SSO-01 Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen

Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen, deren Leistungen zur Entwicklung oder zum Betrieb des Cloud-Dienstes beitragen, sind hinsichtlich der folgenden Aspekte gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt:

1. Anforderungen an die Beurteilung von Risiken, die sich aus der Beschaffung von Dienstleistungen Dritter ergeben;

2. Anforderungen an die Klassifizierung der Service-Organisationen auf Basis einer Risikobeurteilung durch den Cloud-Anbieter und der Feststellung, ob es sich um eine Subservice-Organisation handelt;

3. Informationssicherheitsanforderungen für die Verarbeitung, Speicherung oder Übertragung von Informationen durch Service-Organisationen auf der Grundlage des Stands der Technik und unter Berücksichtigung der Kriterien in diesem Katalog;

4. Anforderungen an die Sensibilisierung und die Schulung des Personals;

5. Anwendbare rechtliche und regulatorische Anforderungen;

6. Anforderungen an den Umgang mit Schwachstellen, Sicherheitsvorfällen und Vorfällen;

7. Vorgaben für die vertragliche Vereinbarung dieser Anforderungen;

8. Vorgaben für die Überwachung dieser Anforderungen; und

9. Vorgaben für die Weitergabe dieser Anforderungen auch an Subservice-Organisationen, die von den Service-Organisationen eingesetzt werden, soweit Leistungen dieser Subservice-Organisationen ebenso zur Entwicklung oder zum Betrieb des Cloud-Dienstes beitragen.

Ergänzende Informationen

Das Basiskriterium gilt für alle Service-Organisationen des Cloud-Anbieters, unabhängig davon, ob die 'inclusive'- oder die 'carve-out method' angewendet wird. Das Zusatzkriterium gilt nur für diejenigen Service-Organisationen, die als Subservice-Organisationen angesehen werden. Siehe Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'.

Berichte unabhängiger Prüfer über die Angemessenheit der Ausgestaltung und die wirksame Umsetzung ihres dienstleistungsbezogenen internen Kontrollsystems sind beispielsweise Prüfungsberichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5.

Anwendbare rechtliche und regulatorische Anforderungen können z. B. in den Bereichen Datenschutz, Recht am geistigen Eigentum oder Urheberrecht bestehen.

Falls gesetzliche oder regulatorische Anforderungen eine von diesen Kriterien abweichende Regelung für die Steuerung von Subservice-Organisationen vorsehen, bleiben diese Regelungen von den C5-Kriterien unberührt.

Subservice-Organisationen des Cloud-Anbieters sind vertraglich verpflichtet, regelmäßige Berichte unabhängiger Prüfer über die Angemessenheit der Ausgestaltung und die wirksame Umsetzung ihres dienstleistungsbezogenen internen Kontrollsystems bereitzustellen, die es dem Cloud-Anbieter ermöglichen festzustellen, ob die Subservice-Organisation Kontrollen ausgestaltet und betrieben hat, die den erwarteten korrespondierenden Kontrollen von Subservice-Organisationen (CSOC) angemessen sind.

Ergänzende Informationen

Das Basiskriterium gilt für alle Service-Organisationen des Cloud-Anbieters, unabhängig davon, ob die 'inclusive'- oder die 'carve-out method' angewendet wird. Das Zusatzkriterium gilt nur für diejenigen Service-Organisationen, die als Subservice-Organisationen angesehen werden. Siehe Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'.

Berichte unabhängiger Prüfer über die Angemessenheit der Ausgestaltung und die wirksame Umsetzung ihres dienstleistungsbezogenen internen Kontrollsystems sind beispielsweise Prüfungsberichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5.

Anwendbare rechtliche und regulatorische Anforderungen können z. B. in den Bereichen Datenschutz, Recht am geistigen Eigentum oder Urheberrecht bestehen.

Falls gesetzliche oder regulatorische Anforderungen eine von diesen Kriterien abweichende Regelung für die Steuerung von Subservice-Organisationen vorsehen, bleiben diese Regelungen von den C5-Kriterien unberührt.

Falls solche Berichte nicht bereitgestellt werden können, vereinbart der Cloud-Anbieter geeignete Informations- und Prüfungsrechte, um die Ausgestaltung und den Betrieb des dienstleistungsbezogenen internen Kontrollsystems hinsichtlich der erwarteten CSOCs zu bewerten.