HR-03 Programm zur Sicherheitsausbildung und Sensibilisierung
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Further specified frequency of personnel undergoing training by requiring it to additionally be undergone when changing job functions as well.
Extend aspects to be included in the awareness and training programm by security best practices and secure development.
Added requirement regarding the measurement and evaluation of the awareness and training programmes.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
Added additional requirement that the awareness programme is not just undegone regularly, but yearly.
Added requirement regarding the monitoring of the awareness and training programme through the cloud service provider.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider operates a target group-oriented security awareness and training program, which is completed by all internal and external employees of the Cloud Service Provider on a regular basis. The program is regularly updated based on changes to policies and instructions and the current threat situation and includes the following aspects:
- Handling system components used to provide the cloud service in the production environment in accordance with applicable policies and procedures;
- Handling cloud customer data in accordance with applicable policies and instructions and applicable legal and regulatory requirements;
- Information about the current threat situation; and
- Correct behaviour in the event of security incidents.
Zusatzkriterium
The learning outcomes achieved through the awareness and training programme are measured and evaluated in a target group-oriented manner. The measurements cover quantitative and qualitative aspects. The results are used to improve the awareness and training programme.
Basiskriterium
Der Cloud-Anbieter betreibt ein zielgruppenorientiertes Sensibilisierungs- und Schulungsprogramm für Sicherheit.
Ergänzende Information
Die Zielgruppen können unter Berücksichtigung der Tätigkeit, der Position und der damit verbundenen Risikoklassifizierung definiert werden. Zielgruppen dienen der Vereinfachung und Systematisierung des Sensibilisierungs- und Schulungsprogramms für Sicherheit.
Das gesamte interne und externe Personal des Cloud-Anbieters durchläuft regelmäßig und bei Änderung der Tätigkeit ein rollenbasiertes Schulungsprogramm, wobei mindestens die Risikoklassifizierung und die technischen Verantwortlichkeiten der Position des jeweiligen Personals berücksichtigt werden.
Das Programm wird, ausgehend von Änderungen an Richtlinien und Verfahren sowie der aktuellen Bedrohungslage, regelmäßig aktualisiert und umfasst, soweit sie für die Rolle des jeweiligen Personals anwendbar sind, die folgenden Aspekte:
- Umgang mit Systemkomponenten, die zur Bereitstellung des Cloud-Dienstes in der Produktionsumgebung verwendet werden, gemäß den anwendbaren Richtlinien und Verfahren;
- Umgang mit Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten gemäß den anwendbaren Richtlinien und Verfahren sowie den geltenden gesetzlichen und regulatorischen Anforderungen;
- Information über die aktuelle Bedrohungslage;
- Richtiges Verhalten bei Sicherheitsvorfällen;
- Sicherheits-Best-Practices; und
- Sichere Entwicklung.
Die durch das Sensibilisierungs- und Schulungsprogramm erzielten Lernerfolge werden gemessen und ausgewertet.
Zusatzkriterium
HR-03.02AS
Zusatz, verschärft02BDas gesamte interne und externe Personal des Cloud-Anbieters durchläuft mindestens jährlich und bei Änderung der Tätigkeit ein rollenbasiertes Schulungsprogramm, wobei mindestens die Risikoklassifizierung und die technischen Verantwortlichkeiten seiner Position berücksichtigt werden.
HR-03.01AC
Zusatz, erweiterndDer Cloud-Anbieter überwacht den Abschluss des Sensibilisierungs- und Schulungsprogramms für Sicherheit.
HR-03.02AC
Zusatz, erweiterndZeitnahe und angemessene Maßnahmen zur Behebung aller während der Überwachung identifizierten Abweichungen.
HR-03.03AC
Zusatz, erweiterndDie durch das Sensibilisierungs- und Schulungsprogramm erzielten Lernerfolge werden zielgruppenbezogen gemessen und ausgewertet.
Ergänzende Information
Die Messung und Bewertung von Lernergebnissen auf zielgruppenbezogener Weise, wie durch das Zusatz-Unterkriterium festgelegt, erfordert keine Bewertung jedes einzelnen Mitglieds des Personals. Stattdessen können Bewertungen auf aggregierter Ebene durchgeführt werden, wobei der Schwerpunkt auf der Gesamteffektivität des Schulungsprogramms für bestimmte Zielgruppen liegt. Dieser Ansatz ermöglicht die Identifizierung von Trends und Verbesserungsbereichen innerhalb des Programms unter Wahrung der Datenschutzanforderungen des Personals.
HR-03.04AC
Zusatz, erweiterndDie Messungen umfassen quantitative und qualitative Aspekte.
HR-03.05AC
Zusatz, erweiterndDie Ergebnisse fließen in die Verbesserung des Sensibilisierungs- und Schulungsangebots ein.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen