COM-04 Informationen über die Informationssicherheitsleistung und Managementbewertung des ISMS
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
No change.
Zusatzkriterium
Additional criterion newly included.
Wortlaut in C5:2020
Basiskriterium
The top management of the Cloud Service Provider is regularly informed about the information security performance within the scope of the ISMS in order to ensure its continued suitability, adequacy and effectiveness. The information is included in the management review of the ISMS at is performed at least once a year.
Basiskriterium
Die oberste Leitung des Cloud-Anbieters wird regelmäßig über die Informationssicherheitsleistung im Anwendungsbereichs des ISMS informiert, um dessen fortdauernde Eignung, Angemessenheit und Wirksamkeit sicherzustellen. Die Informationen werden in die Managementbewertung des ISMS einbezogen. Diese Managementbewertung wird mindestens einmal jährlich durchgeführt.
Ergänzende Information
Die oberste Geschäftsleitung ist eine natürliche Person oder Personengruppe, die die endgültige Entscheidung für die Organisation trifft und für diese Entscheidung verantwortlich ist.
Die in der Managementbewertung des ISMS zu behandelnden Aspekte sind in Abschnitt 9.3 der ISO / IEC 27001 aufgeführt.
Zusatzkriterium
COM-04.01AC
Zusatz, erweiterndDer Cloud-Anbieter definiert und implementiert technische und betriebliche Kennzahlen, die mit seinen Geschäftszielen, seinen Sicherheitsanforderungen und Compliance-Verpflichtungen im Einklang stehen. Diese Kennzahlen werden dokumentiert und in die Managementbewertung des ISMS einbezogen, um ihre fortdauernde Eignung, Angemessenheit und Wirksamkeit sicherzustellen.
COM-04.02AC
Zusatz, erweiterndDie verantwortlichen Geschäftsbereiche des Cloud-Anbieters berichten der obersten Leitung mindestens jährlich über den Status und die Wirksamkeit der Richtlinien und Verfahren, die für die Managementbewertung des Informationssicherheitsmanagementsystems durch die oberste Leitung relevant sind. Diese Berichterstattung umfasst mindestens:
- Umgesetzte Änderungen zur Behandlung von Cybersicherheitsrisiken für das in der Richtlinie oder im Verfahren behandelte Thema;
- Informationssicherheitsvorfälle für das in der Richtlinie oder im Verfahren behandelte Thema und die Nachverfolgung;
- Leistung der internen Kontrollen hinsichtlich der Informationssicherheit für das in der Richtlinie oder im Verfahren behandelte Thema; und
- Geplante Änderungen für das in der Richtlinie oder im Verfahren behandelte Thema zur Behandlung von Cybersicherheitsrisiken sowie der Informationssicherheit und Cybersicherheit.
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen