# HR-02 Beschäftigungs- und Vertragsbedingungen

- Bereich: HR – Personal
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/hr-02/

## Basiskriterium

### HR-02.01B

Der Cloud-Anbieter stellt sicher, dass die Beschäftigungs- und Vertragsbedingungen die geltenden gesetzlichen und regulatorischen Anforderungen gemäß SP-01 widerspiegeln.

### HR-02.02B

Das interne und externe Personal des Cloud-Anbieters werden in den Beschäftigungs- und Vertragsbedingungen auf die Einhaltung des Verhaltenskodex und der Informationssicherheitsrichtlinie sowie der darauf basierenden Richtlinien, Verfahren und Anweisungen verpflichtet.

### HR-02.03B

Der Cloud-Anbieter stellt sicher, dass eine Geheimhaltungsklausel in die Bedingungen für sämtliches internes und externes Personal aufgenommen wird. Die Geheimhaltungsklausel umfasst sämtliche Informationen, einschließlich anonymisierter und pseudonymisierter Informationen, die das Personal im Rahmen des Cloud-Dienstes erhält oder erzeugt.

**Ergänzende Information:**

Diese Vereinbarungen werden in HR-06 näher geregelt.

### HR-02.04B

Der Cloud-Anbieter weist sein Personal vor der Gewährung eines Zugriffs auf Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten oder auf Systemkomponenten unter der Verantwortung des Cloud-Anbieters, die zur Bereitstellung des Cloud-Dienstes in der Produktionsumgebung verwendet werden, in den Verhaltenskodex und die Informationssicherheitsrichtlinie sowie die darauf basierenden Richtlinien, Verfahren und Anweisungen ein.

### HR-02.05B

Zusätzlich verlangt der Cloud-Anbieter, dass der Verhaltenskodex und die Informationssicherheitsrichtlinie sowie die darauf basierenden Richtlinien, Verfahren und Anweisungen vom internen und externen Personal in dokumentierter Form anerkannt werden, bevor Zugriff auf eine der vorgenannten Daten oder Systemkomponenten gewährt wird.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Specified which data types the criterion applies to.

Added requirements further qualifying the employment terms and conditions.

Added requirement regarding the personnel being instructed on the code of ethics and the information security policy, as well as the policies, procedures and instructions.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.