HR-02 Beschäftigungs- und Vertragsbedingungen
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Added requirements further qualifying the employment terms and conditions.
Added requirement regarding the personnel being instructed on the code of ethics and the information security policy, as well as the policies, procedures and instructions.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider's internal and external employees are required by the employment terms and conditions to comply with applicable policies and instructions relating to information security.
The information security policy, and the policies and instructions based on it, are to be acknowledged by the internal and external personnel in a documented form before access is granted to any cloud customer data or system components under the responsibility of the Cloud Service Provider used to provide the cloud service in the production environment.
Basiskriterium
Der Cloud-Anbieter stellt sicher, dass die Beschäftigungs- und Vertragsbedingungen die geltenden gesetzlichen und regulatorischen Anforderungen gemäß SP-01 widerspiegeln.
Das interne und externe Personal des Cloud-Anbieters werden in den Beschäftigungs- und Vertragsbedingungen auf die Einhaltung des Verhaltenskodex und der Informationssicherheitsrichtlinie sowie der darauf basierenden Richtlinien, Verfahren und Anweisungen verpflichtet.
Der Cloud-Anbieter stellt sicher, dass eine Geheimhaltungsklausel in die Bedingungen für sämtliches internes und externes Personal aufgenommen wird. Die Geheimhaltungsklausel umfasst sämtliche Informationen, einschließlich anonymisierter und pseudonymisierter Informationen, die das Personal im Rahmen des Cloud-Dienstes erhält oder erzeugt.
Ergänzende Information
Diese Vereinbarungen werden in HR-06 näher geregelt.
Der Cloud-Anbieter weist sein Personal vor der Gewährung eines Zugriffs auf Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten oder auf Systemkomponenten unter der Verantwortung des Cloud-Anbieters, die zur Bereitstellung des Cloud-Dienstes in der Produktionsumgebung verwendet werden, in den Verhaltenskodex und die Informationssicherheitsrichtlinie sowie die darauf basierenden Richtlinien, Verfahren und Anweisungen ein.
Zusätzlich verlangt der Cloud-Anbieter, dass der Verhaltenskodex und die Informationssicherheitsrichtlinie sowie die darauf basierenden Richtlinien, Verfahren und Anweisungen vom internen und externen Personal in dokumentierter Form anerkannt werden, bevor Zugriff auf eine der vorgenannten Daten oder Systemkomponenten gewährt wird.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen