Beschaffung von IAAS und PAAS Cloud Services durch die öffentliche Hand

Hansjörg Bühler – Soberano Sourcing GmbH

Beschaffungskonzept
Bevor sich die öffentliche Hand für die Beschaffung von IaaS (Infrastructure as a Service) und PaaS (Platform as a Service) Cloud Services entscheidet, sind einige Fragen zu klären. Insbesondere ist die Beschaffung über den Beschaffungszeitpunkt hinaus zusammen mit dem Betrieb zu betrachten (Life Cycle). Die Beschaffung ist somit Teil eines Beschaffungskonzepts, welches die Beschaffung ausgehend von der Strategie und unter Berücksichtigung des Transformationsprojektes in einen Gesamtzusammenhang stellt.

Neben den eigenen Bedürfnissen (Was ist die IT- und Beschaffungsstrategie? Wozu braucht es einen Cloud Service?) und den rechtlichen Rahmenbedingungen (Was ist datenschutzrechtlich zulässig?) muss die Beschaffungsstelle die Marktsituation auf dem Anbietermarkt kennen. Es bringt nichts, Leistungen auszuschreiben, die am Markt nicht oder nur zu hohen Kosten verfügbar sind. Wenn die Beschaffungsstelle nicht über die erforderlichen Kenntnisse über den Anbietermarkt verfügt, so sollte sie einen Berater beiziehen.

Cloud Services sind standardisierte und industrialisierte Leistungen, die vom Anbieter unabhängig von konkreten Kundenanfragen produziert werden. Selbstverständlich entsprechen diese Leistungen wie alle Normteile einer allgemeinen Kundenanforderung, denn sonst würde sie niemand kaufen. Aus Kundensicht sind sie insbesondere dann geeignet, wenn der Leistungsbezug variiert. Weil der Anbieter die Services vorhält, ist es einfach möglich, den Bezug von Leistungseinheiten kurzfristig zu erhöhen oder zu reduzieren. Diese Flexibilität hat aber auch Kosten, weil der Anbieter immer eine gewisse Leistungsreserve haben muss. Ist der Leistungsbezug relativ konstant, so ist die Produktion der Leistung mit einer klassischen Infrastruktur möglicherweise günstiger als der Bezug eines Cloud Service.

Cloud Services sind Leistungen, welche während einer bestimmten Dauer in spezifiziertem Umfang und in der im SLA definierten Qualität erbracht werden. Mit welchen technischen Mitteln der Anbieter diese Leistungen produziert, ist seine Sache. Der Kunde sollte deshalb keine Vorgaben zur IT-Infrastruktur des Anbieters machen. Solche verteuern die Leistungen oder schliessen im ungünstigsten Fall potentielle Anbieter ungewollt aus.

Zusammengefasst muss sich die Beschaffungsstelle im Vorfeld die folgenden Fragen stellen: Was habe ich heute? Was soll in Zukunft besser gemacht werden? Wird die gesuchte Lösung am Markt angeboten?

Transformationsprojekt
In der Informatik fällt der grosse Kostenblock nicht während der Projekt-, sondern in der Betriebsphase an. Es lohnt sich deshalb, den Betrieb hinsichtlich der Leistung, der Qualität und der Kosten zu optimieren. Dies geschieht im Transformationsprojekt, in welchem der gegenwärtige Zustand (CMO: Current Mode of Operation) in den zukünftigen Zustand (FMO: Future Mode of Operation) überführt wird.

Weil Cloud Services standardisierte Leistungen sind, wird sich der Anbieter nicht an die Bedürfnisse des Kunden anpassen. Vielmehr muss umgekehrt der Kunde seine eigenen Prozesse den standardisiert angebotenen Leistungen anpassen. Eine Individualisierung ist nur im Rahmen von allenfalls angebotenen Optionen möglich. Je grösser der geforderte Grad der Individualisierung, desto teurer wird der Cloud Service. Wer mit Cloud Services seine Kostenstruktur optimieren will, muss bereit sein, seine angestammten Prozesse zu überdenken. Transformationsprojekte sind deshalb – je nach Ausgangslage und Anpassungsbereitschaft – mit einem erheblichen organisatorischen Aufwand beim Kunden verbunden. In Transformationsprojekten für Cloud Services trägt deshalb der Kunde und nicht der Anbieter die Hauptlast. Dafür braucht es internes Know-how. Steht dieses nicht zur Verfügung, so muss es extern beschafft werden.

Vorbereitung der Ausschreibung
Eine erfolgreiche Ausschreibung setzt voraus, dass die technischen Anforderungen an den Cloud Service so beschrieben werden, dass sich Anbieter ein zuverlässiges Bild von den Anforderungen machen können. Die Leistungsbeschreibung erfolgt im Spannungsfeld zwischen den Bedürfnissen des Kunden auf der einen und den Marktverhältnissen auf der anderen Seite. Dabei ist es unabdingbar, dass die eigenen Bedürfnisse hinterfragt werden. Selbstverständlich dürfen und sollen die Bedürfnisse der Nutzer in die Formulierung der Anforderungen einfliessen. Diese sind aber nur eines von mehreren Kriterien und die für die Beschaffung verantwortliche Stelle ist gut beraten, den internen Auftraggebern frühzeitig klar zu machen, dass nicht jeder Wunsch erfüllt werden kann oder dass dies erhebliche Konsequenzen mit sich bringt.

Eine erfolgreiche Ausschreibung bedingt, dass sich 3-5 Anbieter verbindlich und mit zulässigen Angeboten um den Auftrag bewerben. Reichen weniger oder gar keine Anbieter Angebote ein, dann ist das ein Indiz dafür, dass der Ausschreibungsgegenstand zu eng oder zu weit weg vom Marktangebot formuliert wurde.

In diesem Zusammenhang kommt den Service Level Agreements (SLA) einige Bedeutung zu. Im SLA werden die folgenden, die Servicequalität bestimmenden Parameter (Service Level) definiert: Servicezeiten (Wann steht der Service zur Nutzung zur Verfügung?), Supportzeiten (Wann steht der Support zur Verfügung, so z.B. wann ist das Service Desk besetzt?), Reaktionszeiten (Wie lange dauert es zwischen einer Störungsmeldung und dem Beginn der Störungsbehebung?), Störungsbehebungszeiten, Verfügbarkeit (Wie hoch ist die Ausfallzeit im Verhältnis zur Betriebszeit gemessen über eine Zeitperiode?), RTO (Recovery Time Objective: maximal zulässiger Zeitraum bis zur Wiederaufnahme des Betriebs bei einem Ausfall) und RPO (Recovery Point Objective: maximal zulässiger Zeitraum, in welchem bei einem Ausfall Daten verloren gehen dürften).

Weil diese Parameter den Preis der Leistung beeinflussen, ist es wichtig, dass die Vergabestelle bei diesen Werten nicht einfach das Maximum verlangt, sondern sich auf diejenigen Werte einschränkt, die für den beabsichtigten Betrieb wirklich erforderlich sind. Zudem unterscheiden sich die SLA der Anbieter teilweise erheblich. Was der eine Anbieter als Standard Service anbietet, ist bei einem anderen Anbieter möglicherweise als Zusatzleistung mit Zusatzkosten verbunden. Vor allem aber ist es der Anbieter,
der seinen Service beschreibt und nicht der Kunde. Ein Kunde, der seinen Anbietern das SLA vorgibt, läuft grosse Gefahr, dass er seine Anforderungen entweder am Standard oder gar am Markt vorbei formuliert und demzufolge nur überteuerte oder im schlimmsten Fall gar keine Angebote erhält.

Eine Möglichkeit ist, die für das SLA relevanten Parameter als Zuschlagskriterium zu behandeln, dieses jedoch mit einem Minimalwert zu versehen. Die Einhaltung der Untergrenze wäre dann ein zwingendes technisches Kriterium, bei dessen Nichteinhaltung ein Angebot nicht berücksichtigt werden kann. Oberhalb des Minimalwertes wird das Angebot wie ein gewöhnliches Zuschlagskriterium bewertet.

Ausschreibung und Vertrag
In vertraglicher Hinsicht ist zwischen dem Transformationsprojekt und dem Betrieb zu unterscheiden. Beim Transformationsprojekt handelt es sich um einen Werkvertrag. Ein solcher ist erst mit der Ablieferung des abnahmereifen Arbeitsergebnisses erfüllt. Bis zu diesem Zeitpunkt steht dem Kunden der Rücktritt nach den Verzugsregeln offen, wenn der Anbieter nicht liefert. Dies gilt es vertraglich festzuhalten. Bei den Betriebsleistungen hingegen handelt es sich um ein Dauerschuldverhältnis, welches der Kunde bei einer Schlechterfüllung (und unterbliebener Mängelbehebung) lediglich kündigen, jedoch nicht mehr rückwirkend auflösen kann.

Bei klassischen Outsourcingverträgen hat sich durchgesetzt, dass sich der Kunde vom Anbieter zusichern lässt, dass dieser ihn bei Vertragsende bei der Rückübernahme der Services, resp. bei deren Übertragung auf einen anderen Provider, unterstützt. Ob auch Anbieter von Cloud Services bereit sind, solche Zusagen zu machen, hängt davon ab, ob sie überhaupt Projektressourcen zur Verfügung stellen. Das ist häufig nicht der Fall. In einem solchen Fall muss der Kunde selber sicherstellen, dass er eine Rückübernahme oder eine Übertragung durchführen kann.

Die grossen amerikanischen Cloud Anbieter haben für die Transformation ein Partnernetzwerk und führen diese nicht selber durch. Die Verträge werden dann jeweils durch die Partnerfirmen abgeschlossen.

Die Beschaffungsstelle hat die anwendbaren Beschaffungsbedingungen zwingend zu verwenden, nämlich die AGB Bund für Beschaffungen auf Bundesebene und die AGB SIK für Beschaffungen auf kantonaler Ebene. Weder die AGB Bund noch die AGB SIK sind jedoch auf die Beschaffung von Services ausgerichtet. Es braucht deshalb einen etwas ausführlicheren Vertrag, welcher die Beschaffungsbedingungen diesbezüglich ergänzt.

Eine Schwierigkeit ist, dass die kommerzielltechnische Servicebeschreibung und der Vertrag zusammenhängen. Oft finden sich deshalb im rechtlichen Vertragstext Klauseln, welche eigentlich den kommerziell-technischen Vertragsinhalt betreffen. Die Vergabestelle ist dann mit dem gleichen Dilemma konfrontiert, wie schon beim SLA. Eigentlich sollte man nämlich den Vertrag in der Ausschreibung vorgeben. Damit läuft man jedoch das Risiko, dass Anbieter sich nicht auf eine Ausschreibung bewerben, weil für sie die Verwendung ihrer eigenen Vertragsbedingungen eine nicht verhandelbare Voraussetzung ist.

Eine Lösungsmöglichkeit wäre, sich bei den vertraglichen Themen in der Ausschreibung nur auf ein paar wesentliche Punkte zu beschränken, wie etwa die Verwendung der Beschaffungsbedingungen, und diese dann in einem übergeordneten Vertragsdokument (Rahmenvertrag resp. MSA: Master Services Agreement) festzuhalten. Gleichzeitig könnte man Raum lassen für die Verwendung der Vertragsbedingungen des Lieferanten, solange auf der Stufe des MSA die Rangfolge der Vertragsdokumente (MSA und Beschaffungsbedingungen haben Vorrang vor den Anbieterbedingungen) geregelt ist.

Ob die Akzeptanz der Beschaffungsbedingungen als Eignungskriterium behandelt werden darf, ist rechtlich umstritten. Besser ist es, den Anbietern die Möglichkeit zu eröffnen, Vorbehalte anzubringen, und diese bei der Beurteilung des Angebots zu berücksichtigen.

Preise
Welcher Anbieter den günstigsten Preis anbietet, ist nicht leicht zu eruieren. Meistens unterscheiden sich nämlich die angebotenen Services hinsichtlich Service Katalog und SLA erheblich. Was bei einem Anbieter im Standardpaket eingeschlossen ist, muss bei einem anderen Anbieter möglicherweise als Zusatzleistung teurer dazugekauft werden. Ebenso ist z.B. bei IaaS Services ein Preisvergleich durch die enorme «Atomisierung» und Diversität der Preismodelle schwierig und erfordert grosse Fachkenntnisse. Ebenso schwierig wird auf der anderen Seite der Leistungsvergleich. So unterscheiden sich auch die effektive «Computing Power» einer CPU von Lieferant zu Lieferant.

Cloud Services werden oft mit einer über die Vertragsdauer gleichbleibenden Gebühr vergütet, allenfalls unter Vorbehalt einer Preiserhöhung infolge Inflation. Dies bedeutet, dass Anbieter die Kosten des Transformationsprojektes in die Betriebsgebühr einkalkulieren resp. über die Vertragsdauer abschreiben. Transparenter ist es, das Transformationsprojekt separat zu vergüten. Dadurch reduziert sich die Betriebsgebühr und der Kunde läuft nicht Gefahr, bei einer Verlängerung des Vertrags über die ursprüngliche
Dauer hinaus Kosten zu vergüten, die gar nicht mehr anfallen.

Aber auch darüber hinaus sollte der zukünftigen Kostenentwicklung Beachtung geschenkt werden. Die Kosten für ein definiertes Leistungspaket sind in der Informatik in der Vergangenheit nämlich immer gesunken. Wenn sich das nicht immer in einer Preisreduktion auswirkt, dann deshalb, weil sich gleichzeitig die Leistung erhöht hat. Für den Einkauf von ITServices bedeutet dies, dass die Preise bei gleicher Leistung über die Dauer des Leistungsbezugs sinken sollten. Wer auch nach 5 Jahren immer noch den gleichen Preis bezahlt wie bei Vertragsabschluss, zahlt verglichen mit den Marktpreisen in 5 Jahren vermutlich zu viel.

Um Preise über die Vertragsdauer dem Marktniveau anzupassen, lassen sich Kunden oft eine Option auf ein Benchmarking zusichern. Mit einem solchen Marktvergleich sollen die Preise über die Vertragsdauer auf Marktniveau gehalten werden. In der Praxis ist die Durchsetzung eines Benchmarking kompliziert und mit erheblichen Kosten verbunden. Solche Klauseln bleiben deshalb oft toter Buchstabe.

Eine andere Option ist, sich vom Anbieter eine jährliche Preisreduktion zusichern zu lassen. Das wird indessen nur bei Leistungen möglich sein, bei denen der Anbieter die Preisreduktion antizipieren oder selber beeinflussen kann. Ohne grossen Konkurrenzdruck und Preistransparenz besteht die Gefahr, dass die Anbieter diese Kostenreduktionen aber bereits einkalkulieren.

Im Anwendungsbereich des Beschaffungsrechts des Bundes sind Preisverhandlungen zulässig, dies im Unterschied zu den Kantonen, die Preisverhandlungen verbieten. Hier könnte man versuchen, unter Berufung auf das Argument des Preiszerfalls in den Verhandlungen einen tieferen Preis zu erhalten.

Oft jedoch ist eine Neuausschreibung das einzige Mittel, um die Preise einem reduzierten Marktniveau anzupassen. Dies bedingt zweierlei: Erstens sollen die Services möglichst nahe an einem Marktstandard konzipiert werden, so dass der Anbieter später leichter ersetzt werden kann. Und zweitens sollte eine angemessen kurze Vertragsdauer gewählt werden. Wer grosse Volumen einkauft, kann von Anfang an eine Mehrlieferanten-Strategie evaluieren, welche diese periodische Neuausschreibung gewissermassen institutionalisiert. Ebenso ermöglicht dieses Multi Vendor Modell einen permanenten Preisvergleich und damit eine laufende Optimierung. Auf der anderen Seite müssen dazu die Service Architekturen und das Service
Management entsprechend gestaltet werden. Zudem müssen die Kompetenzen beim Kunden für die Umsetzung vorhanden sein oder aufgebaut werden.

Zusammenfassung und Empfehlungen

1. Es braucht einen guten Grund, um die IT in die Cloud auszulagern. Die Beschaffung eines Cloud Service ist insbesondere dann sinnvoll, wenn der Bedarf variiert.
2. Wer ausschreibt, muss den Markt kennen.
3. Es sollen möglichst keine technischen Vorgaben zur IT-Infrastruktur gemacht werden. Es wird ein Service und nicht primär eine IT-Technologie eingekauft.
4. Die AGB Bund oder die AGB SIK sind zwingend zu verwenden. Bei der Vertragsgestaltung ist jedoch Flexibilität gefordert.
5. Ein Preisvergleich von Cloud Services ist anspruchsvoll. Es sollen nicht Äpfel mit Birnen verglichen werden.
6. Über eine längere Zeit abgeschlossene Verträge werden aufgrund sinkender Marktpreise mit fortschreitender Dauer immer teurer.
7. Die Steuerung der IT-Kosten bei «pay as you use»-Modellen und die Abstimmung mit der Budgetierung wird eine wichtige Aufgabe.
8. Das Transformationsprojekt ist entscheidend für den Erfolg der Beschaffung. Das Transformationsprojekt sollte separat vergütet und nicht in die Betriebsgebühr eingerechnet werden.

Dr. Urs Egli – epartners.ch