Europäische Zertifizierung für Rechenzentren

Die Normenreihe EN 50600 soll Betreibern von Data Centern einen Wettbewerbsvorteil verschaffen – und deren Kunden mehr Sicherheit. Die COMPUTERWELT sprach mit Peter Wörgötter, der als Auditor der Zertifizierungsorganisation CIS tätig ist. [...]

Trotz des steigenden Bedarfs gibt es bisher nur wenige Standards, die für die Zertifizierung einer Rechenzentrum-Lokation in ihrer Gesamtheit herangezogen werden können. Neben den zahlreichen allgemeinen Produktnormen und Vorgaben für Gebäudeteile, Anlagen und Systeme bietet laut Peter Wörgötter, Auditor der Zertifizierungsorganisation CIS, derzeit nur der amerikanische Standard ANSI/TIA-942 in seiner aktuell verfügbaren Revision „A“ aus dem Jahr 2012 einen internationalen Bekanntheitsgrad sowie einen umfassenden und allgemein zugänglichen Infrastrukturprüfkatalog als Basis für eine Zertifizierung.

Durch die Normenreihe EN 50600 „Einrichtungen und Infrastrukturen von Rechenzentren“ soll das Manko eines fehlenden Standards innerhalb der europäischen Grenzen behoben werden. In dieser Normenreihe sollen grundsätzliche Themen wie die Gebäudekonstruktion, die Energieversorgung, die Klimatisierung, die ­Sicherheitstechnik sowie der Bereich ­Management und Betrieb umfassend abgedeckt werden.

„Schon die Gliederung der einzelnen Normen lässt eine Anlehnung an den Strukturen der ANSI/TIA-942-A-2012 erkennen. Nach Einsichtnahme in die erste bereits veröffentlichte Fassung der EN 50600-1 ‚Allgemeine Konzepte‘ bestätigt sich diese strukturelle Orientierung, da auch ein vierstufiges Ratingsystem für die Rechenzentrum-Verfügbarkeit angewendet wird“, sagt Wörgötter. Die Definitionen der vier Stufen im Ratingsystem der ANSI/TIA-942-A-2012 lauten:

• Stufe 1: „Basis“
• Stufe 2: „Redundante Komponenten“
• Stufe 3: „Konkurrierende Instandhaltung“
• Stufe 4: „Fehlertolerant“

Die Normen und Anforderungen von ANSI/TIA-942-A-2012 sind auf den nordamerikanischen Raum ausgelegt und können in Europa teilweise nur bedingt umgesetzt werden. Als Beispiel nennt der CIS-Auditor im Gespräch mit der COMPUTERWELT die spezielle Bauweise in den USA, wo nicht selten von Holzverschalung   die Rede ist, wenn es um die Sicherung von Rechenzentrumsräumen geht.
 
Die EN 50600-Norm soll Schritt für Schritt fertiggestellt werden. Im Juni 2013 wurde mit EN 50600-1 der allgemeine Teil veröffentlicht. Es folgen die Subnormen „Gebäudekonstruktion“ (EN 50600-2-1), „Stromversorgung“ (EN 50600-2-2), „Regelung der Umgebungsbedingungen“ (EN 50600-2-3) und „Infrastruktur der Telekommunikationsverkabelung“ (EN 50600-2-4), die alle in Sachen Struktur dem amerikanischen Vorbild angelehnt sind. In Europa kommen die beiden Gruppen ­“Sicherungssysteme“ (EN 50600-2-5) und „Informationen für das Management und den Betrieb“ (EN 50600-2-6) extra hinzu.

Peter Wörgötter weist darauf hin, dass für die Anwendung – etwa bei Bewertungen in Audits – der erste Teil immer mit der jeweils zutreffenden Fachgrundnorm der Reihe EN 50600-2-x kombiniert werden muss. „Diese Fachgrundnormen sind derzeit noch nicht verfügbar oder befinden sich im Entwurfsstatus. Somit kann die EN 50600 aktuell noch nicht für die Anwendung bei Audits herangezogen werden“, so der CIS-Auditor. Die fehlenden Teile sollen voraussichtlich bis spätestens Ende 2014 veröffentlicht werden.

Damit heimische Rechenzentrumsbetreiber nicht so lange warten müssen, bietet die CIS schon jetzt eine RZ-Zertifizierung an, derzeit noch nach dem amerikanischen Vorbild ANSI/TIA-942-A-2012. Das erste zertifizierte Unternehmen ist das Tiroler Telekomunternehmen Brennercom. Mit Erscheinen der EN 50600-Serie sollen die Prüfpunkte Zug um Zug an diesen europäischen Standard angepasst werden. Ebenfalls vorgesehen ist, dass bereits bestehende RZ-Zertifikate der CIS im Rahmen von Überwachungs- und Re-Zertifizierungsaudits auf Basis von EN 50600 aktualisiert werden.

ISO 20000- UND 27001-INTEGRATION
Im ersten Teil der EU-Norm sind neben den Anforderungen von RZ-Lokationen und deren Infrastruktur auch Elemente für die Analyse des Geschäftsrisikos enthalten. „Wer hier bereits über Erfahrungen und eine Systematik aus dem Managementsystem für Informationssicherheit nach ISO 27001 oder dem IT-Service-Management nach ISO 20000 verfügt, generiert einen klaren Vorteil“, sagt Peter Wörgötter. „Die Vorgaben zur physischen und umgebungsbezogenen Sicherheit decken sich, sind in der RZ-Normenreihe jedoch wesentlich detaillierter auf die Anforderungen hin definiert. Die Integration ist somit jedenfalls möglich und empfehlenswert.“ (su)