HR-06 Vertraulichkeitsvereinbarungen
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Further specified frequency of reviews by requiring them to be conducted in case of significant changes to the cloud service as well.
Added requirement regarding cases in which no agreement regarding updated confidentiality agreements can be reached.
Wortlaut in C5:2020
Basiskriterium
The non-disclosure or confidentiality agreements to be agreed with internal employees, external service providers and suppliers of the Cloud Service Provider are based on the requirements identified by the Cloud Service Provider for the protection of confidential information and operational details.
The agreements are to be accepted by external service providers and suppliers when the contract is agreed. The agreements must be accepted by internal employees of the Cloud Service Provider before authorisation to access data of cloud customers is granted.
The requirements must be documented and reviewed at regular intervals (at least annually). If the review shows that the requirements need to be adapted, the non-disclosure or confidentiality agreements are updated.
The Cloud Service Provider must inform the internal employees, external service providers and suppliers and obtain confirmation of the updated confidentiality or non-disclosure agreement.
Basiskriterium
Die mit internem Personal und Service-Organisationen des Cloud-Anbieters zu vereinbarenden Geheimhaltungs- oder Vertraulichkeitsvereinbarungen basieren auf den vom Cloud-Anbieter identifizierten Anforderungen zum Schutz vertraulicher Informationen und betrieblicher Details.
Ergänzende Information
Eine Vertraulichkeitsvereinbarung (engl. Non-Disclosure Agreement, NDA) ist ein rechtliches Dokument und enthält Informationen, die von beiden Parteien zum Schutz vertraulicher Informationen benötigt werden. Prozesse und Verfahren im Zusammenhang mit dem Umgang mit Medien können separat außerhalb des NDA verwaltet werden. Ein NDA sollte Folgendes abdecken:
- Welche Informationen oder Datentypen vertraulich behandelt werden müssen;
- Für welchen Zeitraum diese Vertraulichkeitsvereinbarung gilt;
- Welche Aktionen bei Beendigung dieser Vereinbarung vorgenommen werden müssen, z. B. Vernichtung oder Rückgabe von Datenträgern;
- Wie die Eigentumsrechte an Informationen geregelt sind;
- Welche Regelungen für den Gebrauch und die Weitergabe von vertraulichen Informationen an weitere Partner gelten, falls dies notwendig ist;
- Welche Konsequenzen bei Verletzung der Vereinbarung eintreten..
Diese Vereinbarungen werden allgemein in HR-02 beschrieben.
Die Vereinbarungen sind mit Service-Organisationen bei Vertragsabschluss zu schließen.
Die Vereinbarungen sind mit internem Personal des Cloud-Anbieters zu schließen, bevor die Berechtigung zum Zugriff auf Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten erteilt wird.
Die Anforderungen sind zu dokumentieren sowie in regelmäßigen Abständen (mindestens jährlich) und bei wesentlichen Änderungen des Cloud-Dienstes zu überprüfen. Soweit sich aus der Überprüfung ergibt, dass die Anforderungen anzupassen sind, werden die Geheimhaltungs- oder Vertraulichkeitsvereinbarungen aktualisiert.
Der Cloud-Anbieter informiert das interne Personal und die Service-Organisationen hierüber und schließt mit diesen die aktualisierten Geheimhaltungs- oder Vertraulichkeitsvereinbarungen.
In Fällen, in denen eine Einigung über die Aktualisierungen nicht erzielt werden kann, beurteilt der Cloud-Anbieter die daraus resultierenden Risiken für die Informationssicherheit gemäß OIS-07.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen