# OIS-04 Aufgabentrennung

- Bereich: OIS – Organisation der Informationssicherheit
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/ois-04/

## Basiskriterium

### OIS-04.01B

Miteinander in Konflikt stehende Aufgaben und Verantwortlichkeitsbereiche sind auf Basis einer Risikobeurteilung gemäß OIS-07 getrennt, um Risiken unbefugter oder unbeabsichtigter Änderungen oder Missbrauch von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten und Cloud-Anbieterdaten zu reduzieren. Die Risikobeurteilung umfasst folgende Bereiche, soweit diese zur Bereitstellung des Cloud-Dienstes anwendbar sind und im Verantwortungsbereich des Cloud-Anbieters liegen:

1. Verwaltung eines Rollen-, Rechte- und Berechtigungsrahmenwerks auf Grundlage einer rollenbasierten Zugriffskontrolle und denr geschäftlichen sowie sicherheitsbezogenen Anforderungen des Cloud-Anbieters (vgl. IAM-01);
2. Entwicklung, Test und Freigabe von Änderungen (vgl. DEV-01);
3. Risikomanagement (vgl. OIS-07); und
4. Betrieb der Systemkomponenten.

**Ergänzende Information:**

Identifizierte Ereignisse, die unbefugte oder unbeabsichtigte Änderungen an oder den Missbrauch von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten und Cloud-Anbieterdaten darstellen können, können beispielsweise als Sicherheitsvorfall behandelt werden, vgl. SIM-01.

Der Bereich des Risikomanagements im Kontext der Funktionstrennung bezieht sich auf die sogenannten unterschiedlichen Verteidigungslinien, d. h. Rollen, die Risiken überprüfen (2. Verteidigungslinie), unterscheiden sich von Rollen, die Risiken verantworten (1. Verteidigungslinie).

### OIS-04.02B

Mitigierende Maßnahmen werden im Risikobehandlungsplan (vgl. OIS-09) dargelegt und vom Cloud-Anbieter in einer Weise umgesetzt, die der Funktionstrennung Vorrang einräumt.

### OIS-04.03B

Wenn eine Funktionstrennung aufgrund organisatorischer oder technischer Einschränkungen nicht umgesetzt werden kann, richtet der Cloud-Anbieter kompensierende Kontrollen ein und betreibt diese, um relevante Aktivitäten zu überwachen. Diese Kontrollen sind darauf ausgelegt, unbefugte oder unbeabsichtigte Änderungen, den Missbrauch von Daten oder Verstöße gegen betriebliche Richtlinien zu erkennen und zeitnahe sowie angemessene Reaktionsmaßnahmen zu ermöglichen.

### OIS-04.04B

Ein Verzeichnis bestehend aus im Konflikt stehenden Aufgaben, Verantwortlichkeiten und auflösenden Maßnahmen wird vom Cloud-Anbieter eingerichtet und gepflegt. Bei der Zuweisung, Änderung oder Entziehung von Rollen, Rechten und Berechtigungen setzt der Cloud-Anbieter die Funktionstrennung durch.

## Zusatzkriterium

### OIS-04.01AC (Zusatz, erweiternd)

Zur Auflösung von im Konflikt stehenden Rollen werden mit der Funktionstrennung verbundene Maßnahmen vom Cloud-Anbieter überwacht und durchgesetzt.

### OIS-04.02AC (Zusatz, erweiternd)

Zeitnahe und angemessene Abhilfemaßnahmen adressieren alle bei der Überwachung festgestellten Abweichungen.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Specified which data types the criterion applies to.

Extended area to be covered by the risk assessment by the cloud service provider's risk management.

Added aspects on which the role, rights and authorities concept (previously: rights profiles, approval and assignment of access and access authorisations) are to be based.

Further qualified the compensating controls to be operated in case a segregation of duties cannot be implemented.

Added requirement to  maintain an inventory of conflicting tasks and responsibilities.

Bullet points are now sorted to ease discussions about specific list items.

**Zusatzkriterium:**

Additional criterion newly included.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.