+SSO-01.01AC

SSO-01.01AC

Subservice-Organisationen des Cloud-Anbieters sind vertraglich verpflichtet, regelmäßige Berichte unabhängiger Prüfer über die Angemessenheit der Ausgestaltung und die wirksame Umsetzung ihres dienstleistungsbezogenen internen Kontrollsystems bereitzustellen, die es dem Cloud-Anbieter ermöglichen festzustellen, ob die Subservice-Organisation Kontrollen ausgestaltet und betrieben hat, die den erwarteten korrespondierenden Kontrollen von Subservice-Organisationen (CSOC) angemessen sind.

Ergänzende Informationen

Das Basiskriterium gilt für alle Service-Organisationen des Cloud-Anbieters, unabhängig davon, ob die 'inclusive'- oder die 'carve-out method' angewendet wird. Das Zusatzkriterium gilt nur für diejenigen Service-Organisationen, die als Subservice-Organisationen angesehen werden. Siehe Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'.

Berichte unabhängiger Prüfer über die Angemessenheit der Ausgestaltung und die wirksame Umsetzung ihres dienstleistungsbezogenen internen Kontrollsystems sind beispielsweise Prüfungsberichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5.

Anwendbare rechtliche und regulatorische Anforderungen können z. B. in den Bereichen Datenschutz, Recht am geistigen Eigentum oder Urheberrecht bestehen.

Falls gesetzliche oder regulatorische Anforderungen eine von diesen Kriterien abweichende Regelung für die Steuerung von Subservice-Organisationen vorsehen, bleiben diese Regelungen von den C5-Kriterien unberührt.

1. Übersicht

1.1 Referenzen

1.2 Identifizierte Anforderungen

1.3 Zugehörige Regulierungen

2. Identifizierte Anforderungen

Anforderungen

3. Zugehörige Regulierungen

Regulierungen

Verknüpfte Vorgänge

Verknüpfungen
is blocked by Third-Party Attestation (3PA)