|
Soweit der Cloud-Dienst durch Organisationen des öffentlichen Sektors in Deutschland genutzt wird, etabliert und pflegt der Cloud-Anbieter, soweit angemessen, Kontakte zum Nationalen IT-Lagezentrum und dem CERT-Bund des BSI. Ergänzende Informationen Organisationen des öffentlichen Sektors in Deutschland sind z. B. Ministerien und Behörden. Wenn der Cloud-Anbieter keine Kunden im öffentlichen Sektor hat, ist dieses Kriterium nicht anwendbar. Der Einschub 'soweit angemessen' bedeutet, dass Kontakte hergestellt werden, wenn ein tatsächlicher Bedarf dazu besteht. Beispielsweise umfasst die Kontaktaufnahme mit dem CERT typischerweise die Meldung von Sicherheitsvorfällen an das CERT und das Verfolgen der Kommunikationskanäle vom CERT, um über aktuelle Bedrohungen, Schwachstellen und Sicherheitshinweise informiert zu bleiben. Die Pflege von Kontakt im Sinne von OIS-06.01B erfordert in diesem Fall nicht, dass der Cloud-Anbieter proaktiv und unaufgefordert mit CERT kommuniziert. Für KRITIS (Betreiber kritischer Anlagen) im Sinne von § 2 Abs. 22 des BSI-Gesetzes (BSIG) können nach deutschem nationalem Recht ähnliche Anforderungen zur Pflege von Kontakten mit Behörden und Interessengruppen gelten.
|