# HR-06 Vertraulichkeitsvereinbarungen - Bereich: HR – Personal - Gegenüber C5:2020: geändert - Webseite: https://c5.patrickscheid.de/hr-06/ ## Basiskriterium ### HR-06.01B Die mit internem Personal und Service-Organisationen des Cloud-Anbieters zu vereinbarenden Geheimhaltungs- oder Vertraulichkeitsvereinbarungen basieren auf den vom Cloud-Anbieter identifizierten Anforderungen zum Schutz vertraulicher Informationen und betrieblicher Details. **Ergänzende Information:** Eine Vertraulichkeitsvereinbarung (engl. Non-Disclosure Agreement, NDA) ist ein rechtliches Dokument und enthält Informationen, die von beiden Parteien zum Schutz vertraulicher Informationen benötigt werden. Prozesse und Verfahren im Zusammenhang mit dem Umgang mit Medien können separat außerhalb des NDA verwaltet werden. Ein NDA sollte Folgendes abdecken: 1. Welche Informationen oder Datentypen vertraulich behandelt werden müssen; 2. Für welchen Zeitraum diese Vertraulichkeitsvereinbarung gilt; 3. Welche Aktionen bei Beendigung dieser Vereinbarung vorgenommen werden müssen, z. B. Vernichtung oder Rückgabe von Datenträgern; 4. Wie die Eigentumsrechte an Informationen geregelt sind; 5. Welche Regelungen für den Gebrauch und die Weitergabe von vertraulichen Informationen an weitere Partner gelten, falls dies notwendig ist; 6. Welche Konsequenzen bei Verletzung der Vereinbarung eintreten.. Diese Vereinbarungen werden allgemein in HR-02 beschrieben. ### HR-06.02B Die Vereinbarungen sind mit Service-Organisationen bei Vertragsabschluss zu schließen. **Ergänzende Information (zu 02B, 03B, 05B):** Geheimhaltungs- oder Vertraulichkeitsvereinbarungen sollten, soweit dies rechtsverbindlich ist, mittels einer elektronischen Signatur unterschrieben werden. ### HR-06.03B Die Vereinbarungen sind mit internem Personal des Cloud-Anbieters zu schließen, bevor die Berechtigung zum Zugriff auf Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten erteilt wird. ### HR-06.04B Die Anforderungen sind zu dokumentieren sowie in regelmäßigen Abständen (mindestens jährlich) und bei wesentlichen Änderungen des Cloud-Dienstes zu überprüfen. Soweit sich aus der Überprüfung ergibt, dass die Anforderungen anzupassen sind, werden die Geheimhaltungs- oder Vertraulichkeitsvereinbarungen aktualisiert. ### HR-06.05B Der Cloud-Anbieter informiert das interne Personal und die Service-Organisationen hierüber und schließt mit diesen die aktualisierten Geheimhaltungs- oder Vertraulichkeitsvereinbarungen. ### HR-06.06B In Fällen, in denen eine Einigung über die Aktualisierungen nicht erzielt werden kann, beurteilt der Cloud-Anbieter die daraus resultierenden Risiken für die Informationssicherheit gemäß OIS-07. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Specified which data types the criterion applies to. Further specified frequency of reviews by requiring them to be conducted in case of significant changes to the cloud service as well. Added requirement regarding cases in which no agreement regarding updated confidentiality agreements can be reached. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.