# COM-03 Interne Audits des Informationssicherheitsmanagementsystems

- Bereich: COM – Compliance
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/com-03/

## Basiskriterium

### COM-03.01B

Sachverständiges Personal überprüft in regelmäßigen Abständen, mindestens jährlich, in internen Audits die Compliance des Informationssicherheitsmanagementsystems mit den relevanten und anwendbaren gesetzlichen, regulatorischen, selbstauferlegten oder vertraglichen Anforderungen (vgl. COM-01). Dies umfasst Prüfungen hinsichtlich:

1. Einhaltung der Richtlinien und Verfahren (vgl. SP-01) innerhalb ihres Verantwortungsbereichs (vgl. OIS-01); und
2. Wirksamkeit organisatorischer und betrieblicher Maßnahmen zur Steuerung der Risiken, die für die Sicherheit von Netz- und Informationssystemen bestehen (vgl. OIS-07).

**Ergänzende Information:**

Sachverständiges Personal sind beispielsweise in der Internen Revision des Cloud-Anbieters tätig oder sind vom Cloud-Anbieter beauftragte fachkundige Dritte, wie etwa Prüfungsgesellschaften, und können über einschlägige Zertifizierungen wie 'Certified Internal Auditor (CIA)' verfügen.

Bezüglich Compliance des ISMS vgl. Abschnitt 9.2 der ISO/IEC 27001, der die Anforderungen an die Durchführung interner Audits eines Informationssicherheitsmanagementsystems (ISMS) und an die Einrichtung eines internen Auditprogramms darlegt. Bei der Einrichtung des/der internen Auditprogramme(s) sollte der Cloud-Anbieter den Umfang und die Kriterien unter Berücksichtigung der Bedeutung der betreffenden Prozesse und der Ergebnisse früherer Audits festlegen. Dieser Ansatz ermöglicht es Cloud-Anbietern, den Auditumfang auf Grundlage der Kritikalität der Einhaltung relevanter gesetzlicher, regulatorischer oder vertraglicher Anforderungen (vgl. COM-01) sowie interner Richtlinien und Verfahren (vgl. SP-01) festzulegen, ohne bei jedem Auditzyklus eine umfassende Überprüfung aller Anforderungen zu verlangen.

### COM-03.02B

Sachverständiges Personal, das interne Audits durchführt, stehen nicht in der Weisungslinie des Personals des überprüften Bereichs. Wenn die Größe des Cloud-Anbieters eine solche Trennung der Weisungslinie nicht zulässt, werden alternative Maßnahmen umgesetzt, um die Unparteilichkeit der Compliance-Prüfungen zu gewährleisten.

### COM-03.03B

Identifizierte Schwachstellen und Abweichungen sowie Nichtkonformitäten mit den anwendbaren gesetzlichen, regulatorischen, selbst auferlegten und vertraglichen Anforderungen, die für die Informationssicherheit des Cloud-Dienstes relevant sind, werden gemäß dem Risikomanagementverfahren (vgl. OIS-07) einer Risikobeurteilung unterzogen. Folgemaßnahmen werden definiert und nachverfolgt (vgl. OPS-18).

## Zusatzkriterium

### COM-03.01AC (Zusatz, erweiternd)

Auf Grundlage einer Risikobeurteilung (vgl. OIS-07) und der technischen Machbarkeit entscheidet der Cloud-Anbieter, in welchem Umfang interne Audits durch Verfahren ergänzt werden, um anwendbare Anforderungen von Richtlinien und Verfahren in Bezug auf die folgenden Aspekte automatisch zu überwachen:

1. Konfiguration von Systemkomponenten zur Bereitstellung des Cloud-Dienstes innerhalb des Verantwortungsbereichs des Cloud-Anbieters;
2. Leistung und Verfügbarkeit dieser Systemkomponenten;
3. Reaktionszeit auf Vorfälle und Sicherheitsvorfälle; und
4. Wiederherstellungszeit (Zeitraum bis zum Abschluss der Fehlerbehandlung).

### COM-03.02AC (Zusatz, erweiternd)

Identifizierte Schwachstellen und Abweichungen werden automatisch an das dafür zuständige Personal oder die dafür zuständigen Systemkomponenten des Cloud-Anbieters berichtet, um diese umgehend einer Beurteilung zu unterziehen und erforderliche Maßnahmen einzuleiten.

### COM-03.03AC (Zusatz, erweiternd)

Der Cloud-Anbieter stellt Cloud-Kunden Schnittstellen zur Verfügung, damit diese die Einhaltung ausgewählter vertraglicher Vereinbarungen in Echtzeit prüfen können.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Included effectiveness of organisational and operational measures to manage the risks posed to the security of network and information systems as one aspect to be checked. Also formatted requirement as a list for better readability.

Added requirement regarding the separation of the lines of authority.

Added  non-conformities from the applicable legal, regulatory, self-imposed and contractual requirements as one of the aspects to be covered in the risk assessment.

**Zusatzkriterium:**

Modified requirment for the procedures for the automatic monitoring of certain internal audit-relevant aspects to be based on a risk assessment and technical feasibility.

Further specified the means by which cloud service customers can check compliance in real time to be interfaces provided by the cloud service provider.

Bullet points are now sorted to ease discussions about specific list items.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.