Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Leitlinien und Anforderungen zur Einhaltung der vertraglichen Vereinbarungen mit dem Cloud-Anbieter (d. h. Verantwortlichkeiten, Mitwirkungspflichten und Schnittstellen für die Meldung von Sicherheitsvorfällen) angemessen definiert, dokumentiert und eingerichtet sind.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie vom Cloud-Anbieter Informationen über Ausnahmen von Richtlinien und Verfahren der Informationssicherheit erhalten, um die damit verbundenen Risiken für ihre eigene Informationssicherheit zu bewerten und angemessen zu steuern.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass der Schutzbedarf der Informationen, die mit dem Cloud-Dienst verarbeitet oder gespeichert werden können, angemessen bestimmt wird.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass der Schutzbedarf der Informationen, die mit dem Cloud-Dienst verarbeitet oder gespeichert werden dürfen, angemessen ermittelt wird.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die mit dem Cloud-Dienst verarbeiteten oder gespeicherten Informationen gemäß ihrem Schutzbedarf vor Manipulieren, Kopieren, Modifizieren, Umleiten oder Löschen geschützt sind.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass das vorliegende Redundanzmodell des Cloud-Anbieters und die Nachweise zur Überprüfung des Modells mit den eigenen Anforderungen zur Verfügbarkeit und Verlässlichkeit des Cloud-Dienstes konform sind.

Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass der vom Cloud-Anbieter abzudeckende Kapazitäts- und Ressourcenbedarf geplant und in der Service Level-Vereinbarung (SLA) mit dem Cloud-Anbieter abgebildet wird. Die Anforderungen werden regelmäßig überprüft und die SLA-Anpassung entsprechend eingefordert.

Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass die mit dem Cloud-Anbieter getroffenen vertraglichen Vereinbarungen zur Bereitstellung von Ressourcen oder Diensten überwacht werden können. Bei Abweichungen wird durch entsprechende Kontrollen sichergestellt, dass der Cloud-Anbieter informiert wird, sodass dieser entsprechende Maßnahmen ergreifen kann.

Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass sie die Systemressourcen in ihrem Verantwortungsbereich steuern und überwachen.

Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass die Schichten des Cloud-Dienstes, für die sie verantwortlich sind, über Sicherheitsprodukte zur Detektion und Entfernung von Schadsoftware verfügen.

Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass die mit dem Cloud-Anbieter getroffenen vertraglichen Vereinbarungen über Umfang, Häufigkeit und Dauer der Datenspeicherung den geschäftlichen Anforderungen entsprechen. Die Geschäftsanforderungen werden im Rahmen der Business-Impact-Analyse (vgl. BCM-02) beurteilt.

Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass die Sicherung der Daten in ihrem Verantwortungsbereich durch technische und organisatorische Maßnahmen überwacht wird.

Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass sie aktiv Informationen über die Ergebnisse von Wiederherstellungstests beim Cloud-Anbieter anfordern. Cloud-Kunden bewerten die Wirksamkeit angewandter Datenwiederherstellungsstrategien und integrieren Erkenntnisse in ihre eigenen Notfallpläne im Einklang mit ihren Geschäftsanforderungen und Sicherheitsstandards.

Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass eine angemessene Protokollierung und Überwachung von Ereignissen, die die Sicherheit und Verfügbarkeit des Cloud-Dienstes beeinträchtigen können (z. B. Administratoraktivitäten, Systemausfälle, Authentifizierungsprüfungen, Datenlöschungen usw.), für die in ihrem Verantwortungsbereich liegenden Schichten des Cloud-Dienstes erfolgt.

Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass ihre Verträge mit dem Cloud-Anbieter die zulässigen Nutzungen der abgeleiteten Cloud-Dienstdaten klar regeln. Cloud-Kunden vergewissern sich, dass die Datenverarbeitung den vertraglichen oder gesetzlichen Beschränkungen entspricht und nehmen zur Kenntnis, dass der Anbieter verpflichtet ist, Daten zu löschen, wenn sie für seine ursprünglichen Zwecke nicht mehr erforderlich sind, sofern nichts anderes vereinbart wurde.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie festlegen, ob sie Zugriff auf den kundenspezifischen Teil der abgeleiteten Cloud-Dienstdaten, bestehend aus Protokolldaten, benötigen und diesen gegebenenfalls aktiv anfordern.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass eindeutige Benutzerkennungen vergeben werden, die im Falle eines Vorfalls eine entsprechende Analyse zulassen.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie Systemkomponenten in ihrem Verantwortungsbereich regelmäßig auf Schwachstellen überprüfen und diese durch geeignete Maßnahmen adressieren.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie Benachrichtigungen des Cloud-Anbieters bezüglich sie betreffender Vorfälle erhalten, und dass diese Benachrichtigungen zeitnah an die für die Bearbeitung verantwortliche Stelle weitergeleitet werden, damit entsprechende Maßnahmen ergriffen werden können.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass in ihrem Verantwortungsbereich liegende Systemkomponenten regelmäßig auf Schwachstellen überprüft werden und sie diese durch geeignete Maßnahmen mitigieren. Wenn Cloud-Kunden virtuelle Maschinen oder Container mit dem Cloud-Dienst betreiben, umfasst dies auch die Durchführung von Schwachstellenscans, um sicherzustellen, dass sichere Images (sog. Golden Images) verwendet werden, die entweder vom Cloud-Anbieter oder vom Cloud-Kunden selbst bereitgestellt werden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass jene Ebenen des Cloud-Dienstes, die unter ihrer Verantwortung stehen, gemäß allgemein etablierter und akzeptierter Branchenstandards zu härten. Die angewendeten Härtungsmaßnahmen resultieren aus einer Risikobeurteilung der geplanten Nutzung des Cloud-Dienstes.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die vom Cloud-Dienst bereitgestellten Funktionen zur Trennung gemeinsam genutzter virtueller und physischer Ressourcen so genutzt werden, dass Risiken mit Bezug zur Trennung entsprechend dem Schutzbedarf der Daten hinreichend adressiert werden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass ihre Verträge mit dem Cloud-Anbieter eine umfassende Liste aller Fälle enthalten, in denen der Cloud-Anbieter auf Cloud-Kundendaten in unverschlüsselter Form zugreifen könnte. Cloud-Kunden verifizieren, dass diese Bedingungen gründlich dokumentiert sind, bevor sie die Dienste in Anspruch nehmen, damit sie informierte Entscheidungen über Datensicherheit und Compliance treffen können.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie innerhalb eines in den vertraglichen Vereinbarungen festgelegten Zeitrahmens eine Antwort auf Datenzugriffsanfragen des Cloud-Anbieters bereitstellen.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie, falls sie vom Cloud-Anbieter über Änderungen an kryptographischen Systemen informiert werden, sich aktiv an einer gründlichen Bewertung der potenziellen Auswirkungen auf ihre Nutzung des Cloud-Dienstes beteiligen.

Cloud-Kunden stellen mit geeigneten Kontrollen für diejenigen Teile des Cloud-Dienstes unter ihrer Verantwortung sicher, dass ihre Cloud-Kundendaten über verschlüsselte Verbindungen entsprechend dem jeweiligen Schutzbedarf übertragen werden.

Cloud-Kunden stellen mit geeigneten Kontrollen für diejenigen Teile des Cloud-Dienstes unter ihrer Verantwortung (z. B. virtuelle Maschinen innerhalb einer IaaS-Lösung) sicher, dass ihre Cloud-Kundendaten während der Speicherung entsprechend dem jeweiligen Schutzbedarf verschlüsselt sind.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass dort, wo sie vom Cloud-Anbieter bereitgestellte Zertifizierungsstellendienste nutzen, dem ausgestellten Zertifikat angemessene Identitätsprüfungsverfahren umgesetzt werden und die vom Cloud-Dienst bereitgestellten technischen Kontrollen so konfiguriert sind, dass sie die Identitätsprüfung ermöglichen und durchsetzen. Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass dort, wo sie Zertifikate von externen Zertifizierungsstellen für ihre eigene Nutzung beschaffen, Verfahren zur Auswahl vertrauenswürdiger Zertifizierungsstellen und zur Validierung der Authentizität beschaffter Zertifikate festgelegt sind.

Cloud-Kunden stellen sicher, dass ihre eigenen Schlüsselmanagementverfahren mit den Anforderungen des externen KMS kompatibel sind und dass sie geeignete Kontrollen umsetzen, um die Sicherheit ihrer Schlüssel zu gewährleisten.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass ihre Vereinbarungen mit dem Cloud-Anbieter robuste Verfahren und technische Sicherheitsmaßnahmen für den sicheren Umgang mit kundenseitig verwalteten kryptographischen Schlüsseln umfassen. Cloud-Kunden stellen sicher, dass diese Verfahren die sichere Integration ihrer Schlüssel in die Cloud-Umgebung, eine umfassende Protokollierung aller Aktivitäten im Zusammenhang mit ihren Schlüsseln und klar definierte Zugriffskontrollmechanismen behandeln, um den Zugriff ausschließlich auf autorisierte Nutzer zu beschränken.

Cloud-Kunden stellen mit geeigneten Kontrollen für jene Teile des Cloud-Dienstes, die in ihrem Verantwortungsbereich liegen (z. B. virtuelle Maschinen innerhalb einer IaaS-Lösung), sicher, dass sie netzbasierte Angriffe auf Basis anomaler Eingangs- und Ausgangs-Traffic Muster (z. B. durch MAC-Spoofing und ARP-Poisoning-Angriffe) und/oder Distributed-Denial-of-Service (DDoS) Angriffe zeitnah erkennen und auf diese reagieren.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die virtuellen Netze innerhalb des Cloud-Dienstes, für die sie verantwortlich sind, gemäß ihren Netzsicherheitsanforderungen konzipiert, konfiguriert und dokumentiert werden (z. B. logische Segmentierung der Organisationseinheiten des Cloud-Kunden).

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass der Zugriff entsprechend ihrem Schutzbedarf durch Sicherheitsgateways an den Perimetern der virtuellen Netze innerhalb des Cloud-Dienstes, für die sie verantwortlich sind, kontrolliert wird.

Cloud-Kunden stellen mit geeigneten Kontrollen für diejenigen Teile des Cloud-Dienstes in ihrer Verantwortung sicher, dass virtuelle Netze gemäß ihren Netzsicherheitsanforderungen konzipiert, konfiguriert und dokumentiert werden (z. B. logische Segmentierung von Organisationseinheiten).

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die an den Cloud-Dienst übertragenen Daten entsprechend ihrem Schutzbedarf gegen Manipulation, Kopieren, Ändern, Umleiten oder Löschen geschützt sind.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die bereitgestellten Schnittstellen (und deren Sicherheit) durch geeignete Prüfungen vor Beginn der Nutzung des Cloud-Dienstes und jedes Mal, wenn die Schnittstellen geändert werden, für ihren Schutzbedarf angemessen sind.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Daten, auf die sie vertraglich Anspruch haben, am Ende des Vertrags vom Cloud-Anbieter angefordert oder über definierte Schnittstellen abgerufen werden (Art und Umfang der Daten entsprechen den vertraglichen Vereinbarungen, die vor der Nutzung des Cloud-Dienstes geschlossen wurden) und dass sie in Übereinstimmung mit den für diese Daten geltenden rechtlichen Anforderungen gespeichert werden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die rechtlichen und regulatorischen Rahmenbedingungen (z. B. rechtliche Anforderungen an Aufbewahrung und Löschung) identifiziert wird und die Löschung ihrer Daten entsprechend veranlasst wird.

Soweit Änderungen gemäß den vertraglichen Vereinbarungen vor der Bereitstellung in der Produktionsumgebung von den Cloud-Kunden getestet werden sollen, stellen die Cloud-Kunden mit geeigneten Kontrollen sicher, dass die Tests angemessen durchgeführt werden, um Fehler zu identifizieren. Dies umfasst insbesondere die zeitnahe Durchführung der Tests durch qualifiziertes Personal gemäß den vom Cloud-Anbieter festgelegten Bedingungen.

Soweit Änderungen gemäß den vertraglichen Vereinbarungen vor ihrer Bereitstellung in der Produktionsumgebung von den Cloud-Kunden genehmigt werden sollen, stellen die Cloud-Kunden mit geeigneten Kontrollen sicher, dass autorisiertes und qualifiziertes Personal die bereitgestellten Informationen erhält, die Auswirkungen auf den ISMS-Rahmen bewertet und gemäß den vom Cloud-Anbieter festgelegten Bedingungen über die Genehmigung entscheidet.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie über die Subservice-Organisationen ihres Cloud-Anbieters informiert bleiben (z. B. auf Grundlage der Informationen im C5-Prüfungsbericht) und entscheiden auf Grundlage des Schutzbedarfs ihrer im Cloud-Dienst verarbeiteten und gespeicherten Daten, ob weitere Maßnahmen zur Überwachung und Prüfung dieser Subservice-Organisationen ergriffen werden sollten.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie Benachrichtigungen des Cloud-Anbieters bezüglich sie betreffender Sicherheitsvorfälle erhalten, und dass diese Benachrichtigungen zeitnah an die für die Bearbeitung verantwortliche Stelle weitergeleitet werden, sodass eine angemessene Reaktion erfolgen kann.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie Benachrichtigungen des Cloud-Anbieters bezüglich sie betreffender Sicherheitsvorfälle sowie deren Lösung erhalten, und dass diese Benachrichtigungen zeitnah an die für die Bearbeitung verantwortliche Stelle weitergeleitet werden, sodass eine angemessene Reaktion erfolgen kann.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass identifizierte Sicherheitsereignisse, die vom Cloud-Anbieter bearbeitet werden müssen, zeitnah an zuvor benanntes, verantwortliches Personal kommuniziert werden.

Die Identifizierung solcher Sicherheitsereignisse wird durch geeignete Kontrollen unterstützt (vgl. korrespondierendes Kundenkriterium für OPS-10).

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie die Erkenntnisse aus vergangenen Sicherheitsvorfällen, die Ihnen mitgeteilt wurden, und die daraus resultierenden Maßnahmen des Cloud-Anbieters in Ihr ISMS aufnehmen und bewerten, ob und wenn ja welche Maßnahmen sie auf ihrer Seite unterstützend ergreifen können.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Szenarien für einen Ausfall des Cloud-Dienstes oder des Cloud-Anbieters im Rahmen ihrer Business Impact Analyse hinreichend berücksichtigt werden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass bei der Planung der betrieblichen Kontinuität und des Geschäftsplans die Ergebnisse ihrer Business Impact Analyse hinreichend berücksichtigt werden, um für die Auswirkungen eines Ausfalls des Cloud-Dienstes bzw. des Cloud-Anbieters vorzusorgen.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Verfügbarkeit des Cloud-Dienstes, seine Wiederherstellungszeit gemäß den Plänen zur betrieblichen Kontinuität und der Datenverlust des Cloud-Dienstes mit ihren eigenen Verfügbarkeitsanforderungen und tolerierbarem Datenverlust vereinbar sind.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Maßnahmen zur Vorsorge der Auswirkungen eines Ausfalls des Cloud-Dienstes bzw. des Cloud-Anbieters regelmäßig überprüft, aktualisiert, getestet und geübt werden. Der Cloud-Anbieter wird gemäß den vertraglichen Vereinbarungen in die Tests und Übungen einbezogen.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Ergebnisse der BCM-Tests und -Übungen des Cloud-Anbieters in das eigene BCM einfließen und hinsichtlich der Sicherstellung der betrieblichen Kontinuität des Cloud-Kunden umfassend gewürdigt werden.

Bei Tests und Übungen, die den Cloud-Kunden mit einbeziehen und daher eigene Maßnahmen auf Kundenseite bedingen, stellen Cloud-Kunden durch geeignete Kontrollen aus ihrem BCM sicher, dass die entsprechenden Maßnahmen zur Bewältigung gemäß Szenario geübt und getestet werden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass auf Ausfälle und Verschlechterungen des Cloud-Dienstes durch solche Audits angemessen reagiert wird.

Soweit vertraglich vereinbarte Informations- und Auditrechte vorliegen, stellen Cloud-Kunden mit geeigneten Kontrollen sicher, dass diese Rechte gemäß eigenen Anforderungen ausgestaltet und wahrgenommen werden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass Art und Umfang der behördlichen Auskunfts- und Herausgabeverlangen sowie die damit verbundene Offenlegung ihrer eigenen Daten in ihrem eigenen Risikomanagement behandelt wurden und dass die Nutzung des Cloud-Dienstes nur aufgenommen oder fortgeführt wird, wenn dieses Risiko als akzeptabel eingestuft wurde.

Cloud-Kunden stellen durch geeigneten Kontrollen sicher, dass derartige Meldungen entgegengenommen und gemäß eigenen Vorgaben und Möglichkeiten juristisch geprüft werden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie eine potenzielle Offenlegung ihrer Cloud-Kundendaten minimieren. Entsprechend dem Schutzbedarf der Cloud-Kundendaten treffen die Cloud-Kunden die Entscheidung, ob der jeweilige Cloud-Dienst genutzt werden kann oder ob das Risiko einer Offenlegung zu hoch ist.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Informationen des Cloud-Anbieters verwendet werden, um Richtlinien, Rahmenwerke und Maßnahmen für die sichere Konfiguration und Nutzung (gemäß ihrer eigenen Risikobeurteilung) des Cloud-Dienstes abzuleiten. Die Einhaltung dieser Richtlinien, Rahmenwerke und Maßnahmen wird überprüft. Änderungen an den Informationen werden zeitnah hinsichtlich ihrer Auswirkungen auf diese Dokumente bewertet und erforderliche Änderungen werden umgesetzt.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die erhaltenen Schwachstelleninformationen zeitnah in ihr eigenes Risikomanagement einfließen, bewertet und, falls erforderlich, im eigenen Verantwortungsbereich berücksichtigt werden.

Falls der Cloud-Dienst mit Fehlerbehandlungs- und Protokollierungsmechanismen ausgestattet ist, müssen Cloud-Kunden diese aktivieren und entsprechend festgelegten Anforderungen konfigurieren. Der Cloud-Kunde muss hierfür sein eigenes Informationssicherheitsmanagement einbeziehen.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die vom Cloud-Dienst angebotenen Authentisierungsmechanismen gemäß den Vorgaben des Identitäts- und Berechtigungsmanagement des Cloud-Kunden genutzt werden. Falls Cloud-Kunden virtuelle Maschinen oder Container mit dem Cloud-Dienst betreiben, stellen sie mit geeigneten Kontrollen sicher, dass die Authentisierungsmechanismen container-spezifische Szenarien abdecken, wie etwa Multi-Faktor-Authentisierung für Container-Hosts und den Zugriff auf Registries.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie die Schutzfunktionen des Session Managements des Cloud-Dienstes gemäß den Vorgaben aus ihrem eigenen ISMS nutzen. Außerdem legen sie die Zeitspanne, nach der eine Session ungültig wird, nach den Vorgaben aus ihrem eigenen ISMS fest.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie hinreichend sichere Passwörter verwenden (vgl. IAM-08) und die vom Cloud-Anbieter bereitgestellten Verfahren zum Schutz der Vertraulichkeit der Passwörter entsprechend ihrer eigenen Einschätzung einsetzen und dass die mit ihrer eigenen Wahl verbundenen Risiken unautorisierter Zugriffe getragen werden. Falls Cloud-Kunden virtuelle Maschinen oder Container mit dem Cloud-Dienst betreiben, stellen sie mit geeigneten Kontrollen sicher, dass die Vertraulichkeit der Informationen auch bei der Zuweisung von Authentisierungsinformationen für die virtuellen Maschinen oder Container gewährleistet ist.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass:

1. Sie das vom Cloud-Anbieter angebotene Rahmenwerk für Rollen und Berechtigungen sowie die begleitenden Funktionalitäten aktiv nutzen;
2. Die Erteilung von Berechtigungen an Cloud-Nutzer in ihrem Verantwortungsbereich einer Autorisierung unterliegt; und
3. Die Angemessenheit der zugewiesenen Berechtigungen regelmäßig überprüft wird und Berechtigungen bei erforderlichen Änderungen (z. B. Ausscheiden von Personal) zeitnah angepasst oder entzogen werden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass Systemkomponenten unter ihrer Verantwortung regelmäßig auf Schwachstellen überprüft und diese durch geeignete Maßnahmen mitigiert werden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie die Funktionalität von SDN-Merkmalen für ihre individuellen Anwendungsfälle validieren, bevor sie neu eingeführte Fähigkeiten oder geänderte bestehende nutzen.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Images virtueller Maschinen oder Container, die sie mit dem Cloud-Dienst betreiben, ihren Anforderungen an das Informationssicherheitsmanagement entsprechen und dass die Ergebnisse der Integritätsprüfungen beim Start und während der Laufzeit gemäß diesen Anforderungen verarbeitet werden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie bei der Auswahl von Cloud-Anbietern und der Konfiguration des Cloud-Dienstes über die verfügbaren Partitionen für Datenverarbeitung und -speicherung informiert sind und, falls eine Wahl zwischen verschiedenen Partitionen besteht, diejenigen auswählen, die ihren eigenen Anforderungen entsprechen.

Je nach Anwendungsfall und insbesondere bei der Nutzung von Diensten eines Cloud-Anbieters, der in einem anderen Land ansässig ist, berücksichtigen Cloud-Kunden bei ihrer Auswahl die für sie geltenden Gesetze ihrer eigenen Jurisdiktion (z. B. bei der Verarbeitung personenbezogener Daten; Einhaltung gesetzlicher Aufbewahrungspflichten für Geschäftsunterlagen usw.).