Kubernetes-Bausteine für regulierte Branchen

Wichtig: Die endgültige Compliance-Bewertung (BaFin BAIT/VAIT, DORA, KRITIS, Patientendatenschutz) erfolgt durch den Kunden in dessen regulatorischem Kontext — focusnet liefert die Infrastruktur und die Nachweise (AVV, Zertifikate, TOM-Katalog etc.).

• ISO 27001 zertifiziert + PCI DSS Level 2
• BSI C5 in Vorbereitung (Q3/2026)
• DSGVO Art. 28 konform
• NIS2-Compliant
• Bausteine für BAIT/VAIT/DORA-Auslagerungs-Architekturen
• Kein US CLOUD Act — deutsche Jurisdiktion

Für eine erste strukturierte Einordnung starten Sie den kostenlosen NIS2 Readiness Check.

Cloud-native trifft Regulierung: Die besondere Herausforderung

Regulierte Unternehmen stehen bei Kubernetes vor einer doppelten Herausforderung: Die Technologie ist komplex, und die regulatorischen Anforderungen lassen keinen Spielraum für Fehler.

Die Kernfragen Ihrer Compliance-Abteilung:

• Wo genau laufen unsere Workloads? In welchem Rechenzentrum, auf welcher Hardware?
• Wer hat Zugriff auf die Infrastruktur? Gibt es Zugriff durch ausländische Behörden?
• Sind die Daten im Transit und at Rest verschlüsselt?
• Gibt es Audit-Trails für alle administrativen Aktionen?
• Wie ist die Mandantentrennung sichergestellt?
• Erfüllt der Anbieter ISO 27001? Hat er ein ISMS?
• Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO?
• Wie werden Sicherheitsvorfälle gemeldet?

Bei focusnet lautet die Antwort auf jede dieser Fragen: Ja, das ist sichergestellt.

focusnet Compliance im Überblick

ISO 27001: Was das für Ihre Infrastruktur bedeutet

focusnet betreibt ein zertifiziertes Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001. Das umfasst:

Organisatorische Maßnahmen:

• Dokumentierte Sicherheitsrichtlinien und -prozesse
• Regelmäßige Risikoanalysen und -bewertungen
• Definierte Rollen und Verantwortlichkeiten
• Schulung und Sensibilisierung aller Mitarbeiter
• Regelmäßige interne und externe Audits
• Management-Reviews und kontinuierliche Verbesserung

Technische Maßnahmen:

• Verschlüsselung in Transit (TLS 1.3) und at Rest
• Multi-Faktor-Authentifizierung für alle administrativen Zugänge
• Netzwerksegmentierung und Firewall-Regeln
• Intrusion Detection und Prevention
• Regelmäßige Vulnerability Assessments
• Patch-Management mit definierten SLAs

Physische Maßnahmen:

• Zutrittskontrollen zu Rechenzentren (biometrisch + Chipkarte)
• Videoüberwachung und Alarmsysteme
• Redundante Stromversorgung (USV, Diesel-Generatoren)
• Klimatisierung und Brandschutz
• Georedundante Backup-Standorte

DSGVO-Konformität: Mehr als nur ein Standort

Auftragsverarbeitungsvertrag (AVV)

focusnet stellt allen Kunden einen vollständigen AVV gemäß Art. 28 DSGVO bereit:

• Gegenstand und Dauer der Verarbeitung klar definiert
• Art und Zweck der Verarbeitung dokumentiert
• Technische und organisatorische Maßnahmen (TOMs) im Anhang
• Subunternehmer-Verzeichnis vollständig und transparent
• Weisungsbindung — focusnet handelt nur nach Kundenanweisung
• Kontrollrechte — Audit-Möglichkeit für den Auftraggeber
• Datenlöschung — Dokumentierte Prozesse nach Vertragsende
• Meldepflichten — Fristgerechte Benachrichtigung bei Vorfällen

Verarbeitungsverzeichnis

focusnet führt ein Verarbeitungsverzeichnis nach Art. 30 DSGVO. Auf Anfrage stellen wir Ihnen die relevanten Informationen für Ihr eigenes Verzeichnis bereit.

Datenschutz-Folgenabschätzung (DSFA)

Für Verarbeitungen mit hohem Risiko (z.B. Gesundheitsdaten) bietet focusnet Unterstützung bei der Erstellung der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Unsere technischen und organisatorischen Maßnahmen sind dokumentiert und auditierbar.

Branchenspezifische Compliance

Finanzdienstleistungen: BAIT, MaRisk, VAIT, DORA

Relevante Regulatorik (kurz erklärt):

• MaRisk (Mindestanforderungen an das Risikomanagement der BaFin): Anforderungen an IT-Auslagerungen — Auslagerungsmeldung, Risikoanalyse, Vertragsgestaltung
• BAIT (Bankaufsichtliche Anforderungen an die IT, BaFin-Rundschreiben): Detailregelungen für Informationsrisikomanagement, IT-Strategie, IT-Betrieb, Berechtigungsmanagement, Notfallübungen
• VAIT (Versicherungsaufsichtliche Anforderungen an die IT): Analoges Rundschreiben für Versicherer (§ 26 VAG)
• DORA (Digital Operational Resilience Act, EU 2022/2554, seit 17.01.2025 verbindlich): EU-weite Verordnung für Finanz-IT — verpflichtende TLPT-Tests, Subunternehmer-Register, verschärfte Vorfallsmeldungen

Wie focusnet diese Anforderungen unterstützt:

Was der Kunde selbst leisten muss (egal welche Plattform er wählt):

• Auslagerungsmeldung an BaFin / Cloud-Anzeige
• Risikoanalyse und Cloud-Risk-Assessment
• Vertragliche Steuerung (Service-Level, Exit-Strategie)
• Notfallübungen mit der eigenen Anwendung
• Bei DORA: Aufnahme in eigenes IKT-Subunternehmer-Register

Dedizierte Infrastruktur für den Finanzsektor: Bei einem dedizierten Cluster hat der Kunde dedizierte Hardware mit eigenen Control-Plane- und Worker-Nodes, eigenem VLAN und eigener Public IP. focusnet managed weiterhin die Control Plane (Updates, Patches). Keine geteilte Infrastruktur mit anderen Kunden — ein Baustein für die Mandantentrennung, die BaFin im Rahmen der Auslagerung erwartet.

Gesundheitswesen: Patientendaten und Art. 9 DSGVO

Relevante Regulatorik:

• DSGVO Art. 9: Besondere Kategorien personenbezogener Daten (Gesundheitsdaten)
• Patientendatenschutzgesetz (PDSG): Anforderungen an IT-Systeme im Gesundheitswesen
• Konnektordienste/TI: Telematikinfrastruktur-Anbindung
• DiGA-Verordnung: Digitale Gesundheitsanwendungen

Wie focusnet Gesundheitsdaten schützt:

Öffentlicher Sektor: BSI und IT-Grundschutz

Relevante Regulatorik:

• BSI IT-Grundschutz: Rahmenwerk für Informationssicherheit
• EVB-IT Cloud: Ergänzende Vertragsbedingungen für Cloud-Dienste
• Onlinezugangsgesetz (OZG): Digitale Verwaltungsdienste

focusnet für den öffentlichen Sektor:

• Deutsche Infrastruktur ohne US-Abhängigkeit
• ISO 27001 als Basis für BSI-Grundschutz-Konformität
• AVV und Compliance-Dokumentation für Vergabeverfahren
• Dedizierte Cluster für maximale Isolation

Audit-Trails und Nachweispflichten

focusnet bietet umfangreiche Audit-Möglichkeiten:

Kubernetes Audit Logs:

• Alle API-Requests werden protokolliert
• Wer hat wann was geändert? — lückenlos nachvollziehbar
• Export in externe SIEM-Systeme möglich

Rancher Audit Logs:

• Alle Aktionen in der Rancher UI werden protokolliert
• Login-Events, Rollenzuweisungen, Konfigurationsänderungen
• Benutzer- und zeitstempelbasierte Filterung

Infrastruktur-Logs:

• Node-Events und System-Logs
• Netzwerk-Events über KubeOVN (Flow-Counts, Policy-Treffer)
• Storage-Events und Kapazitätsänderungen

Audit-Rechte und wie sie praktisch funktionieren:

Nach Art. 28 DSGVO und im Rahmen unserer Verträge stehen Auftraggebern Kontroll- und Prüfrechte zu. In der Praxis bieten wir mehrstufige Audit-Optionen — Vor-Ort-Audits durch jeden Einzelkunden wären weder umsetzbar noch im Sinne der anderen Mandanten:

Defense in Depth: Mehrschichtige Sicherheit

Layer 1: Physische Sicherheit
   |-- ISO 27001 zertifizierte Rechenzentren
   |-- Biometrische Zugangskontrollen
   |-- Videoüberwachung, Brandschutz, USV

Layer 2: Netzwerk-Sicherheit
   |-- Dedizierte VLANs
   |-- Kubernetes Network Policies + erweiterte L7-Policies (KubeOVN)
   |-- Virtuelle und physische Firewalls

Layer 3: Cluster-Sicherheit
   |-- RKE2 (sicherheitsgehärtet)
   |-- Pod Security Standards
   |-- RBAC mit Least-Privilege-Prinzip
   |-- Kubernetes Audit Logging

Layer 4: Anwendungs-Sicherheit
   |-- Harbor Vulnerability Scanning
   |-- Image Signing (Notary)
   |-- Admission Controllers
   |-- Runtime Security (Add-on)

Layer 5: Daten-Sicherheit
   |-- Encryption at Rest
   |-- TLS 1.3 in Transit
   |-- Backup & Recovery
   |-- Datenlöschungsprozesse

NIS2: Vorbereitet auf die neue EU-Cybersicherheitsrichtlinie

Die NIS2-Richtlinie (EU 2022/2555) erweitert ab 2025 den Kreis der betroffenen Unternehmen massiv. Finanzdienstleister, Gesundheitseinrichtungen und digitale Infrastruktur fallen unter die verschärften Anforderungen.

Betroffene Sektoren:

• Finanzmarktinfrastrukturen
• Gesundheitsdienstleister
• Digitale Infrastruktur
• ICT-Service-Management (B2B)
• Öffentliche Verwaltung

focusnet NIS2-Maßnahmen:

• Risikomanagement nach ISO 27001
• Incident-Response-Prozesse mit definierten Meldefristen (24h Frühwarnung, 72h Detailmeldung)
• Business Continuity Management mit georedundanten Datacenter-Standorten
• Supply-Chain-Steuerung: Plattform-Software und Betrieb vollständig unter deutscher Kontrolle; Hardware-Komponenten (Compute, GPU, Netzwerk) kommen wie bei jedem Cloud-Anbieter aus globalen Lieferketten, werden aber in unseren deutschen Rechenzentren betrieben — kein US-Cloud-Anbieter und kein US-Mutterkonzern hat Zugriff auf die Plattform-Steuerung
• Verschlüsselung in Transit (TLS 1.3) und at Rest, Zugriffskontrolle (RBAC + MFA)
• Vulnerability Management und regelmäßige Assessments
• Schulung und Awareness für eigene Mitarbeiter

Empfohlene Architektur für maximale Compliance

Empfohlenes Setup:

• Dedizierter Cluster L oder XL — keine Shared-Infrastruktur
• SUSE Observability — Logs, Metrics und Traces in einem; deckt Monitoring- und Logging-Anforderungen für Audit-Trails ab
• SUSE NeuVector — Container Security mit Image-Scanning, Runtime Protection und Compliance-Reports
• S3-Storage — Für Backup-Archivierung und Datenexport

Kosten für eine Compliance-optimierte Umgebung (Dedicated L):

Mit 36-Monats-Commitment (−35 % auf K8s + Management; Add-Ons unrabattiert; S3 unrabattiert): ca. 964 €/Monat.

Vergleich: Ein dedizierter Kubernetes-Administrator für eine BaFin-/Healthcare-konforme Eigenbetrieb-Lösung kostet allein 3.000–5.000+ €/Monat — ohne Hardware, Storage, Lizenzen oder die Compliance-Dokumentation.

Vertragsbedingungen: Kündigung 30 Tage zum Monatsende, keine Mindestlaufzeit (außer bei freiwilligem Commitment-Discount: −15 / −25 / −35 % bei 12 / 24 / 36 Monaten). Angebot ausschließlich für Unternehmer im Sinne des § 14 BGB (B2B). Egress-Traffic: Tier-spezifisches Fair-Use-Kontingent, keine harten Limits (Dedicated 500 GB / vCPU, Flex und Business 250 GB / vCPU). Interner Traffic immer unbegrenzt. SLA: 99,9 % Verfügbarkeit für Flex, Business und Dedicated.

FAQ

1. Kann ich focusnet für BaFin-regulierte Workloads nutzen?

focusnet bietet die technische Infrastruktur, die den Anforderungen der BaFin (BAIT/MaRisk) an IT-Auslagerungen entspricht: ISO 27001, dedizierte Infrastruktur, AVV, Audit-Recht, Incident-Response-Prozesse. Die endgültige Compliance-Bewertung obliegt Ihrer Compliance-Abteilung und ggf. der BaFin.

2. Erfüllt focusnet die Anforderungen für Gesundheitsdaten (Art. 9 DSGVO)?

focusnet bietet die technischen und organisatorischen Maßnahmen, die für die Verarbeitung besonderer Kategorien personenbezogener Daten erforderlich sind: Verschlüsselung, Zugriffskontrolle, Audit-Trails, dedizierte Infrastruktur, Datacenter-Standorte in Deutschland. Die datenschutzrechtliche Verantwortung für die Verarbeitung liegt beim Verantwortlichen (Ihnen).

3. Bietet focusnet Unterstützung bei Audits?

Ja. focusnet stellt Audit-Logs, Compliance-Dokumentation und technische Informationen für Ihre internen und externen Audits bereit. Auf Anfrage unterstützen wir bei Aufsichts-Audits und stellen die notwendige Dokumentation bereit.

4. Wie werden Sicherheitsvorfälle gemeldet?

focusnet hat definierte Incident-Response-Prozesse. Sicherheitsvorfälle werden gemäß DSGVO Art. 33 innerhalb von 72 Stunden an betroffene Kunden gemeldet. Für NIS2-relevante Vorfälle gelten die verschärften Meldefristen (24h Frühwarnung, 72h Detailmeldung).

5. Welcher Tier ist für Compliance-Workloads geeignet?

Für Compliance-kritische Workloads empfehlen wir K8s Dedicated, weil dort vollständige Infrastruktur-Isolation gegeben ist (dedizierte VMs mit eigenen CP- und Worker-Nodes, eigenes VLAN, eigene IP; focusnet managed weiterhin die Control Plane). K8s Business (vCluster Virtual) bietet eine isolierte Control Plane in Shared Hardware mit eigener IP — geeignet für viele Compliance-Anforderungen, die keine vollständige Hardware-Isolation verlangen. Free Tier und Flex sind für Compliance-Workloads in der Regel nicht geeignet.

6. Gibt es eine dedizierte Ansprechperson für Compliance-Fragen?

Ja. Für Kunden mit Compliance-Anforderungen bieten wir einen dedizierten Ansprechpartner, der bei regulatorischen Fragen, Audit-Vorbereitung und Compliance-Dokumentation unterstützt.

Compliance-konformes Kubernetes — ohne Kompromisse

ISO 27001, DSGVO, NIS2 — focusnet bietet die Infrastruktur für regulierte Unternehmen. 14 Tage kostenlos testen oder direkt ein Beratungsgespräch vereinbaren.