SSO-05 Überwachung der Einhaltung von Anforderungen

Der Cloud-Anbieter überwacht die Einhaltung von Informationssicherheitsanforderungen und geltenden gesetzlichen und regulatorischen Anforderungen in Übereinstimmung mit Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen.

Ergänzende Informationen

Informationen, die für die Überwachung der Ausgestaltung und des Betriebs des dienstleistungsbezogenen internen Kontrollsystems eingeholt werden, umfassen typischerweise Berichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5, ANSSI SecNumCloud oder CSA CCM. Auch Second-Party-Audits auf Grundlage solcher Rahmenwerke können hier nützlich sein. Für die strukturierte Analyse von BSI-C5-Berichten hat das BSI einen Excel-basierten Auswertungsleitfaden veröffentlicht.

Falls solche Berichte von den Service-Organisationen bereitgestellt werden, überprüft der Cloud-Anbieter beispielsweise die folgenden Aspekte und bezieht die Feststellungen bei Bedarf in die Risikobeurteilung ein, um Risiko-mitigierende Maßnahmen abzuleiten und einzuleiten:

1. Den Geltungsbereich und die Gültigkeit beziehungsweise den vom Bericht abgedeckten Zeitraum;

2. Modifikationen des Prüfungsurteils, festgestellte Abweichungen/Ausnahmen und die Stellungnahme der Geschäftsleitung hierzu;

3. Korrespondierende Kundenkontrollen (engl. Complementary User Entity Controls, CUEC), die vom Cloud-Anbieter ausgestaltet und betrieben werden müssen;

4. Offengelegte Subservice-Organisationen einschließlich etwaiger Änderungen unter diesen (z. B. zusätzliche Subservice-Organisationen); und

5. Angegebene Sicherheitsvorfälle.

Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation, vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'). Geeignete Verfahren können die Überprüfung von Berichten unabhängiger Dritter oder vom Cloud-Anbieter bei der Subservice-Organisation durchgeführte Prüfungsverfahren umfassen.

Die im Zusatzkriterium beschriebenen automatisierten Überwachungsverfahren sind nur auf Service-Organisationen anwendbar, für die eine Überwachungsautomatisierung aufgrund der Art der für den Cloud-Anbieter erbrachten Dienstleistungen machbar ist.

Die Überwachung umfasst eine regelmäßige Überprüfung der folgenden Informationen, soweit diese Informationen von Service-Organisationen gemäß den vertraglichen Vereinbarungen bereitzustellen sind:

1. Berichte über die Qualität der Leistungserbringung;

2. Zertifikate über die Konformität der Managementsysteme mit internationalen Standards;

3. Aufzeichnungen der Service-Organisationen über den Umgang mit Schwachstellen, Sicherheitsvorfällen und Vorfällen;

4. Berichte unabhängiger Dritter über die Ausgestaltung und den Betrieb ihres dienstleistungsbezogenen internen Kontrollsystems; und

5. Falls vom Cloud-Anbieter genutzte Service-Organisationen selbst Subunternehmer nutzen, die Einhaltung relevanter vertraglicher, gesetzlicher und regulatorischer Anforderungen durch ihre Subunternehmer.

Ergänzende Informationen

Informationen, die für die Überwachung der Ausgestaltung und des Betriebs des dienstleistungsbezogenen internen Kontrollsystems eingeholt werden, umfassen typischerweise Berichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5, ANSSI SecNumCloud oder CSA CCM. Auch Second-Party-Audits auf Grundlage solcher Rahmenwerke können hier nützlich sein. Für die strukturierte Analyse von BSI-C5-Berichten hat das BSI einen Excel-basierten Auswertungsleitfaden veröffentlicht.

Falls solche Berichte von den Service-Organisationen bereitgestellt werden, überprüft der Cloud-Anbieter beispielsweise die folgenden Aspekte und bezieht die Feststellungen bei Bedarf in die Risikobeurteilung ein, um Risiko-mitigierende Maßnahmen abzuleiten und einzuleiten:

1. Den Geltungsbereich und die Gültigkeit beziehungsweise den vom Bericht abgedeckten Zeitraum;

2. Modifikationen des Prüfungsurteils, festgestellte Abweichungen/Ausnahmen und die Stellungnahme der Geschäftsleitung hierzu;

3. Korrespondierende Kundenkontrollen (engl. Complementary User Entity Controls, CUEC), die vom Cloud-Anbieter ausgestaltet und betrieben werden müssen;

4. Offengelegte Subservice-Organisationen einschließlich etwaiger Änderungen unter diesen (z. B. zusätzliche Subservice-Organisationen); und

5. Angegebene Sicherheitsvorfälle.

Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation, vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'). Geeignete Verfahren können die Überprüfung von Berichten unabhängiger Dritter oder vom Cloud-Anbieter bei der Subservice-Organisation durchgeführte Prüfungsverfahren umfassen.

Die im Zusatzkriterium beschriebenen automatisierten Überwachungsverfahren sind nur auf Service-Organisationen anwendbar, für die eine Überwachungsautomatisierung aufgrund der Art der für den Cloud-Anbieter erbrachten Dienstleistungen machbar ist.

Ergänzende Informationen

Bei der Überprüfung der von der Service-Organisation bereitgestellten Informationen sollte der Cloud-Anbieter zwischen fehlerhaften Informationen, die in gutem Glauben erstellt wurden (wie Berichte über mutmaßliche Sicherheitsvorfälle, die sich letztlich als unbegründet herausstellten), und bewusst falschen oder böswilligen Informationen unterscheiden.

Die Überwachung von Subunternehmern kann über Audits, Zertifizierungen und Berichte Dritter erfolgen (vgl. SSO-05) und von den Service-Organisationen des Cloud-Anbieters durchgeführt werden. Der Cloud-Anbieter bleibt dafür verantwortlich, die Ergebnisse der Compliance-Überwachung zu überprüfen und das Risiko zu bewerten.

Die Regelmäßigkeit der Durchführung entspricht der Klassifizierung der Service-Organisationen auf Basis der Risikobeurteilung des Cloud-Anbieters (vgl. SSO-02).

Ergänzende Informationen

Informationen, die für die Überwachung der Ausgestaltung und des Betriebs des dienstleistungsbezogenen internen Kontrollsystems eingeholt werden, umfassen typischerweise Berichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5, ANSSI SecNumCloud oder CSA CCM. Auch Second-Party-Audits auf Grundlage solcher Rahmenwerke können hier nützlich sein. Für die strukturierte Analyse von BSI-C5-Berichten hat das BSI einen Excel-basierten Auswertungsleitfaden veröffentlicht.

Falls solche Berichte von den Service-Organisationen bereitgestellt werden, überprüft der Cloud-Anbieter beispielsweise die folgenden Aspekte und bezieht die Feststellungen bei Bedarf in die Risikobeurteilung ein, um Risiko-mitigierende Maßnahmen abzuleiten und einzuleiten:

1. Den Geltungsbereich und die Gültigkeit beziehungsweise den vom Bericht abgedeckten Zeitraum;

2. Modifikationen des Prüfungsurteils, festgestellte Abweichungen/Ausnahmen und die Stellungnahme der Geschäftsleitung hierzu;

3. Korrespondierende Kundenkontrollen (engl. Complementary User Entity Controls, CUEC), die vom Cloud-Anbieter ausgestaltet und betrieben werden müssen;

4. Offengelegte Subservice-Organisationen einschließlich etwaiger Änderungen unter diesen (z. B. zusätzliche Subservice-Organisationen); und

5. Angegebene Sicherheitsvorfälle.

Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation, vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'). Geeignete Verfahren können die Überprüfung von Berichten unabhängiger Dritter oder vom Cloud-Anbieter bei der Subservice-Organisation durchgeführte Prüfungsverfahren umfassen.

Die im Zusatzkriterium beschriebenen automatisierten Überwachungsverfahren sind nur auf Service-Organisationen anwendbar, für die eine Überwachungsautomatisierung aufgrund der Art der für den Cloud-Anbieter erbrachten Dienstleistungen machbar ist.

Falls eine Service-Organisation als Subservice-Organisation betrachtet wird, beurteilt der Cloud-Anbieter diese Beziehung und führt geeignete Verfahren durch, um sicherzustellen, dass die anwendbaren C5-Kriterien erfüllt sind. Geeignete Verfahren liefern hinreichende Sicherheit:

1. Dass die Subservice-Organisation relevante Kontrollen ausgestaltet und betrieben hat; und

2. Dass die Kontrollen der Subservice-Organisation den erwarteten korrespondierenden Kontrollen von Subservice-Organisationen (CSOC) entsprechen, die bei der Ausgestaltung der Kontrollen des Cloud-Anbieters vorausgesetzt wurden.

Ergänzende Informationen

Informationen, die für die Überwachung der Ausgestaltung und des Betriebs des dienstleistungsbezogenen internen Kontrollsystems eingeholt werden, umfassen typischerweise Berichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5, ANSSI SecNumCloud oder CSA CCM. Auch Second-Party-Audits auf Grundlage solcher Rahmenwerke können hier nützlich sein. Für die strukturierte Analyse von BSI-C5-Berichten hat das BSI einen Excel-basierten Auswertungsleitfaden veröffentlicht.

Falls solche Berichte von den Service-Organisationen bereitgestellt werden, überprüft der Cloud-Anbieter beispielsweise die folgenden Aspekte und bezieht die Feststellungen bei Bedarf in die Risikobeurteilung ein, um Risiko-mitigierende Maßnahmen abzuleiten und einzuleiten:

1. Den Geltungsbereich und die Gültigkeit beziehungsweise den vom Bericht abgedeckten Zeitraum;

2. Modifikationen des Prüfungsurteils, festgestellte Abweichungen/Ausnahmen und die Stellungnahme der Geschäftsleitung hierzu;

3. Korrespondierende Kundenkontrollen (engl. Complementary User Entity Controls, CUEC), die vom Cloud-Anbieter ausgestaltet und betrieben werden müssen;

4. Offengelegte Subservice-Organisationen einschließlich etwaiger Änderungen unter diesen (z. B. zusätzliche Subservice-Organisationen); und

5. Angegebene Sicherheitsvorfälle.

Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation, vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'). Geeignete Verfahren können die Überprüfung von Berichten unabhängiger Dritter oder vom Cloud-Anbieter bei der Subservice-Organisation durchgeführte Prüfungsverfahren umfassen.

Die im Zusatzkriterium beschriebenen automatisierten Überwachungsverfahren sind nur auf Service-Organisationen anwendbar, für die eine Überwachungsautomatisierung aufgrund der Art der für den Cloud-Anbieter erbrachten Dienstleistungen machbar ist.

Identifizierte Abweichungen werden in Übereinstimmung mit der Risikobeurteilung von Service-Organisationen (vgl. SSO-02) einer Analyse, Bewertung und Behandlung unterzogen.

Ergänzende Informationen

Informationen, die für die Überwachung der Ausgestaltung und des Betriebs des dienstleistungsbezogenen internen Kontrollsystems eingeholt werden, umfassen typischerweise Berichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5, ANSSI SecNumCloud oder CSA CCM. Auch Second-Party-Audits auf Grundlage solcher Rahmenwerke können hier nützlich sein. Für die strukturierte Analyse von BSI-C5-Berichten hat das BSI einen Excel-basierten Auswertungsleitfaden veröffentlicht.

Falls solche Berichte von den Service-Organisationen bereitgestellt werden, überprüft der Cloud-Anbieter beispielsweise die folgenden Aspekte und bezieht die Feststellungen bei Bedarf in die Risikobeurteilung ein, um Risiko-mitigierende Maßnahmen abzuleiten und einzuleiten:

1. Den Geltungsbereich und die Gültigkeit beziehungsweise den vom Bericht abgedeckten Zeitraum;

2. Modifikationen des Prüfungsurteils, festgestellte Abweichungen/Ausnahmen und die Stellungnahme der Geschäftsleitung hierzu;

3. Korrespondierende Kundenkontrollen (engl. Complementary User Entity Controls, CUEC), die vom Cloud-Anbieter ausgestaltet und betrieben werden müssen;

4. Offengelegte Subservice-Organisationen einschließlich etwaiger Änderungen unter diesen (z. B. zusätzliche Subservice-Organisationen); und

5. Angegebene Sicherheitsvorfälle.

Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation, vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'). Geeignete Verfahren können die Überprüfung von Berichten unabhängiger Dritter oder vom Cloud-Anbieter bei der Subservice-Organisation durchgeführte Prüfungsverfahren umfassen.

Die im Zusatzkriterium beschriebenen automatisierten Überwachungsverfahren sind nur auf Service-Organisationen anwendbar, für die eine Überwachungsautomatisierung aufgrund der Art der für den Cloud-Anbieter erbrachten Dienstleistungen machbar ist.

Wenn eine zur Erbringung des Cloud-Dienstes beitragende Service-Organisation eine Änderung durchläuft, die sich wesentlich zum Nachteil auf das Sicherheitsniveau des Cloud-Anbieters auswirkt, kommuniziert der Cloud-Anbieter dies allen seinen Cloud-Kunden unverzüglich.

Ergänzende Informationen

Informationen, die für die Überwachung der Ausgestaltung und des Betriebs des dienstleistungsbezogenen internen Kontrollsystems eingeholt werden, umfassen typischerweise Berichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5, ANSSI SecNumCloud oder CSA CCM. Auch Second-Party-Audits auf Grundlage solcher Rahmenwerke können hier nützlich sein. Für die strukturierte Analyse von BSI-C5-Berichten hat das BSI einen Excel-basierten Auswertungsleitfaden veröffentlicht.

Falls solche Berichte von den Service-Organisationen bereitgestellt werden, überprüft der Cloud-Anbieter beispielsweise die folgenden Aspekte und bezieht die Feststellungen bei Bedarf in die Risikobeurteilung ein, um Risiko-mitigierende Maßnahmen abzuleiten und einzuleiten:

1. Den Geltungsbereich und die Gültigkeit beziehungsweise den vom Bericht abgedeckten Zeitraum;

2. Modifikationen des Prüfungsurteils, festgestellte Abweichungen/Ausnahmen und die Stellungnahme der Geschäftsleitung hierzu;

3. Korrespondierende Kundenkontrollen (engl. Complementary User Entity Controls, CUEC), die vom Cloud-Anbieter ausgestaltet und betrieben werden müssen;

4. Offengelegte Subservice-Organisationen einschließlich etwaiger Änderungen unter diesen (z. B. zusätzliche Subservice-Organisationen); und

5. Angegebene Sicherheitsvorfälle.

Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation, vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'). Geeignete Verfahren können die Überprüfung von Berichten unabhängiger Dritter oder vom Cloud-Anbieter bei der Subservice-Organisation durchgeführte Prüfungsverfahren umfassen.

Die im Zusatzkriterium beschriebenen automatisierten Überwachungsverfahren sind nur auf Service-Organisationen anwendbar, für die eine Überwachungsautomatisierung aufgrund der Art der für den Cloud-Anbieter erbrachten Dienstleistungen machbar ist.

Der Cloud-Anbieter legt ein Verfahren fest, um Anforderungen an Geheimhaltungs- oder Vertraulichkeitsvereinbarungen für alle an der Erbringung des Cloud-Dienstes beteiligten Service-Organisationen regelmäßig zu überprüfen. Dieses Verfahren wird in der Praxis umgesetzt, und die Überprüfung wird mindestens einmal pro Jahr durchgeführt.

Ergänzende Informationen

Informationen, die für die Überwachung der Ausgestaltung und des Betriebs des dienstleistungsbezogenen internen Kontrollsystems eingeholt werden, umfassen typischerweise Berichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5, ANSSI SecNumCloud oder CSA CCM. Auch Second-Party-Audits auf Grundlage solcher Rahmenwerke können hier nützlich sein. Für die strukturierte Analyse von BSI-C5-Berichten hat das BSI einen Excel-basierten Auswertungsleitfaden veröffentlicht.

Falls solche Berichte von den Service-Organisationen bereitgestellt werden, überprüft der Cloud-Anbieter beispielsweise die folgenden Aspekte und bezieht die Feststellungen bei Bedarf in die Risikobeurteilung ein, um Risiko-mitigierende Maßnahmen abzuleiten und einzuleiten:

1. Den Geltungsbereich und die Gültigkeit beziehungsweise den vom Bericht abgedeckten Zeitraum;

2. Modifikationen des Prüfungsurteils, festgestellte Abweichungen/Ausnahmen und die Stellungnahme der Geschäftsleitung hierzu;

3. Korrespondierende Kundenkontrollen (engl. Complementary User Entity Controls, CUEC), die vom Cloud-Anbieter ausgestaltet und betrieben werden müssen;

4. Offengelegte Subservice-Organisationen einschließlich etwaiger Änderungen unter diesen (z. B. zusätzliche Subservice-Organisationen); und

5. Angegebene Sicherheitsvorfälle.

Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation, vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'). Geeignete Verfahren können die Überprüfung von Berichten unabhängiger Dritter oder vom Cloud-Anbieter bei der Subservice-Organisation durchgeführte Prüfungsverfahren umfassen.

Die im Zusatzkriterium beschriebenen automatisierten Überwachungsverfahren sind nur auf Service-Organisationen anwendbar, für die eine Überwachungsautomatisierung aufgrund der Art der für den Cloud-Anbieter erbrachten Dienstleistungen machbar ist.

Die Verfahren zur Überwachung der Einhaltung der Anforderungen werden durch automatische Verfahren in Bezug auf die folgenden Aspekte ergänzt:

1. Konfiguration von Systemkomponenten;

2. Leistung und Verfügbarkeit von Systemkomponenten;

3. Reaktionszeit auf Vorfälle und Sicherheitsvorfälle; und

4. Wiederherstellungszeit (Zeit bis zum Abschluss der Fehlerbehandlung).

Ergänzende Informationen

Informationen, die für die Überwachung der Ausgestaltung und des Betriebs des dienstleistungsbezogenen internen Kontrollsystems eingeholt werden, umfassen typischerweise Berichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5, ANSSI SecNumCloud oder CSA CCM. Auch Second-Party-Audits auf Grundlage solcher Rahmenwerke können hier nützlich sein. Für die strukturierte Analyse von BSI-C5-Berichten hat das BSI einen Excel-basierten Auswertungsleitfaden veröffentlicht.

Falls solche Berichte von den Service-Organisationen bereitgestellt werden, überprüft der Cloud-Anbieter beispielsweise die folgenden Aspekte und bezieht die Feststellungen bei Bedarf in die Risikobeurteilung ein, um Risiko-mitigierende Maßnahmen abzuleiten und einzuleiten:

1. Den Geltungsbereich und die Gültigkeit beziehungsweise den vom Bericht abgedeckten Zeitraum;

2. Modifikationen des Prüfungsurteils, festgestellte Abweichungen/Ausnahmen und die Stellungnahme der Geschäftsleitung hierzu;

3. Korrespondierende Kundenkontrollen (engl. Complementary User Entity Controls, CUEC), die vom Cloud-Anbieter ausgestaltet und betrieben werden müssen;

4. Offengelegte Subservice-Organisationen einschließlich etwaiger Änderungen unter diesen (z. B. zusätzliche Subservice-Organisationen); und

5. Angegebene Sicherheitsvorfälle.

Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation, vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'). Geeignete Verfahren können die Überprüfung von Berichten unabhängiger Dritter oder vom Cloud-Anbieter bei der Subservice-Organisation durchgeführte Prüfungsverfahren umfassen.

Die im Zusatzkriterium beschriebenen automatisierten Überwachungsverfahren sind nur auf Service-Organisationen anwendbar, für die eine Überwachungsautomatisierung aufgrund der Art der für den Cloud-Anbieter erbrachten Dienstleistungen machbar ist.

Identifizierte Verstöße und Unstimmigkeiten werden automatisch an das verantwortliche Personal oder die verantwortlichen Systemkomponenten des Cloud-Anbieters gemeldet, damit eine zeitnahe Bewertung und Maßnahmen erfolgen können.

Ergänzende Informationen

Informationen, die für die Überwachung der Ausgestaltung und des Betriebs des dienstleistungsbezogenen internen Kontrollsystems eingeholt werden, umfassen typischerweise Berichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5, ANSSI SecNumCloud oder CSA CCM. Auch Second-Party-Audits auf Grundlage solcher Rahmenwerke können hier nützlich sein. Für die strukturierte Analyse von BSI-C5-Berichten hat das BSI einen Excel-basierten Auswertungsleitfaden veröffentlicht.

Falls solche Berichte von den Service-Organisationen bereitgestellt werden, überprüft der Cloud-Anbieter beispielsweise die folgenden Aspekte und bezieht die Feststellungen bei Bedarf in die Risikobeurteilung ein, um Risiko-mitigierende Maßnahmen abzuleiten und einzuleiten:

1. Den Geltungsbereich und die Gültigkeit beziehungsweise den vom Bericht abgedeckten Zeitraum;

2. Modifikationen des Prüfungsurteils, festgestellte Abweichungen/Ausnahmen und die Stellungnahme der Geschäftsleitung hierzu;

3. Korrespondierende Kundenkontrollen (engl. Complementary User Entity Controls, CUEC), die vom Cloud-Anbieter ausgestaltet und betrieben werden müssen;

4. Offengelegte Subservice-Organisationen einschließlich etwaiger Änderungen unter diesen (z. B. zusätzliche Subservice-Organisationen); und

5. Angegebene Sicherheitsvorfälle.

Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation, vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'). Geeignete Verfahren können die Überprüfung von Berichten unabhängiger Dritter oder vom Cloud-Anbieter bei der Subservice-Organisation durchgeführte Prüfungsverfahren umfassen.

Die im Zusatzkriterium beschriebenen automatisierten Überwachungsverfahren sind nur auf Service-Organisationen anwendbar, für die eine Überwachungsautomatisierung aufgrund der Art der für den Cloud-Anbieter erbrachten Dienstleistungen machbar ist.

Der Cloud-Anbieter definiert und implementiert einen Prozess zur Durchführung periodischer Sicherheitsbeurteilungen für alle Service-Organisationen. Art und Umfang dieser Sicherheitsbeurteilungen entsprechen dem mit jeder Service-Organisation verbundenen Risiko. Diese risikobasierten Sicherheitsbeurteilungen stellen sicher, dass Service-Organisationen die erforderlichen Sicherheitsstandards erfüllen und dass potenzielle Risiken angemessen identifiziert und mitigiert werden.

Ergänzende Informationen

Informationen, die für die Überwachung der Ausgestaltung und des Betriebs des dienstleistungsbezogenen internen Kontrollsystems eingeholt werden, umfassen typischerweise Berichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5, ANSSI SecNumCloud oder CSA CCM. Auch Second-Party-Audits auf Grundlage solcher Rahmenwerke können hier nützlich sein. Für die strukturierte Analyse von BSI-C5-Berichten hat das BSI einen Excel-basierten Auswertungsleitfaden veröffentlicht.

Falls solche Berichte von den Service-Organisationen bereitgestellt werden, überprüft der Cloud-Anbieter beispielsweise die folgenden Aspekte und bezieht die Feststellungen bei Bedarf in die Risikobeurteilung ein, um Risiko-mitigierende Maßnahmen abzuleiten und einzuleiten:

1. Den Geltungsbereich und die Gültigkeit beziehungsweise den vom Bericht abgedeckten Zeitraum;

2. Modifikationen des Prüfungsurteils, festgestellte Abweichungen/Ausnahmen und die Stellungnahme der Geschäftsleitung hierzu;

3. Korrespondierende Kundenkontrollen (engl. Complementary User Entity Controls, CUEC), die vom Cloud-Anbieter ausgestaltet und betrieben werden müssen;

4. Offengelegte Subservice-Organisationen einschließlich etwaiger Änderungen unter diesen (z. B. zusätzliche Subservice-Organisationen); und

5. Angegebene Sicherheitsvorfälle.

Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation, vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'). Geeignete Verfahren können die Überprüfung von Berichten unabhängiger Dritter oder vom Cloud-Anbieter bei der Subservice-Organisation durchgeführte Prüfungsverfahren umfassen.

Die im Zusatzkriterium beschriebenen automatisierten Überwachungsverfahren sind nur auf Service-Organisationen anwendbar, für die eine Überwachungsautomatisierung aufgrund der Art der für den Cloud-Anbieter erbrachten Dienstleistungen machbar ist.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie über die Subservice-Organisationen ihres Cloud-Anbieters informiert bleiben (z. B. auf Grundlage der Informationen im C5-Prüfungsbericht) und entscheiden auf Grundlage des Schutzbedarfs ihrer im Cloud-Dienst verarbeiteten und gespeicherten Daten, ob weitere Maßnahmen zur Überwachung und Prüfung dieser Subservice-Organisationen ergriffen werden sollten.