OIS · Organisation der Informationssicherheit
OIS-03 Schnittstellen und Abhängigkeiten
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Realigned criterion to center around the establishment, documentation and communication of a Shared Security Responsibility Model (SSRM) for managing interfaces and dependencies.
Wortlaut in C5:2020
Basiskriterium
Interfaces and dependencies between cloud service delivery activities performed by the Cloud Service Provider and activities performed by third parties are documented and communicated. This includes dealing with the following events:
- Vulnerabilities;
- Security incidents; and
- Malfunctions.
The type and scope of the documentation is geared towards the information requirements of the subject matter experts of the affected organisations in order to carry out the activities appropriately (e.g. definition of roles and responsibilities in guidelines, description of cooperation obligations in service descriptions and contracts).
The communication of changes to the interfaces and dependencies takes place in a timely manner so that the affected organisations and third parties can react appropriately with organisational and technical measures before the changes take effect.
Ergänzende Information zu allen Unterkriterien
Der Cloud-Anbieter kann die im Basiskriterium beschriebenen Schnittstellen und Abhängigkeiten in Leitlinien und Verfahren definieren und dokumentieren. So sollten beispielsweise Mitwirkungspflichten der Cloud-Kunden in Leistungsbeschreibungen und Verträgen (oder deren Anhängen) beschrieben werden.
Der Cloud-Anbieter kann bestehende Dokumentation, wie Leitlinien, vertragliche Vereinbarungen oder Verfahren, nutzen, um das zugrunde liegende Shared Responsibility Model seines Cloud-Dienstes darzustellen und damit die Sicherheits- und Betriebsverantwortlichkeiten der Cloud-Kunden zu verdeutlichen.
Basiskriterium
Der Cloud-Anbieter etabliert, dokumentiert und kommuniziert ein Modell geteilter Sicherheitsverantwortung (engl. Shared Security Responsibility Model; SSRM), um Schnittstellen und Abhängigkeiten zwischen den vom Cloud-Anbieter ausgeführten Aktivitäten zur Erbringung des Cloud-Dienstes und den von den Cloud-Kunden ausgeführten Aktivitäten zu definieren und zu steuern.
Ergänzende Information
Dritte im Sinne dieses Basiskriteriums sind z. B. Cloud-Kunden und Service-Organisationen (einschließlich Cloud-Vermittler).
Ein SSRM bietet einen konsolidierten Überblick über die wichtigsten Schnittstellen und Abhängigkeiten zwischen dem Cloud-Anbieter und Dritten. Detaillierte Informationen zu Schnittstellen und Abhängigkeiten können in separaten Dokumenten festgelegt werden, auf die im SSRM verwiesen wird, wie z. B. Leitlinien und Verfahren. So sollten beispielsweise Mitwirkungspflichten der Cloud-Kunden in Leistungsbeschreibungen und Verträgen beschrieben werden.
Der Cloud-Anbieter kann das zugrunde liegende Shared Security Responsibility Model seines Cloud-Dienstes in Leitlinien und Verfahren darstellen, um den Cloud-Kunden zu helfen, ihre Rollen und Verantwortlichkeiten in Bezug auf Sicherheit und Betriebsmanagement zu verstehen.
Wenn Cloud-Dienste über einen Cloud-Vermittler erbracht werden, sollte das SSRM die Verantwortlichkeiten zwischen dem Cloud-Anbieter, dem Cloud-Vermittler und dem Cloud-Kunden klar abgrenzen, insbesondere:
- Dateneigentum und Grenzen der Verarbeitung;
- Umsetzung von Sicherheitskontrollen durch die jeweiligen Parteien;
- Wege für die Benachrichtigung und Eskalation bei Vorfällen; und
- Umfang der Compliance-Bescheinigung.
Die SSRM-Dokumentation definiert klar die Verantwortlichkeiten zwischen beiden Parteien für den Umgang mit Schwachstellen, Sicherheitsvorfällen und Vorfällen. Art und Umfang der Dokumentation richten sich nach dem Informationsbedarf der Fachexperten der betroffenen Organisationen, um die Aktivitäten angemessen durchführen zu können (z. B. Definition von Rollen und Verantwortlichkeiten in Richtlinien, Beschreibung von Mitwirkungspflichten in Leistungsbeschreibungen und Verträgen).
Der Cloud-Anbieter überprüft und validiert die SSRM-Dokumentation regelmäßig gemäß SP-02, um ihre Genauigkeit und Relevanz für alle Angebote des Cloud-Dienstes sicherzustellen.
Ergänzende Information
Gilt auch für 05B
Durch die Pflege eines aktuellen und klar kommunizierten SSRM stellt der Cloud-Anbieter ein umfassendes Verständnis der Sicherheitsverantwortlichkeiten sicher und fördert so eine sichere und verlässliche Cloud-Umgebung für alle Beteiligten.
Der Cloud-Anbieter implementiert, betreibt und überprüft die SSRM-Komponenten, für die er verantwortlich ist, und stellt die Einhaltung der definierten Sicherheitsmaßnahmen sicher.
Die Kommunikation von Änderungen am SSRM, an Schnittstellen und an Abhängigkeiten erfolgt zeitnah, damit die betroffenen Organisationen und Dritten vor Inkrafttreten der Änderungen angemessen mit organisatorischen und technischen Maßnahmen reagieren können.
Ergänzende Information
Gilt auch für 03B
Durch die Pflege eines aktuellen und klar kommunizierten SSRM stellt der Cloud-Anbieter ein umfassendes Verständnis der Sicherheitsverantwortlichkeiten sicher und fördert so eine sichere und verlässliche Cloud-Umgebung für alle Beteiligten.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Leitlinien und Anforderungen zur Einhaltung der vertraglichen Vereinbarungen mit dem Cloud-Anbieter (d. h. Verantwortlichkeiten, Mitwirkungspflichten und Schnittstellen für die Meldung von Sicherheitsvorfällen) angemessen definiert, dokumentiert und eingerichtet sind.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen