Kriterienkatalog Cloud Computing C5:2026

Zielsetzung: Identifizieren der organisationseigenen Assets gewährleisten und ein angemessenes Schutzniveau über deren gesamten Lebenszyklus sicherstellen.

Zielsetzung: Planen, Implementieren, Aufrechterhalten und Testen von Verfahren und Maßnahmen zur Kontinuität des Geschäftsbetriebs und für das Notfallmanagement

Zielsetzung: Vermeiden von Verstößen gegen anwendbare gesetzliche, regulatorische, selbstauferlegte oder vertragliche Anforderungen zur Informationssicherheit und Überprüfen der Einhaltung.

Zielsetzung: Sicherstellen des Schutzes von Informationen in Netzen und den entsprechenden informationsverarbeitenden Systemen.

Zielsetzung: Sicherstellen eines angemessenen und wirksamen Gebrauchs von Kryptographie zum Schutz der Vertraulichkeit, Authentizität oder Integrität von Information.

Zielsetzung: Sicherstellen der Informationssicherheit im Entwicklungszyklus von Systemkomponenten des Cloud-Dienstes.

Die Angaben zu den Rahmenbedingungen des Cloud-Dienstes dienen - auch kurz „Rahmenbedingungen“, auf Englisch „General Conditions“ („GC“) - der zusätzlichen Information der Kunden über das vom Cloud-Dienst gebotene Niveau an Informationssicherheit. Die Angaben ermöglichen den Cloud-Kunden, die Eignung des Cloud-Dienstes für ihren Anwendungsfall zu beurteilen. Sie sollen außerdem ein vergleichbares Niveau in der Berichterstattung sicherstellen, um Kunden das Vergleichen mehrerer Cloud-Anbieter bzw. Cloud-Dienste, für die ein C5-Bericht ausgestellt wurde, zu erleichtern.

Da die Prüfungsdurchführung bei einer direkten Prüfung nicht auf einer vom Cloud-Anbieter bereitgestellten Systembeschreibung basiert, hat der Prüfer in diesem Fall die Angaben zu den Rahmenbedingungen gemäß der vom Cloud-Anbieter zur Verfügung gestellten Informationen zu dokumentieren (vgl. Abschnitt 3.4).

Die Informationen werden so aufbereitet, dass sie den gemeinsamen Bedürfnissen einer breiten Gruppe von sachverständigem Personal der Cloud-Kunden entsprechen, die Vorgaben an die Informationssicherheit machen oder umsetzen, deren Wirksamkeit validieren oder die Eignung des Cloud-Dienstes aus rechtlicher und regulatorischer Sicht beurteilen.

Zielsetzung: Sicherstellen, dass Mitarbeiter ihre Aufgaben verstehen, sich ihrer Verantwortung in Bezug auf Informationssicherheit bewusst sind und die Assets der Organisation bei Änderung der Aufgaben oder Beendigung geschützt werden.

Zielsetzung: Absichern der Autorisierung und Authentifizierung von Benutzern des Cloud-Anbieters (in der Regel privilegierte Benutzer) zur Verhinderung von unberechtigten Zugriffen

Zielsetzung: Gewährleisten eines angemessenen Umgangs mit behördlichen Auskunfts- und Herausgabeverlangen hinsichtlich juristischer Überprüfung, Information der Cloud-Kunden und Begrenzung des Zugriffs auf oder der Offenlegung von Cloud-Kundendaten oder abgeleiteten Cloud-Dienstdaten.

Zielsetzung: Planung, Umsetzung, Aufrechterhaltung und kontinuierlich Verbesserung eines Rahmenwerks zur Informationssicherheit innerhalb der Organisation.

Zielsetzung: Sicherstellen eines ordnungsgemäßen Regelbetriebs einschließlich angemessener Maßnahmen für Planung und Überwachung der Kapazität, Schutz vor Schadprogrammen, Protokollierung und Überwachung von Ereignissen sowie den Umgang mit Schwachstellen, Störungen und Fehlern.

Zielsetzung: Ermöglichen der Eigenschaft, den Cloud-Dienst über andere Cloud-Dienste oder IT-Systemen der Cloud-Kunden ansprechen zu können, die gespeicherten Cloud-Kundendaten bei beendigung des Auftragsverhältnisses zu beziehen und beim Cloud-Anbieter sicher zu löschen.

Zielsetzung: Verhindern von unberechtigtem physischem Zutritt und Schutz vor Diebstahl, Schaden, Verlust und Ausfall des Betriebs.

Zielsetzung: bereitstellen aktueller Informationen zur sicheren Konfiguration und über bekannte Schwachstellen des Cloud-Dienstes für Cloud-Kunden, geeigneter Mechanismen zur Fehlerbehandlung und Protokollierung sowie zur Authentisierung und Autorisierung von Cloud-Nutzern der Cloud-Kunden.

Zielsetzung: Gewährleisten eines konsistenten und umfassenden Vorgehens zur Erfassung, Bewertung, Kommunikation und Behandlung von Sicherheitsvorfällen.

Zielsetzung: Bereitstellen von Richtlinien und Verfahren bzgl. des Sicherheitsanspruchs und zur Unterstützung der geschäftlichen Anforderungen.

Zielsetzung: Sicherstellen des Schutzes von Informationen auf die Dienstleister bzw. Lieferanten des Cloud-Anbieters (Service-Organisationen) zugreifen können, sowie Überwachung der vereinbarten Leistungen und Sicherheitsanforderungen.