OIS · Organisation der Informationssicherheit
OIS-01 Informationssicherheitsmanagementsystem (ISMS)
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Extended list of aspects included in the documentation by the context of the cloud service provider, a description how ISMSM activiriwa cover the cloud service and a description of how the security of the cloud service is maintained and advanced.
Linguistic adjustment to existing terms.
Added requirement to document the scope and boundaries of the cloud service.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
Further specified the scope of the certification.
Added requirement regarding the accreditation of the certification body issuing a ISO/IEC 27001 certification.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider operates an information security management system (ISMS) in accordance with ISO/IEC 27001. The scope of the ISMS covers the Cloud Service Provider's organisational units, locations and procedures for providing the cloud service.
The measures for setting up, implementing, maintaining and continuously improving the ISMS are documented.
The documentation includes:
- Scope of the ISMS (Section 4.3 of ISO/IEC 27001);
- Declaration of applicability (Section 6.1.3), and
- Results of the last management review (Section 9.3).
Zusatzkriterium
The Information Security Management System (ISMS) has a valid certification according to ISO/IEC 27001 or ISO 27001 based on IT-Grundschutz.
Basiskriterium
Der Cloud-Anbieter betreibt ein ISO/IEC 27001-konformes Informationssicherheitsmanagementsystem (ISMS). Der Anwendungsbereich des ISMS umfasst die Organisationseinheiten, Standorte, Zonen, Regionen und Verfahren des Cloud-Anbieters, die für die Entwicklung und den Betrieb des Cloud-Dienstes relevant sind.
Ergänzende Information
Das Basiskriterium kann auch ohne gültige Zertifizierung des ISMS nach ISO/IEC 27001 oder ISO 27001 auf Basis von IT-Grundschutz erfüllt werden, soweit die vorgelegte Dokumentation die Anforderungen der ISO/IEC 27001 erfüllt. Der Prüfer hat zu bewerten, ob die Dokumentation die referenzierten Anforderungen der ISO-Norm erfüllt. Dies erfordert kein vollständiges Zertifizierungsaudit des Managementsystems gemäß ISO 17021, sondern eine gezielte Prüfung der zugehörigen Dokumentation.
Querschnittsfunktionen müssen nicht in ein einziges ISMS integriert werden. Stattdessen können mehrere ISMS eingerichtet werden, um sowohl Cloud-Dienst-spezifische interne Kontrollsysteme als auch organisationsweite/zentrale Funktionen wirksam abzudecken.
Der Anwendungsbereich des ISMS kann über den Anwendungsbereich des internen Kontrollsystems des Cloud-Anbieters für den Cloud-Dienst, der Gegenstand eines Prüfauftrags nach diesem Kriterienkatalog ist, hinausgehen. Wenn der Anwendungsbereich des ISMS breiter ist als der Anwendungsbereich des Prüfauftrags, können die über die Ausgestaltung und den Betrieb des ISMS einzuholenden Nachweise auf Aufzeichnungen beschränkt werden, die für den Cloud-Dienst, der Gegenstand des Prüfauftrags ist, relevant sind.
Die Maßnahmen für Aufbau, Verwirklichung, Aufrechterhaltung und fortlaufende Verbesserung des ISMS sind dokumentiert. Die Dokumentation umfasst:
- Kontext des Cloud-Anbieters;
- Anwendungsbereich des ISMS (Abschnitt 4.3 der ISO/IEC 27001);
- Erklärung zur Anwendbarkeit (Abschnitt 6.1.3 der ISO/IEC 27001);
- Überblick darüber, wie Aktivitäten im ISMS den Cloud-Dienst abdecken;
- Beschreibung, wie der Cloud-Anbieter die Sicherheit des Cloud-Dienstes aufrechterhält und verbessert; und
- Ergebnisse der letzten Managementbewertung (Abschnitt 9.3 der ISO/IEC 27001).
Zusätzlich dokumentiert der Cloud-Anbieter den Umfang und die Grenzen des Cloud-Dienstes unter seiner betrieblichen Kontrolle, einschließlich etwaiger Ausschlüsse oder Bereiche mit geteilter Verantwortung.
Zusatzkriterium
OIS-01.01AS
Zusatz, verschärft01BDas Informationssicherheitsmanagementsystem (ISMS) verfügt über eine gültige Zertifizierung nach ISO/IEC 27001 oder ISO 27001 auf Basis von BSI IT-Grundschutz. Der Anwendungsbereich der Zertifizierung umfasst die Organisationseinheiten, Standorte, Zonen, Regionen und Verfahren des Cloud-Anbieters, die für die Entwicklung und den Betrieb des Cloud-Dienstes relevant sind.
OIS-01.01AC
Zusatz, erweiterndBestehende gültige Zertifizierungen nach ISO/IEC 27001 werden von einer akkreditierten Zertifizierungsstelle ausgestellt und anerkannt.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen