Leitfaden
Wie man einen Cloud- oder Managed-Service-Provider in den VAE einrichtet
Die kurze Antwort
Ein Cloud- oder Managed-Service-Unternehmen beginnt in der Regel als gewöhnliche Handelslizenz, und die Frage ist, welche Behörden darüber hinaus ein Wort mitzureden haben. Zu prüfen sind die Telecommunications and Digital Government Regulatory Authority (TDRA), falls ein Teil des Dienstes wie Telekommunikation aussieht, und der UAE Cyber Security Council, hinsichtlich der Cybersicherheitserwartungen. Das Datenschutzrecht gilt unabhängig davon, was die Lizenz besagt.
Was die Einordnung am häufigsten entscheidet, ist die Dienstgrenze: ob das Unternehmen weiterverkauft, Infrastruktur betreibt oder die eigenen Umgebungen von Kunden betreibt. Diese Antwort bestimmt die Verträge, Versicherungen, das Personal und die Genehmigungen. Sie entscheidet auch, ob die Telekommunikationsfrage eine formelle Prüfung wert ist.
Das Servicemodell vor der Lizenz festlegen
Die meisten Gründer beschreiben vier Modelle. Jedes bringt dem Unternehmen unterschiedliche Pflichten:
- Weiterverkauf eines Hyperscalers im Rahmen einer Partnervereinbarung.
- Betrieb privater oder öffentlicher Cloud-Infrastruktur.
- Verwaltung des Betriebs in kundeneigenen Umgebungen.
- Kombination von Hosting, Backup, Sicherheit und Support.
Ein Wiederverkäufer trägt Pflichten zu Partnerakkreditierung, Abrechnung und Support. Ein Betreiber trägt Hardware, Einrichtungen, Verfügbarkeit und Wiederherstellung. Ein Anbieter von Managed Services trägt privilegierten Zugriff auf die Systeme anderer. Ein Paket trägt all das zugleich. Ein Anbieter, der Rechnungsdaten zwischen Unternehmen überträgt, ist ein anderer Fall, behandelt im Leitfaden zu Anbietern für E-Rechnungen.
Wenn mehr als ein Modell zutrifft, ist eher mit einer Gruppe als mit einem einzelnen Unternehmen zu rechnen. Ein Anlageneigentümer, ein Betreiber und eine mit dem Kunden kontrahierende Einheit sind häufig getrennt. Kreditgeber und Ankerkunden drängen in der Regel auf diese Trennung. Ein einzelnes Unternehmen, das Hardware, Schulden und Kundenrisiko zugleich trägt, lässt sich schwerer finanzieren.
Wo die Regulierungsgrenze liegt
Das Risiko ist ein Dienst, der unbemerkt über eine Grenze hinausdriftet; deshalb wird die Position bei den Behörden bestätigt, statt sie anzunehmen. Diese Punkte sollten frühzeitig geprüft werden:
- Ob ein Teil des Dienstes eine Telekommunikationstätigkeit statt eines IT-Dienstes ist. Das ist eine Frage für die TDRA.
- Welche Cybersicherheitsstandards der Sektor des Kunden von seinen Anbietern erwartet und was der UAE Cyber Security Council dazu veröffentlicht hat, das für den Dienst relevant ist.
- Ob das Unternehmen für jeden Datensatz, mit dem es in Berührung kommt, Verantwortlicher oder Auftragsverarbeiter ist.
- Wo Unterauftragsverarbeiter angesiedelt sind und ob Daten eine Grenze überschreiten.
- Was die vorgeschaltete Anbietervereinbarung zulässt, da eine Partnervereinbarung mit einem Hyperscaler den Weiterverkauf und das White-Labelling einschränken kann.
Dass eine Prüfung ein Problem aufdeckt, bedeutet nicht, dass eine Genehmigung erforderlich ist. Es bedeutet, dass die Position einer faktenbasierten Prüfung bei der betroffenen Behörde bedarf. Ein Unternehmen als Technologieplattform zu bezeichnen, stellt es nicht außerhalb der Regulierung, wenn der Kundenprozess eine kontrollierte Funktion ausübt.
Halten Sie die Position schriftlich fest: was das Unternehmen baut und betreibt, was es nicht tut, welche Funktionen bei zugelassenen Partnern liegen und welche Expansionsschritte die Antwort ändern würden. Vermieter, Kreditgeber und Banken verlangen dies ebenso wie Unternehmenskunden im Rahmen der Beschaffung.
Strukturentscheidungen, die die Antwort verändern
- Wo die Infrastruktur im Eigentum steht und welche Regionen sie bedient.
- Ob das Unternehmen als Auftraggeber, Vertreter oder Wiederverkäufer kontrahiert.
- Wer für Backup, Wiederherstellung und Sicherheitsverwaltung verantwortlich ist.
- Wie Kundendaten getrennt werden und wer privilegierten Zugriff hat.
- Wie Servicegutschriften, Haftungsobergrenzen und Cyberversicherung zusammenpassen.
Die Rechtseinheit, die Kundenverträge unterzeichnet, sollte über die Mitarbeiter, Systeme und das Risiko verfügen, die zur Erbringung dieser Leistungen nötig sind. Ein vermögenshaltendes Vehikel, eine IP-Gesellschaft oder eine ausländische Muttergesellschaft können an anderer Stelle der Gruppe sitzen, aber jede braucht eine echte Rolle. Eine Struktur, die darauf ausgelegt ist, einen niedrigen Gründungspreis zu bewerben, führt häufig zu Rückfragen der Bank und zu Nacharbeit. Für rechenintensive Modelle, die von Strom und Hardware abhängen, behandelt der KI-Compute-Leitfaden die zusätzliche Ebene.
Rollen, Personen und Substanz
Ein Managed-Service-Provider ist seine Mitarbeiter. Ingenieure verfügen über Administratorrechte an den Systemen der Kunden, daher braucht das Unternehmen für jeden der folgenden Punkte einen namentlich benannten Verantwortlichen:
- Sicherheitsbetrieb und Eskalation von Vorfällen.
- Datenschutz, einschließlich der Verarbeiterbedingungen, die Kunden verlangen werden.
- Leistungserbringung gemessen an den vertraglich vereinbarten Wiederherstellungszielen.
- Finanzen und Vertragsmanagement.
Jede Person benötigt Aufenthalts- und Arbeitsstatus, bevor sie Kundenumgebungen berührt. Geschäftsräume spielen ebenfalls eine Rolle, jedoch weniger für einen Wiederverkäufer als für einen Betreiber mit im Rack montierter Hardware. Kunden lesen die Team-Seite und das Organigramm als Nachweis wirtschaftlicher Substanz, und Banken tun dasselbe.
Wie das Geld fließt und worauf eine Bank achtet
Die Einnahmen in diesem Sektor sind wiederkehrend: monatliche Rechnungen, nutzungsbasierte Abrechnung, Partnerrabatte und manchmal durchlaufende Gebühren. Kosten werden oft im Ausland an Hyperscaler und Hardwarelieferanten in Fremdwährung gezahlt. Eine Bank prüft, wer die Kunden sind, wo die Lieferanten sitzen und ob die Verträge die Zahlungsströme erklären.
Seien Sie bereit, Folgendes vorzulegen:
- Lieferanten- und Rechenzentrumsverträge.
- Ein Servicekatalog und eine Verantwortlichkeitsmatrix.
- Informationssicherheitsrichtlinien.
- Nachweise zur Geschäftskontinuität und Notfallwiederherstellung.
- Support-Abdeckung und Eskalation von Vorfällen.
Das Ziel ist, dass das Deck, das Finanzmodell, die Verträge und die Bankunterlagen eine einheitliche Geschichte erzählen. Genau darauf ist Bankkonto-Bereitschaft für Unternehmen ausgerichtet, und Businessplan und Dokumentation wird meist zum Referenzdokument. Konsistenz beseitigt vermeidbare Rückfragen. Sie garantiert kein Konto, keine Finanzierung und keine Genehmigung.
Was häufig schiefgeht
- Die Service-Level-Bedingungen eines Hyperscalers zu übernehmen, ohne den Betrieb zu haben, der sie trägt.
- Standorte von Subprozessoren in Kundenverträgen nicht offenzulegen.
- Hosting für regulierte Branchen zu verkaufen, bevor die Kontrollanforderungen des Kunden erfüllt sind.
- Telekommunikationsähnliche Konnektivität mit IT-Dienstleistungen zu bündeln, ohne die Abgrenzung zu prüfen.
- Einen Kundenvertrag über eine Entität zu unterzeichnen, die über keine der Kapazitäten zur Leistungserbringung verfügt.
- Gründungsgebühren zu vergleichen, statt ganze Gründungswege zu betrachten, einschließlich der Verlängerungskosten, der Personalausstattung und der Kosten einer Restrukturierung nach Vertragsunterzeichnung.
Kosten
Die Kosten setzen sich aus mehreren Ebenen zusammen, und die Gebühr der Kanzlei wird in der Mandatsvereinbarung einzeln aufgeführt; wie Velarozone arbeitet erläutert den Ansatz. Bei einem Betreiber machen Räumlichkeiten, Hardware und Personal den größten Teil der Handelslizenz aus. Bei einem Reseller sind es die Partnerakkreditierung und die Ingenieure. Es gibt keine sektorweit geltende behördliche Kennzahl, daher wird hier keine angegeben.
