantwortet die Registrierung bei der CST?
• Für welche Klassifizierungsstufen wollen wir uns aufstellen, und welche Registrierungskategorie folgt daraus?
• Wie gehen wir mit Herausgabeanfragen um, die mit saudischem Recht oder Sicherheitsanforderungen in Konflikt stehen können und deshalb die ausdrückliche schriftliche Zustimmung der CST brauchen?

Praktische Empfehlungen

• Eine Glossarzeile in jede Projektdokumentation aufnehmen: Cloud-Kunde (Tenant) gegenüber CST (Kommission).
• Datenflussdiagramme je saudischem Kunden um Klassifizierungsstufe und Speicherorte ergänzen.
• Haftungsklauseln, Exit-Regelung, Kundendienst und Streitbeilegung im Vertragsmuster für Saudi-Arabien gesondert prüfen.
• Vor jeder Aussage zur Lokalisierung den Stand der NDMO-Vorgaben und der PDPL einholen (saudi-arabien-004 und saudi-arabien-005).
• Keine Aussage treffen, ein C5-Testat oder eine ISO-Zertifizierung erfülle die CCC.

Relevante Normreferenzen

• NCA Cloud Cybersecurity Controls CCC-2:2024: Scope of Work and Applicability, Implementation and Compliance, Domains and Structure, Anhang A (Stufen), Anhang D (Änderungen gegenüber CCC-1:2020).
• NCA Essential Cybersecurity Controls ECC-2:2024 als Grundlage (siehe saudi-arabien-002).
• CST Regulations for the Provision of Cloud Computing Services (RS10, vierte Fassung, Oktober 2023): Ziff. 2 (Begriffe), 3-1 (Geltungsbereich), 3-2 (Registrierung), 3-3 (Kundendaten, Klassifizierung, Standort, Meldung), 3-4 (Datenschutz), 3-5 (rechtswidrige Inhalte), 3-6 (Vertragsinformationen), 3-7 (Kundenschutz und Haftung), 3-8 (Qualität), 3-10 (Befugnisse der CST), 3-11 (Allgemeines).
• Abgrenzung: der deutsche Cloud-Kriterienkatalog im Track c5, ohne Gleichwertigkeitsurteil; ISO 27001 nur als Verweis im Track core-iso27001; NIS-2 und KRITIS in den Tracks nis2 und kritis; Datenschutz und Übermittlung nach PDPL in saudi-arabien-004 und saudi-arabien-005, die DSGVO im Track dsgvo; Finanzaufsicht in saudi-arabien-007; die Vereinigten Arabischen Emirate im Track vae.