Rechenzentren & Telekommunikation in Frankreich

Für ein Rechenzentrum in Frankreich betrachten wir Gebäude, technische Versorgung, Netzanbindung und Betriebsorganisation gemeinsam. Dazu gehören die Übergänge zwischen Eigentümer, Betreiber, Kunden und Dienstleistern: Wer hat Zugang zu kritischen Bereichen? Wer verantwortet Fernwartung und Änderungen? Wer entscheidet, wenn Versorgung, Verbindungen oder Systeme ausfallen?

Am Anfang steht die Einordnung des Betriebsmodells. Ein Colocation-Standort, ein Cloud-Dienst und ein öffentliches Telekommunikationsnetz können unterschiedliche Pflichten und Zuständigkeiten auslösen; bei Rechenzentrums- und Cloud-Diensten berücksichtigt NIS2 außerdem die Hauptniederlassung innerhalb der EU.[1] Wir klären deshalb zunächst den betrachteten Rechtsträger, seine Dienste und die Verantwortung am Standort.

Frankreich verfügt mit der „Sécurité des activités d’importance vitale“ über einen Schutzrahmen, der physische Sicherheit und Cybersicherheit zusammenführt. Staatlich benannte Betreiber von lebenswichtiger Bedeutung, die „Opérateurs d’importance vitale“ oder OIV, müssen ihre kritischen Standorte und Systeme schützen; Rechenzentren können als „Points d’importance vitale“ erfasst sein.[2]

Für betroffene Betreiber gehören Risikoanalysen, Sicherheits- und Schutzpläne, benannte Verantwortliche sowie Krisen- und Wiederanlaufplanung zum Rahmen. Die staatliche Einstufung ist dabei entscheidend: Aus der Nutzung eines Gebäudes als Rechenzentrum folgt noch kein OIV- oder PIV-Status.[2]

Für den Betrieb bedeutet das: Sicherheitsplanung, Zuständigkeiten und Nachweise müssen zum tatsächlichen Schutzauftrag passen. Wir führen diese Anforderungen mit den technischen und organisatorischen Abläufen des vereinbarten Standorts zusammen.

NIS2 legt einen Allgefahrenansatz zugrunde, der auch die physische Umgebung von Netz- und Informationssystemen umfasst. Für erfasste Rechenzentrums- und Cloud-Anbieter konkretisiert die unmittelbar geltende EU-Verordnung 2024/2690 unter anderem Versorgungssicherheit, physische Zutrittskontrolle, Geschäftskontinuität, Wiederherstellung und Lieferantenmanagement.[3][4]

Nach den offiziellen Veröffentlichungen zum Stand 14. November 2026 läuft die französische Umsetzung der NIS2-Richtlinie noch.[5][6] Parallel stellt ANSSI mit dem „Référentiel Cyber France“ eine Orientierung bereit, die derzeit als Arbeitsdokument und grundsätzlich nicht verpflichtendes Referenzwerk ausgewiesen ist.[7]

Auch die europäische CER-Richtlinie zur Resilienz kritischer Einrichtungen ist differenziert zu betrachten: Für als kritisch identifizierte Einrichtungen im Sektor digitale Infrastruktur nimmt Artikel 8 bestimmte Vorschriften aus; weitergehende nationale Resilienzregeln bleiben im Einklang mit dem Unionsrecht möglich.[8] Maßgeblich bleibt daher die konkrete Verbindung aus europäischem Rahmen und einschlägigen französischen Anforderungen.

Für die von Artikel D98-5 des französischen Code des postes et des communications électroniques erfassten Betreiber gelten eigenständige Anforderungen an risikogerechte technische und organisatorische Maßnahmen sowie die Kontinuität ihrer Dienste.[9] Sicherheitsvorfälle mit erheblichen Auswirkungen auf den Betrieb ihrer Netze oder Dienste sind dem Innenminister zu melden; hat ein solcher Vorfall einen tatsächlichen oder möglichen IT-Ursprung, ist zusätzlich die nationale Cybersicherheitsbehörde zu informieren.[10]

In der Sicherheitsarchitektur betrachten wir deshalb auch die Abhängigkeiten außerhalb des Gebäudes. Wir prüfen, welche Verbindungswege gemeinsam genutzte Trassen oder Übergabepunkte haben, wie Störungen erkannt werden und wie Betreiber und Dienstleister die Wiederherstellung koordinieren. So werden technische Ausweichmöglichkeiten mit klaren Zuständigkeiten und erprobbaren Abläufen verbunden.

Unser Prüfansatz führt die physischen, technischen und organisatorischen Perspektiven zusammen. Im Mittelpunkt stehen die tatsächlichen Abhängigkeiten des Standorts und die Nachweise für ihren sicheren Betrieb.

• Perimeter, Zutritt und Fremdpersonal: Wir betrachten Schutzbereiche, Berechtigungen, Begleitung, Alarmierung und Intervention als zusammenhängenden Ablauf.
• Brand, Energie und Kühlung: Wir prüfen die Schnittstellen zwischen Versorgung, Notbetrieb, Brandabschnitten und Wiederanlauf sowie mögliche gemeinsame Ausfallursachen.
• Betriebstechnik und Fernwartung: Wir betrachten Zugänge, Änderungen und Verantwortungsübergänge zwischen Gebäudeautomation, IT und externen Dienstleistern.
• Krise und Nachweise: Wir führen Eskalationswege, Wiederherstellungsplanung, Übungen und Dokumentation zu einem gemeinsamen Bild des Betriebs zusammen.

Die staatliche Dokumentation zum Straßburger Rechenzentrumsbrand im März 2021 nennt konstruktive Faktoren der Brandausbreitung im zerstörten Gebäude, fehlende automatische Löschung in den beschriebenen Räumlichkeiten und unzureichende Löschwasserressourcen am Standort.[11] Für unsere Prüfung ist entscheidend, wie Schutzmaßnahmen, Versorgung und Wiederanlauf im untersuchten Szenario zusammenwirken.

Besondere Kunden- und Datenanforderungen müssen im tatsächlichen Leistungsumfang abgebildet werden. Drei Beispiele sind für die Einordnung relevant:

• Sensible Cloud-Nutzung: SecNumCloud qualifiziert konkrete Cloud-Angebote; für bestimmte sensible staatliche Nutzungen bestehen entsprechende Vorgaben. Daraus folgt keine allgemeine SecNumCloud-Pflicht für jedes französische Rechenzentrum.[12]
• Gesundheitsdaten: Für das digitale Hosting der von Artikel L1111-8 erfassten personenbezogenen Gesundheitsdaten im Auftrag der dort genannten Personen oder Einrichtungen beziehungsweise des Patienten ist eine Zertifizierung erforderlich.[13] Der HDS-Leistungsumfang umfasst auch die Bereitstellung physischer Standorte für die entsprechende IT-Infrastruktur und die Aufrechterhaltung ihrer Betriebsfähigkeit.[14]
• Finanzkunden: DORA verlangt konkrete Vertragsregelungen zwischen Finanzunternehmen und IKT-Dienstleistern, unter anderem zu Leistungsorten, Sicherheit und Vorfallunterstützung sowie, bei kritischen oder wichtigen Funktionen, zu Prüfungsrechten und Ausstiegsregelungen.[15]

Am Standort kommen die jeweils einschlägigen Anlagen- und Umweltanforderungen hinzu. Das französische ICPE-Regime kann beispielsweise über Notstrom- und andere technische Anlagen relevant werden; Energieberichterstattung und Abwärmenutzung haben wiederum eigene Anwendungsbedingungen.[16][17]

Wir ordnen diese Anforderungen für den vereinbarten Untersuchungsbereich und verbinden sie mit Betriebsabläufen und vorhandenen Nachweisen. Gesetzliche Pflichten, Kundenvereinbarungen und technische Standards bleiben dabei nachvollziehbar getrennt.