|
+PI-02.01AC |
PI-02.01ACDie Ausgestaltung der Aspekte basiert auf rechtlichen und regulatorischen Anforderungen im Umfeld des Cloud-Anbieters. Der Cloud-Anbieter identifiziert die Anforderungen regelmäßig, mindestens einmal im Jahr, prüft diese auf Aktualität und passt die vertraglichen Vereinbarungen entsprechend an. Ergänzende Informationen Art und Umfang der von diesem Kriterium umfassten Cloud-Kundendaten sowie die Verantwortlichkeiten für deren Bereitstellung hängen vom Servicemodell des Cloud-Dienstes oder von den bereitgestellten Diensten und Funktionen ab: Im Fall von IaaS- und PaaS-ähnlichen Diensten ist der Cloud-Kunde grundsätzlich dafür verantwortlich, die im Cloud-Dienst gespeicherten Cloud-Kundendaten vor Beendigung des Vertragsverhältnisses zu extrahieren und zu sichern (vgl. korrespondierendes Kundenkriterium). Die Verantwortung des Cloud-Anbieters ist typischerweise auf die Bereitstellung von Cloud-Kundendaten für die Konfiguration der Infrastruktur oder Plattform beschränkt, die der Cloud-Kunde innerhalb seiner Umgebung eingerichtet hat (z. B. Konfiguration von Netzen, Images virtueller Maschinen und Container). Bei SaaS stützt sich der Cloud-Kunde typischerweise auf vom Cloud-Anbieter bereitgestellte Exportfunktionen. Vom Cloud-Kunden erzeugte Daten sollten in demselben Format verfügbar sein, in dem sie im Cloud-Dienst gespeichert sind. Andere solcher Cloud-Kundendaten, einschließlich relevanter Protokolldateien und Metadaten, sollten in einem anwendbaren Standardformat wie CSV, JSON oder XML verfügbar sein. Rechtliche Anforderungen können beispielsweise den EU Data Act umfassen. In Deutschland lassen sich gesetzliche Vorgaben zur Aufbewahrung beispielsweise der Abgabenordnung (§147 AO) und dem Handelsgesetzbuch (§ 257 HGB) entnehmen. Diese sehen eine Aufbewahrungspflicht von sechs oder zehn Jahren vor. Falls vertragliche Vereinbarungen die im Basiskriterium aufgeführten Aspekte nicht enthalten und diese aufgrund des Servicemodells anwendbar sind, ist das Kriterium nicht erfüllt und eine Abweichung ist vom Auditor festzuhalten. 1. Übersicht
1.1 Referenzen1.2 Identifizierte Anforderungen1.3 Zugehörige Regulierungen2. Identifizierte Anforderungen
3. Zugehörige Regulierungen
Verknüpfte Vorgänge
|