COM-01 Identifizierung anwendbarer gesetzlicher, regulatorischer, selbst auferlegter oder vertraglicher Anforderungen

Die für die Informationssicherheit des Cloud-Dienstes relevanten gesetzlichen, regulatorischen, selbstauferlegten und vertraglichen Anforderungen sowie die Verfahren des Cloud-Anbieters zur Einhaltung dieser Anforderungen sind ausdrücklich definiert und dokumentiert.

Ergänzende Informationen

Die Dokumentation des Cloud-Anbieters kann sich unter anderem auf die folgenden Anforderungen beziehen:

1. Anforderungen an den Schutz personenbezogener Daten (z. B. EU-Datenschutz-Grundverordnung);

2. Anforderungen hinsichtlich des Stands der Informationssicherheit des Cloud-Anbieters (z. B. NIS-2-Richtlinie, BSIG soweit auf KRITIS anwendbar);

3. Compliance-Anforderungen aufgrund vertraglicher Verpflichtungen mit Cloud-Kunden (z. B. ISO/IEC 27001, SOC 2, PCI-DSS); und

4. Anforderungen hinsichtlich des Austauschs und der Nutzung von Daten (z. B. EU Data Act).

Die Dokumentation der identifizierten Anforderungen und der Verfahren zur Einhaltung dieser Anforderungen kann sich auf mehrere Dokumente verteilen und muss nicht zwingend in einem einzigen Register oder Verzeichnis festgehalten sein.

Der Cloud-Anbieter stellt dem Cloud-Kunden auf Anfrage einen Überblick über die im Basiskriterium beschriebenen Verfahren zur Verfügung.