Die Migration von ERP-Systemen in die Cloud ist ein wichtiger Schritt für viele Unternehmen, doch SAP RISE zeigt: Einfach ist diese Verschiebung nicht. Das Angebot verspricht, dass SAP sich um den technischen Betrieb kümmert. Doch hinter dieser Marketing-Aussage steckt eine komplexe Aufteilung von Verantwortlichkeiten, die vielen Kunden nicht vollständig klar ist.
RISE with SAP ist ein Managed-Service-Angebot von SAP, bei dem der Softwarehersteller den technischen Betrieb der SAP-Systeme übernimmt. Das klingt nach vollständiger Entlastung für den Kunden. In der Realität jedoch bleiben viele Sicherheits- und Compliance-Aufgaben beim Kunden selbst, obwohl er sich möglicherweise auf SAP verlässt.
Ein klassisches Beispiel ist das Thema Datenschutz und Compliance. Während SAP die Infrastruktur und das System betreibt, muss der Kunde nach wie vor sicherstellen, dass Zugriffe richtig konfiguriert sind, dass Audit-Logs überwacht werden, und dass die Datenverarbeitung den internen und gesetzlichen Vorgaben entspricht. Die Konfiguration von Berechtigungen, die Überwachung von ungewöhnlichen Aktivitäten und die Dokumentation der Datenflüsse sind weiterhin Kundensache.
Ein weiteres Feld ist die Sicherheitspatching-Strategie. SAP pflegt das System, doch der Kunde muss verstehen, welche Updates wann eingespielt werden, wie dies die eigenen Geschäftsprozesse beeinflusst und wann ggf. Customizing-Code angepasst werden muss.
Für IT-Dienstleister ist dies ein wichtiger Beratungspunkt: Wenn sie Kunden bei der RISE-Migration begleiten, müssen sie klar machen, dass «SAP kümmert sich» nicht bedeutet, dass der Kunde sich ganz zurücklehnen kann. Eine detaillierte RACI-Matrix (Responsible, Accountable, Consulted, Informed) sollte Teil jeder RISE-Implementierung sein. Nur so lassen sich Lücken vermeiden und es wird klar, wo die Verantwortung tatsächlich liegt.
Unternehmen sollten vor einer RISE-Migration ein gründliches Assessment durchführen: Was sind unsere Sicherheitsanforderungen? Welche Compliance-Anforderungen gibt es? Welche davon können SAP übernehmen, welche müssen wir selbst managen? Diese Klarheit erspart später Probleme und Überraschungen.