+GC-06 Angaben zu Zertifizierungen oder Bescheinigungen

GC-06 Angaben zu Zertifizierungen oder Bescheinigungen

Der Cloud-Anbieter macht in der Systembeschreibung des für die Entwicklung und den Betrieb des Cloud-Dienstes relevanten internen Kontrollsystems des Cloud-Anbieters nachvollziehbare und transparente Angaben zu vorhandenen und gültigen Zertifizierungen oder Bescheinigungen unabhängiger Dritter in Bezug auf die folgenden Aspekte des Cloud-Dienstes:

1. Konformität der Managementsysteme für Informationssicherheit, Betriebskontinuität und Qualität mit anwendbaren internationalen Standards;

2. Einhaltung der europäischen Datenschutz-Grundverordnung (DSGVO);

3. Angemessenheit der Ausgestaltung oder der Wirksamkeit von Kontrollen des internen Kontrollsystems in Bezug auf die anwendbaren Kriterien;

4. Zertifizierungen oder Bescheinigungen (Prüfberichte) gemäß branchenspezifischen Anforderungen von Cloud-Kunden; und

5. Zertifizierungen oder Bescheinigungen (Prüfberichte) in Bezug auf Umwelt-, Sozial- und Unternehmensführungs-Standards (engl. Environmental, Social and Governance, ESG).

Soweit für die Zertifizierung oder Bescheinigung anwendbar, werden folgende Angaben gemacht:

1. Ausstellungsdatum;

2. Ausstellende Organisation;

3. Anwendbarer Geltungsbereich; und

4. Datum oder Zeitraum der Gültigkeit oder Abdeckung.

Der Umfang der Angaben orientiert sich am Bedarf sachverständigen Personals der Cloud-Kunden, die Vorgaben zur Informationssicherheit machen, diese umsetzen oder die Umsetzung überprüfen und die Eignung des Cloud-Dienstes aus rechtlicher und regulatorischer Sicht beurteilen (bspw. IT, Compliance, Interne Revision).

Die Transparenz kann zusätzlich durch Offenlegung von SLAs, die auf dem ISO/IEC 19086 oder vergleichbaren Standards basieren, erhöht werden

Die Konformität der Managementsysteme für Informationssicherheit, Betriebskontinuität und Qualität kann beispielsweise mit Zertifikaten gemäß ISO/IEC 27001, ISO 22301 und ISO 9001 nachgewiesen werden.

Beispiele für ESG-Berichterstattung sind die Berichterstattung gemäß der EU-Richtlinie zur Nachhaltigkeitsberichterstattung von Unternehmen (CSRD) und Zertifizierungen wie ISO 50001, ISO 14001 und das deutsche Umweltzeichen Blauer Engel.

Die Erfüllung der Rahmenbedingung setzt nicht voraus, dass der Cloud-Anbieter zu allen genannten Aspekten eine Zertifizierung oder Bescheinigung vorhält.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

Anforderungen

3. Zugehörige Regulierungen

Regulierungen