# OIS-01 Informationssicherheitsmanagementsystem (ISMS)

- Bereich: OIS – Organisation der Informationssicherheit
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/ois-01/

## Basiskriterium

### OIS-01.01B

Der Cloud-Anbieter betreibt ein ISO/IEC 27001-konformes Informationssicherheitsmanagementsystem (ISMS). Der Anwendungsbereich des ISMS umfasst die Organisationseinheiten, Standorte, Zonen, Regionen und Verfahren des Cloud-Anbieters, die für die Entwicklung und den Betrieb des Cloud-Dienstes relevant sind.

**Ergänzende Information:**

Das Basiskriterium kann auch ohne gültige Zertifizierung des ISMS nach ISO/IEC 27001 oder ISO 27001 auf Basis von IT-Grundschutz erfüllt werden, soweit die vorgelegte Dokumentation die Anforderungen der ISO/IEC 27001 erfüllt. Der Prüfer hat zu bewerten, ob die Dokumentation die referenzierten Anforderungen der ISO-Norm erfüllt. Dies erfordert kein vollständiges Zertifizierungsaudit des Managementsystems gemäß ISO 17021, sondern eine gezielte Prüfung der zugehörigen Dokumentation.

Querschnittsfunktionen müssen nicht in ein einziges ISMS integriert werden. Stattdessen können mehrere ISMS eingerichtet werden, um sowohl Cloud-Dienst-spezifische interne Kontrollsysteme als auch organisationsweite/zentrale Funktionen wirksam abzudecken.

Der Anwendungsbereich des ISMS kann über den Anwendungsbereich des internen Kontrollsystems des Cloud-Anbieters für den Cloud-Dienst,  der Gegenstand eines Prüfauftrags nach diesem Kriterienkatalog ist, hinausgehen. Wenn der Anwendungsbereich des ISMS breiter ist als der Anwendungsbereich des Prüfauftrags, können die über die Ausgestaltung und den Betrieb des ISMS einzuholenden Nachweise auf Aufzeichnungen beschränkt werden, die für den Cloud-Dienst, der Gegenstand des Prüfauftrags ist, relevant sind.

### OIS-01.02B

Die Maßnahmen für Aufbau, Verwirklichung, Aufrechterhaltung und fortlaufende Verbesserung des ISMS sind dokumentiert. Die Dokumentation umfasst:

1. Kontext des Cloud-Anbieters;
2. Anwendungsbereich des ISMS (Abschnitt 4.3 der ISO/IEC 27001);
3. Erklärung zur Anwendbarkeit (Abschnitt 6.1.3 der ISO/IEC 27001);
4. Überblick darüber, wie Aktivitäten im ISMS den Cloud-Dienst abdecken;
5. Beschreibung, wie der Cloud-Anbieter die Sicherheit des Cloud-Dienstes aufrechterhält und verbessert; und
6. Ergebnisse der letzten Managementbewertung (Abschnitt 9.3 der ISO/IEC 27001).

### OIS-01.03B

Zusätzlich dokumentiert der Cloud-Anbieter den Umfang und die Grenzen des Cloud-Dienstes unter seiner betrieblichen Kontrolle, einschließlich etwaiger Ausschlüsse oder Bereiche mit geteilter Verantwortung.

## Zusatzkriterium

### OIS-01.01AS (Zusatz, verschärft 01B)

Das Informationssicherheitsmanagementsystem (ISMS) verfügt über eine gültige Zertifizierung nach ISO/IEC 27001 oder ISO 27001 auf Basis von BSI IT-Grundschutz. Der Anwendungsbereich der Zertifizierung umfasst die Organisationseinheiten, Standorte, Zonen, Regionen und Verfahren des Cloud-Anbieters, die für die Entwicklung und den Betrieb des Cloud-Dienstes relevant sind.

### OIS-01.01AC (Zusatz, erweiternd)

Bestehende gültige Zertifizierungen nach ISO/IEC 27001 werden von einer akkreditierten Zertifizierungsstelle ausgestellt und anerkannt.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Extended list of aspects included in the documentation by the context of the cloud service provider, a description how ISMSM activiriwa cover the cloud service and a description of how the security of the cloud service is maintained and advanced.

Linguistic adjustment to existing terms.

Added requirement to document the scope and boundaries of the cloud service.

Bullet points are now sorted to ease discussions about specific list items.

**Zusatzkriterium:**

Further specified the scope of the certification.

Added requirement regarding the accreditation of the certification body issuing a ISO/IEC 27001 certification.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.