C5 Field Guideinoffiziell

HR · Personal

HR-01 Überprüfung der Qualifikation und Vertrauenswürdigkeit

7 Unterkriterien: 6 Basis, 1 Zusatz

Geändert gegenüber C5:2020

Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.

Basiskriterium

Added requirement for determining which roles within the organisation have access to which type of data and for classifying positions.

Merged requirement to review a police clearance certificate and a certificacte of good conduct into a single requirement demanding only one of the certificated to be reviewed.

Added requirements regarding role changes of the personnel.

Bullet points are now sorted to ease discussions about specific list items.

Zusatzkriterium

Additional criterion newly included.

Wortlaut in C5:2020

Basiskriterium

The competency and integrity of all internal and external employees of the Cloud Service Provider with access to cloud customer data or system components under the Cloud Service Provider's responsibility who are responsible to provide the cloud service in the production environment shall be verified prior to commencement of employment in accordance with local legislation and regulation by the Cloud Service Provider.

To the extent permitted by law, the review will cover the following areas:

  • Verification of the person through identity card;
  • Verification of the CV;
  • Verification of academic titles and degrees;
  • Request of a police clearance certificate for applicants;
  • Certificate of good conduct or national equivalent; and
  • Evaluation of the risk to be blackmailed.

Alle Änderungen gegenüber C5:2020

Basiskriterium

HR-01.01B

Der Cloud-Anbieter identifiziert für die Produktionsumgebung, welche Rollen innerhalb der Organisation auf Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten, Cloud-Anbieterdaten, Kontodaten oder Systemkomponenten unter der Verantwortung des Cloud-Anbieters zugreifen können.

Ergänzende Information

Dieses Kriterium gilt sowohl für bestehendes als auch für neu eingestelltes Personal. Rollen mit Zugriff auf diese Datentypen oder Systemkomponenten können abhängig von ihren Zugriffsrechten unter anderem die folgenden umfassen:

  1. Cloud-Software-Ingenieure und -entwickler;
  2. Cloud-Architekten und Cloud-Infrastruktur-Ingenieure;
  3. Cloud-Plattform-Ingenieure und DevOps-Ingenieure;
  4. Ingenieure und Manager für den Cloud-Systembetrieb;
  5. Cloud-Dienstingenieure und -manager;
  6. Cloud-Netzwerkingenieure und Leitende Architekten;
  7. Cloud-Sicherheitsingenieure, -Administratoren und -Sicherheitsarchitekten;
  8. Spezialisten und Analysten für Cloud-Sicherheitsbetrieb;
  9. Speicher- und Datenbank-Ingenieure;
  10. Technische Account Manager und Customer Account Manager;
  11. Kundensupport-Ingenieure;
  12. IAM-Administratoren und Spezialisten für Zugriffs- und Berechtigungsmanagement;
  13. Cloud-Compliance-Manager sowie Risiko- und Compliance-Analysten; und
  14. Informationssicherheitsbeauftragte und Datenschutzbeauftragte.

Der Begriff Personal bezieht sich sowohl auf internes als auch auf externes Personal.

HR-01.02B

Die Qualifikation und Vertrauenswürdigkeit des gesamten internen und externen Personals, dem diese Rollen zugewiesen sind, wird vor der Beschäftigung überprüft. Die Überprüfung berücksichtigt die folgenden Maßnahmen, soweit dies nach lokaler Gesetzgebung und Regulierung zulässig ist und vom Cloud-Anbieter als angemessen angesehen wird, um Risiken im Zusammenhang mit unangemessenem Zugriff auf den jeweiligen Datentyp zu mitigieren:

  1. Überprüfung der Identität der Person anhand des Personalausweises oder Reisepasses;
  2. Überprüfung der Berufserfahrung anhand des Lebenslaufs;
  3. Überprüfung akademischer Titel und Abschlüsse;
  4. Anforderung eines Führungszeugnisses, einer polizeilichen Unbedenklichkeitsbescheinigung oder anderer nationaler Äquivalente; und
  5. Bewertung der Erpressbarkeit.
Ergänzende Information

Dieses Kriterium gilt sowohl für bestehendes als auch für neu eingestelltes Personal. Externes Personal im Sinne des Kriteriums ist solches, das Tätigkeiten in Übereinstimmung mit den Prozessen und Verfahren des Cloud-Anbieters ausführt und potenziellen Zugriff auf Cloud-Kundendaten oder abgeleitete Cloud-Dienstdaten hat. Personal von Service-Organisationen, das Tätigkeiten nach den eigenen Prozessen und Verfahren der Service-Organisation ausführt, wird von diesem Kriterium nicht erfasst.

Zulässige Überprüfungen von Qualifikation und Vertrauenswürdigkeit richten sich nach den jeweils geltenden lokalen Gesetzen und den Rollen des Personals. In einigen Rechtsordnungen ist die Erhebung, Verarbeitung oder Offenlegung solcher Informationen grundsätzlich eingeschränkt oder sogar verboten, was bedeutet, dass sie möglicherweise überhaupt nicht oder nur in sehr eingeschränkter Form erlangt werden können. Soweit zulässig, kann je nach Art und Umfang der Prüfungen die ausdrückliche Einwilligung des Personals erforderlich sein. Diese rechtlichen Beschränkungen gelten auch für sämtliche Analysen in Bezug auf Erpressbarkeit.

Die Überprüfung der Qualifikation und Vertrauenswürdigkeit kann durch einen spezialisierten Dienstleister unterstützt werden oder auf freiwilliger Selbstauskunft des Personals beruhen. Je nach nationaler Gesetzgebung sind auch nationale Pendants des deutschen Führungszeugnisses zulässig. Die Beurteilung der Erpressbarkeit potenziellen Personals kann die Bewertung seiner Kreditwürdigkeit umfassen. Diese Beurteilung kann jedoch abhängig von lokalen Regelungen nur für Positionen mit erheblicher finanzieller Verantwortung rechtlich zulässig sein.

Risiken im Zusammenhang mit unangemessenem Zugriff auf Cloud-Kundendaten können durch den Einsatz von Verschlüsselung oder die Überwachung von Systemzugriffen auf verdächtige Ereignisse mitigiert werden. Obwohl solche Maßnahmen die oben genannten Verifikationsmaßnahmen nicht vollständig ersetzen sollen, kann der Umfang dieser Verifikationsmaßnahmen reduziert werden.

HR-01.03B

Der Cloud-Anbieter berücksichtigt Änderungen der Rollen des Personals oder des Beschäftigungsstatus, die sich auf Zugriffsrechte, Verantwortlichkeiten oder die Risikoexposition auswirken können, und identifiziert und mitigiert damit verbundene Risiken.

HR-01.04B

Der Cloud-Anbieter klassifiziert sicherheitssensible Positionen entsprechend ihrem Risikoniveau, einschließlich IT-Administrationsrollen und aller Positionen mit Zugriff auf Cloud-Kundendaten oder auf Systemkomponenten, die zur Bereitstellung des Cloud-Dienstes in der Produktionsumgebung verwendet werden.

HR-01.05B

Der Cloud-Anbieter beurteilt die Qualifikation und Vertrauenswürdigkeit seines Personals vor einer Versetzung oder Beförderung in eine Rolle mit höherer Risikoklassifizierung.

HR-01.06B

Die Intensität der in diesem Kriterium definierten Beurteilung steht im Verhältnis zum geschäftlichen Kontext, zur Sensibilität der Informationen, auf die das Personal zugreifen wird, und zu den damit verbundenen Risiken.

Zusatzkriterium

HR-01.01AC

Zusatz, erweiternd

Der Cloud-Anbieter definiert in der Personalrichtlinie Positionen mit Stufen und Risikoklassifizierung, die eine regelmäßige Beurteilung von Qualifikation und Vertrauenswürdigkeit erfordern. Der Cloud-Anbieter überprüft jährlich seine Beurteilung der Qualifikation und Vertrauenswürdigkeit für Personal, das den definierten Positionen angehört.

Ergänzende Information

Cloud-Anbieter können verschiedene Methoden umsetzen, um Qualifikation und Vertrauenswürdigkeit von Personal in Hochrisikopositionen zu beurteilen, wie zum Beispiel:

  1. Selbstauskunft über wesentliche finanzielle Interessen zur Feststellung von Interessenkonflikten und Erpressbarkeit;
  2. Regelmäßige Prüfung von Führungszeugnissen, polizeilichen Unbedenklichkeitsbescheinigungen oder anderen nationalen Äquivalenten;
  3. Regelmäßige Selbsterklärung der Verpflichtung gegenüber geltenden Richtlinien und Verpflichtungen;
  4. Durchsetzung regelmäßiger Ethik- und Compliance-Schulungen, einschließlich Zertifizierung und Überprüfung des Verständnisses des Personals für geltende Anforderungen und Richtlinien;
  5. Durchsetzung der regelmäßigen Teilnahme an Assessment-Centern zur Bewertung der Qualifikation und Vertrauenswürdigkeit des Personals; und
  6. Regelmäßige Überprüfung des Personals anhand nationaler und internationaler Sanktionslisten.

Verwandte Kriterien

Kriterien, die HR-01 referenzieren

Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen