GC-06 Angaben zu Zertifizierungen oder Bescheinigungen

Der Cloud-Anbieter macht in der Systembeschreibung des für die Entwicklung und den Betrieb des Cloud-Dienstes relevanten internen Kontrollsystems des Cloud-Anbieters nachvollziehbare und transparente Angaben zu vorhandenen und gültigen Zertifizierungen oder Bescheinigungen unabhängiger Dritter in Bezug auf die folgenden Aspekte des Cloud-Dienstes:

1. Konformität der Managementsysteme für Informationssicherheit, Betriebskontinuität und Qualität mit anwendbaren internationalen Standards;
2. Einhaltung der europäischen Datenschutz-Grundverordnung (DSGVO);
3. Angemessenheit der Ausgestaltung oder der Wirksamkeit von Kontrollen des internen Kontrollsystems in Bezug auf die anwendbaren Kriterien;
4. Zertifizierungen oder Bescheinigungen (Prüfberichte) gemäß branchenspezifischen Anforderungen von Cloud-Kunden; und
5. Zertifizierungen oder Bescheinigungen (Prüfberichte) in Bezug auf Umwelt-, Sozial- und Unternehmensführungs-Standards (engl. Environmental, Social and Governance, ESG).

Soweit für die Zertifizierung oder Bescheinigung anwendbar, werden folgende Angaben gemacht:

1. Ausstellungsdatum;
2. Ausstellende Organisation;
3. Anwendbarer Geltungsbereich; und
4. Datum oder Zeitraum der Gültigkeit oder Abdeckung.

Der Umfang der Angaben orientiert sich am Bedarf sachverständigen Personals der Cloud-Kunden, die Vorgaben zur Informationssicherheit machen, diese umsetzen oder die Umsetzung überprüfen und die Eignung des Cloud-Dienstes aus rechtlicher und regulatorischer Sicht beurteilen (bspw. IT, Compliance, Interne Revision).