# COM-02 Richtlinie für die Planung und Durchführung von Audits

- Bereich: COM – Compliance
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/com-02/

## Basiskriterium

### COM-02.01B

Der Cloud-Anbieter dokumentiert und implementiert ein mehrjähriges Auditprogramm, das den Umfang und die Häufigkeit der Audits festlegt. Das Auditprogramm berücksichtigt das Änderungsmanagement, Richtlinien und die Ergebnisse der Risikobeurteilung (vgl. OIS-07).

**Ergänzende Information (zu 01B, 01AS):**

Ein Audit ist ein systematischer, unabhängiger und dokumentierter Prozess zur Erlangung objektiver Nachweise und zu deren objektiver Bewertung, um festzustellen, inwieweit die Auditkriterien erfüllt sind. Audits können als interne Audits durchgeführt werden, manchmal auch als 'First-Party Audits', die von oder im Auftrag des Cloud-Anbieters selbst durchgeführt werden. Sie können auch als externe Audits durchgeführt werden, allgemein als 'Second-Party-' oder 'Third-Party-Audits' bezeichnet. Second-Party-Audits werden von Parteien durchgeführt, die ein Interesse an dem Cloud-Anbieter haben, wie z. B. Cloud-Kunden, oder von anderen Personen in deren Auftrag. Third-Party-Audits werden von unabhängigen Auditorganisationen durchgeführt.

Ein Auditprogramm umfasst Regelungen für eine Reihe von einem oder mehreren Audits, die für einen bestimmten Zeitraum geplant und auf einen bestimmten Zweck ausgerichtet sind. Das Auditprogramm kann beispielsweise einen Zeitraum von drei Jahren umfassen und interne und externe Audits beinhalten.

COM-02 ist vollständig auf virtuelle Infrastruktur und 'Infrastructure as Code' anwendbar. Auditaktivitäten können den Betrieb in einer virtuellen Umgebung dennoch beeinträchtigen. Überprüfungen von Konfigurationen könnten beispielsweise im Rahmen von Codeprüfungen durchgeführt werden.

### COM-02.02B

Risikobasierte Richtlinien und Verfahren mit Vorgaben für die Planung und Durchführung von Audits sind gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt und adressieren folgende Aspekte, um nachteilige Auswirkungen des Audits auf den Betrieb des Cloud-Dienstes zu verhindern:

1. Beschränkung auf reinen Lesezugriff für Systemkomponenten gemäß der vereinbarten Auditplanung und wie es für die Durchführung der Aktivitäten notwendig ist;
2. Aktivitäten, die zu Ausfällen, Verschlechterungen des Cloud-Dienstes oder Verletzungen gegen vertragliche Anforderungen führen können, werden während der planmäßigen Wartungsfester oder außerhalb der Zeiten von Lastspitzen durchgeführt;
3. Protokollierung und Überwachung der Aktivitäten;
4. Überprüfung der Konfigurationen von Server- und Netzkomponenten, die in der Verantwortung des Cloud-Anbieters liegen;
5. Penetrationstests für externe Zugangspunkte; und
6. Quellcodeprüfungen intern entwickelter Sicherheitsfunktionen.

**Ergänzende Information:**

Siehe DEV-05 für weitere Erläuterungen zu Sicherheitsfunktionen.

## Zusatzkriterium

### COM-02.01AS (Zusatz, verschärft 01B)

Der Cloud-Anbieter dokumentiert und implementiert ein dreijähriges Auditprogramm, das den Umfang und die Häufigkeit der Audits festlegt. Das Auditprogramm berücksichtigt das Änderungsmanagement, Richtlinien und die Ergebnisse der Risikobeurteilung (vgl. OIS-07).

### COM-02.01AC (Zusatz, erweiternd)

Der Cloud-Anbieter gewährt seinen Cloud-Kunden vertraglich zugesicherte Informations- und Auditrechte. Diese Rechte können einzeln oder im Rahmen von Gruppenaudits ausgeübt werden.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass auf Ausfälle und Verschlechterungen des Cloud-Dienstes durch solche Audits angemessen reagiert wird.

Soweit vertraglich vereinbarte Informations- und Auditrechte vorliegen, stellen Cloud-Kunden mit geeigneten Kontrollen sicher, dass diese Rechte gemäß eigenen Anforderungen ausgestaltet und wahrgenommen werden.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Added requirements for the implementation of an audit programme over multiple years.

Extended aspects to be addressed by the policies by a review of server and network equipment configurations, intrusion testing and source code reviews.

Bullet points are now sorted to ease discussions about specific list items.

**Zusatzkriterium:**

Added requirement for the implementation of an audit programme over three years.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.