OIS-01 Informationssicherheitsmanagementsystem (ISMS)

Der Cloud-Anbieter betreibt ein ISO/IEC 27001-konformes Informationssicherheitsmanagementsystem (ISMS). Der Anwendungsbereich des ISMS umfasst die Organisationseinheiten, Standorte, Zonen, Regionen und Verfahren des Cloud-Anbieters, die für die Entwicklung und den Betrieb des Cloud-Dienstes relevant sind.

Ergänzende Informationen

Das Basiskriterium kann auch ohne gültige Zertifizierung des ISMS nach ISO/IEC 27001 oder ISO 27001 auf Basis von IT-Grundschutz erfüllt werden, soweit die vorgelegte Dokumentation die Anforderungen der ISO/IEC 27001 erfüllt. Der Prüfer hat zu bewerten, ob die Dokumentation die referenzierten Anforderungen der ISO-Norm erfüllt. Dies erfordert kein vollständiges Zertifizierungsaudit des Managementsystems gemäß ISO 17021, sondern eine gezielte Prüfung der zugehörigen Dokumentation.

Querschnittsfunktionen müssen nicht in ein einziges ISMS integriert werden. Stattdessen können mehrere ISMS eingerichtet werden, um sowohl Cloud-Dienst-spezifische interne Kontrollsysteme als auch organisationsweite/zentrale Funktionen wirksam abzudecken.

Der Anwendungsbereich des ISMS kann über den Anwendungsbereich des internen Kontrollsystems des Cloud-Anbieters für den Cloud-Dienst, der Gegenstand eines Prüfauftrags nach diesem Kriterienkatalog ist, hinausgehen. Wenn der Anwendungsbereich des ISMS breiter ist als der Anwendungsbereich des Prüfauftrags, können die über die Ausgestaltung und den Betrieb des ISMS einzuholenden Nachweise auf Aufzeichnungen beschränkt werden, die für den Cloud-Dienst, der Gegenstand des Prüfauftrags ist, relevant sind.

Die Maßnahmen für Aufbau, Verwirklichung, Aufrechterhaltung und fortlaufende Verbesserung des ISMS sind dokumentiert. Die Dokumentation umfasst:

1. Kontext des Cloud-Anbieters;

2. Anwendungsbereich des ISMS (Abschnitt 4.3 der ISO/IEC 27001);

3. Erklärung zur Anwendbarkeit (Abschnitt 6.1.3 der ISO/IEC 27001);

4. Überblick darüber, wie Aktivitäten im ISMS den Cloud-Dienst abdecken;

5. Beschreibung, wie der Cloud-Anbieter die Sicherheit des Cloud-Dienstes aufrechterhält und verbessert; und

6. Ergebnisse der letzten Managementbewertung (Abschnitt 9.3 der ISO/IEC 27001).

Zusätzlich dokumentiert der Cloud-Anbieter den Umfang und die Grenzen des Cloud-Dienstes unter seiner betrieblichen Kontrolle, einschließlich etwaiger Ausschlüsse oder Bereiche mit geteilter Verantwortung.

Bestehende gültige Zertifizierungen nach ISO/IEC 27001 werden von einer akkreditierten Zertifizierungsstelle ausgestellt und anerkannt.

Das Informationssicherheitsmanagementsystem (ISMS) verfügt über eine gültige Zertifizierung nach ISO/IEC 27001 oder ISO 27001 auf Basis von BSI IT-Grundschutz. Der Anwendungsbereich der Zertifizierung umfasst die Organisationseinheiten, Standorte, Zonen, Regionen und Verfahren des Cloud-Anbieters, die für die Entwicklung und den Betrieb des Cloud-Dienstes relevant sind.