OIS · Organisation der Informationssicherheit
OIS-02 Informationssicherheitsrichtlinie
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Extended list of aspects to be described by the information security policy by the commitment of the cloud service provider to implement the security measures required to achieve the established security objectives.
Security objectives and the desired security level are now additionally based on the compliance obligations of the cloud service provider as well.
Bullet points are now sorted to ease discussions about specific list items.
Wortlaut in C5:2020
Basiskriterium
The top management of the Cloud Service Provider has adopted an information security policy and communicated it to internal and external employees as well as cloud customers.
The policy describes:
- the importance of information security, based on the requirements of cloud customers in relation to information security;
- the security objectives and the desired security level, based on the business goals and tasks of the Cloud Service Provider;
- the most important aspects of the security strategy to achieve the security objectives set; and
- the organisational structure for information security in the ISMS application area.
Basiskriterium
Die oberste Geschäftsleitung des Cloud-Anbieters hat eine Informationssicherheitsrichtlinie verabschiedet.
Ergänzende Information
Gilt auch für 02B
Die oberste Leitung ist eine natürliche Person oder Personengruppe, welche die letztgültige Entscheidung für die Institution trifft und für diese die Verantwortung trägt.
Die oberste Geschäftsleitung des Cloud-Anbieters hat die Informationssicherheitsrichtlinie an das interne und externe Personal sowie die Cloud-Kunden kommuniziert.
Ergänzende Information
Gilt auch für 01B
Die oberste Leitung ist eine natürliche Person oder Personengruppe, welche die letztgültige Entscheidung für die Institution trifft und für diese die Verantwortung trägt.
Die Informationssicherheitsrichtlinie beschreibt:
- Den Stellenwert der Informationssicherheit, abgeleitet von den Anforderungen der Cloud-Kunden mit Bezug zur Informationssicherheit;
- Die Sicherheitsziele und das angestrebte Sicherheitsniveau, abgeleitet von den Geschäftszielen und Aufgaben des Cloud-Anbieters;
- Die Verpflichtung des Cloud-Anbieters, die erforderlichen Sicherheitsmaßnahmen zur Erfüllung der festgelegten Sicherheitsziele umzusetzen;
- Die wichtigsten Aspekte der Sicherheitsstrategie zum Erreichen der gesetzten Sicherheitsziele; und
- Die Organisationsstruktur für Informationssicherheit im Anwendungsbereich des ISMS.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen