COM-02 Richtlinie für die Planung und Durchführung von Audits
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Added requirements for the implementation of an audit programme over multiple years.
Extended aspects to be addressed by the policies by a review of server and network equipment configurations, intrusion testing and source code reviews.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
Added requirement for the implementation of an audit programme over three years.
Wortlaut in C5:2020
Basiskriterium
Policies and instructions for planning and conducting audits are documented, communicated and made available in accordance with SP-01 and address the following aspects:
- Restriction to read-only access to system components in accordance with the agreed audit plan and as necessary to perform the activities;
- Activities that may result in malfunctions to the cloud service or breaches of contractual requirements are performed during scheduled maintenance windows or outside peak periods; and
- Logging and monitoring of activities.
Zusatzkriterium
The Cloud Service Provider grants its cloud customers contractually guaranteed information and audit rights.
Basiskriterium
Der Cloud-Anbieter dokumentiert und implementiert ein mehrjähriges Auditprogramm, das den Umfang und die Häufigkeit der Audits festlegt. Das Auditprogramm berücksichtigt das Änderungsmanagement, Richtlinien und die Ergebnisse der Risikobeurteilung (vgl. OIS-07).
Ergänzende Information
Gilt auch für 01AS
Ein Audit ist ein systematischer, unabhängiger und dokumentierter Prozess zur Erlangung objektiver Nachweise und zu deren objektiver Bewertung, um festzustellen, inwieweit die Auditkriterien erfüllt sind. Audits können als interne Audits durchgeführt werden, manchmal auch als 'First-Party Audits', die von oder im Auftrag des Cloud-Anbieters selbst durchgeführt werden. Sie können auch als externe Audits durchgeführt werden, allgemein als 'Second-Party-' oder 'Third-Party-Audits' bezeichnet. Second-Party-Audits werden von Parteien durchgeführt, die ein Interesse an dem Cloud-Anbieter haben, wie z. B. Cloud-Kunden, oder von anderen Personen in deren Auftrag. Third-Party-Audits werden von unabhängigen Auditorganisationen durchgeführt.
Ein Auditprogramm umfasst Regelungen für eine Reihe von einem oder mehreren Audits, die für einen bestimmten Zeitraum geplant und auf einen bestimmten Zweck ausgerichtet sind. Das Auditprogramm kann beispielsweise einen Zeitraum von drei Jahren umfassen und interne und externe Audits beinhalten.
COM-02 ist vollständig auf virtuelle Infrastruktur und 'Infrastructure as Code' anwendbar. Auditaktivitäten können den Betrieb in einer virtuellen Umgebung dennoch beeinträchtigen. Überprüfungen von Konfigurationen könnten beispielsweise im Rahmen von Codeprüfungen durchgeführt werden.
Risikobasierte Richtlinien und Verfahren mit Vorgaben für die Planung und Durchführung von Audits sind gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt und adressieren folgende Aspekte, um nachteilige Auswirkungen des Audits auf den Betrieb des Cloud-Dienstes zu verhindern:
- Beschränkung auf reinen Lesezugriff für Systemkomponenten gemäß der vereinbarten Auditplanung und wie es für die Durchführung der Aktivitäten notwendig ist;
- Aktivitäten, die zu Ausfällen, Verschlechterungen des Cloud-Dienstes oder Verletzungen gegen vertragliche Anforderungen führen können, werden während der planmäßigen Wartungsfester oder außerhalb der Zeiten von Lastspitzen durchgeführt;
- Protokollierung und Überwachung der Aktivitäten;
- Überprüfung der Konfigurationen von Server- und Netzkomponenten, die in der Verantwortung des Cloud-Anbieters liegen;
- Penetrationstests für externe Zugangspunkte; und
- Quellcodeprüfungen intern entwickelter Sicherheitsfunktionen.
Ergänzende Information
Siehe DEV-05 für weitere Erläuterungen zu Sicherheitsfunktionen.
Zusatzkriterium
COM-02.01AS
Zusatz, verschärft01BDer Cloud-Anbieter dokumentiert und implementiert ein dreijähriges Auditprogramm, das den Umfang und die Häufigkeit der Audits festlegt. Das Auditprogramm berücksichtigt das Änderungsmanagement, Richtlinien und die Ergebnisse der Risikobeurteilung (vgl. OIS-07).
Ergänzende Information
Gilt auch für 01B
Ein Audit ist ein systematischer, unabhängiger und dokumentierter Prozess zur Erlangung objektiver Nachweise und zu deren objektiver Bewertung, um festzustellen, inwieweit die Auditkriterien erfüllt sind. Audits können als interne Audits durchgeführt werden, manchmal auch als 'First-Party Audits', die von oder im Auftrag des Cloud-Anbieters selbst durchgeführt werden. Sie können auch als externe Audits durchgeführt werden, allgemein als 'Second-Party-' oder 'Third-Party-Audits' bezeichnet. Second-Party-Audits werden von Parteien durchgeführt, die ein Interesse an dem Cloud-Anbieter haben, wie z. B. Cloud-Kunden, oder von anderen Personen in deren Auftrag. Third-Party-Audits werden von unabhängigen Auditorganisationen durchgeführt.
Ein Auditprogramm umfasst Regelungen für eine Reihe von einem oder mehreren Audits, die für einen bestimmten Zeitraum geplant und auf einen bestimmten Zweck ausgerichtet sind. Das Auditprogramm kann beispielsweise einen Zeitraum von drei Jahren umfassen und interne und externe Audits beinhalten.
COM-02 ist vollständig auf virtuelle Infrastruktur und 'Infrastructure as Code' anwendbar. Auditaktivitäten können den Betrieb in einer virtuellen Umgebung dennoch beeinträchtigen. Überprüfungen von Konfigurationen könnten beispielsweise im Rahmen von Codeprüfungen durchgeführt werden.
COM-02.01AC
Zusatz, erweiterndDer Cloud-Anbieter gewährt seinen Cloud-Kunden vertraglich zugesicherte Informations- und Auditrechte. Diese Rechte können einzeln oder im Rahmen von Gruppenaudits ausgeübt werden.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass auf Ausfälle und Verschlechterungen des Cloud-Dienstes durch solche Audits angemessen reagiert wird.
Soweit vertraglich vereinbarte Informations- und Auditrechte vorliegen, stellen Cloud-Kunden mit geeigneten Kontrollen sicher, dass diese Rechte gemäß eigenen Anforderungen ausgestaltet und wahrgenommen werden.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen