# COM-04 Informationen über die Informationssicherheitsleistung und Managementbewertung des ISMS

- Bereich: COM – Compliance
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/com-04/

## Basiskriterium

### COM-04.01B

Die oberste Leitung des Cloud-Anbieters wird regelmäßig über die Informationssicherheitsleistung im Anwendungsbereichs des ISMS informiert, um dessen fortdauernde Eignung, Angemessenheit und Wirksamkeit sicherzustellen. Die Informationen werden in die Managementbewertung des ISMS einbezogen. Diese Managementbewertung wird mindestens einmal jährlich durchgeführt.

**Ergänzende Information:**

Die oberste Geschäftsleitung ist eine natürliche Person oder Personengruppe, die die endgültige Entscheidung für die Organisation trifft und für diese Entscheidung verantwortlich ist.

Die in der Managementbewertung des ISMS zu behandelnden Aspekte sind in Abschnitt 9.3 der ISO / IEC 27001 aufgeführt.

## Zusatzkriterium

### COM-04.01AC (Zusatz, erweiternd)

Der Cloud-Anbieter definiert und implementiert technische und betriebliche Kennzahlen, die mit seinen Geschäftszielen, seinen Sicherheitsanforderungen und Compliance-Verpflichtungen im Einklang stehen. Diese Kennzahlen werden dokumentiert und in die Managementbewertung des ISMS einbezogen, um ihre fortdauernde Eignung, Angemessenheit und Wirksamkeit sicherzustellen.

### COM-04.02AC (Zusatz, erweiternd)

Die verantwortlichen Geschäftsbereiche des Cloud-Anbieters berichten der obersten Leitung mindestens jährlich über den Status und die Wirksamkeit der Richtlinien und Verfahren, die für die Managementbewertung des Informationssicherheitsmanagementsystems durch die oberste Leitung relevant sind. Diese Berichterstattung umfasst mindestens:

1. Umgesetzte Änderungen zur Behandlung von Cybersicherheitsrisiken für das in der Richtlinie oder im Verfahren behandelte Thema;
2. Informationssicherheitsvorfälle für das in der Richtlinie oder im Verfahren behandelte Thema und die Nachverfolgung;
3. Leistung der internen Kontrollen hinsichtlich der Informationssicherheit für das in der Richtlinie oder im Verfahren behandelte Thema; und
4. Geplante Änderungen für das in der Richtlinie oder im Verfahren behandelte Thema zur Behandlung von Cybersicherheitsrisiken sowie der Informationssicherheit und Cybersicherheit.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

No change.

**Zusatzkriterium:**

Additional criterion newly included.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.