SP-02 Überprüfung und Freigabe von Richtlinien und Verfahren

Informationssicherheitsrichtlinien und -verfahren werden mindestens jährlich und im Falle wesentlicher Änderungen am Cloud-Dienst von sachverständigem Personal des Cloud-Anbieters auf Angemessenheit überprüft. Die Überprüfung hat mindestens die folgenden Aspekte zu berücksichtigen:

1. Organisatorische und technische Änderungen in den Verfahren zur Bereitstellung des Cloud-Dienstes; und

2. Gesetzliche und regulatorische Änderungen im Umfeld des Cloud-Anbieters.

Ergänzende Informationen

Während eines ISO-27001-Zertifizierungsaudits werden die Kontrollen zu diesem Kriterium höchstwahrscheinlich ebenfalls geprüft. Handelt es sich um ein gemeinsames Audit (C5 und ISO), kann hier Effizienz im Sinne von 'audit once, certify many' erzielt werden. Handelt es sich um ein separates Audit, kann der Prüfer des C5-Attestierungsauftrags statt einer erneuten Prüfung der Kontrolle den ISO-Bericht einsehen, sofern die vorgelegten Nachweise hinreichend schlüssig sind.

Überarbeitete Richtlinien und Verfahren werden von der angemessenen Leitungsebene genehmigt, bevor sie Gültigkeit erlangen, und werden internem und externem Personal kommuniziert und zur Verfügung gestellt.

Ergänzende Informationen

Wesentliche Änderungen umfassen unter anderem alle Umstände oder Ereignisse, die den Geltungsbereich, die Wirksamkeit oder die Ziele der Informationssicherheitsrichtlinie wesentlich beeinflussen. Konkret sind wesentliche Änderungen z. B.:

1. Größere technische oder architektonische Änderungen an der Cloud-Plattform (z. B. Einführung neuer Infrastrukturdienste, Cloud-Migration, Einführung eines neuen Serviceangebots);

2. Wesentliche Aktualisierungen nationaler oder internationaler Gesetze, Vorschriften oder sektorspezifischer Standards (z. B. NIS2, DORA, DSGVO), die die Verpflichtungen zur Informationssicherheit beeinflussen;

3. Reorganisation oder Fusion/Übernahme von Organisationseinheiten, welche die Führung, Entscheidungsfindung oder zentrale sicherheitsbezogene Verantwortlichkeiten betreffen;

4. Wesentliche Änderungen in vertraglichen Anforderungen, Risikobewertungen, operativen Prozessen oder der Bedrohungslage (z. B. neues Threat Intelligence, das auf neu entstehende Risiken hinweist, Vorfälle in der Lieferkette);

5. Größere Sicherheitsvorfälle oder -verletzungen, die eine Überarbeitung der Vorfallsbewältigung erfordern;

6. Einführung oder Außerbetriebnahme von Servicekomponenten, welche die Cloud-Kundendaten oder Trust Boundaries betreffen; und

7. Änderungen in der Zusammensetzung oder den Verantwortlichkeiten der obersten Leitung oder des Lenkungsausschusses für Informationssicherheit.

Für eine effiziente Überprüfung kann der Cloud-Anbieter die Art jeder wesentlichen Änderung, die Begründung für die Überprüfung und das Ergebnis von Richtlinienanpassungen dokumentieren. Eine automatisierte Nachverfolgung von Richtlinienänderungen und eine manuelle Verifizierung des Inhalts können ebenfalls in den Überprüfungsworkflow integriert werden.

Die oberste Leitung ist eine angemessene Leitungsebene für die Genehmigung der Informationssicherheitsrichtlinie.