OIS · Organisation der Informationssicherheit
OIS-06 Kontakt zu relevanten Behörden und Interessengruppen
Geändert gegenüber C5:2020 · vorher OIS-05
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Removed former basic criterion. Instead, the former additional criterion was turned into a basic criterion to focus OIS-06 on cloud services used by public sector organisations.
Zusatzkriterium
Additional criterion turned into basic criterion.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider leverages relevant authorities and interest groups in order to stay informed about current threats and vulnerabilities. The information flows into the procedures for handling risks (cf. OIS-06) and vulnerabilities (cf. OPS-19).
Zusatzkriterium
If the cloud service is used by public sector organisations in Germany, the Cloud Service Provider leverages contacts with the National IT Situation Centre and the CERT Association of the BSI.
Basiskriterium
Soweit der Cloud-Dienst durch Organisationen des öffentlichen Sektors in Deutschland genutzt wird, etabliert und pflegt der Cloud-Anbieter, soweit angemessen, Kontakte zum Nationalen IT-Lagezentrum und dem CERT-Bund des BSI.
Ergänzende Information
Organisationen des öffentlichen Sektors in Deutschland sind z. B. Ministerien und Behörden. Wenn der Cloud-Anbieter keine Kunden im öffentlichen Sektor hat, ist dieses Kriterium nicht anwendbar.
Der Einschub 'soweit angemessen' bedeutet, dass Kontakte hergestellt werden, wenn ein tatsächlicher Bedarf dazu besteht. Beispielsweise umfasst die Kontaktaufnahme mit dem CERT typischerweise die Meldung von Sicherheitsvorfällen an das CERT und das Verfolgen der Kommunikationskanäle vom CERT, um über aktuelle Bedrohungen, Schwachstellen und Sicherheitshinweise informiert zu bleiben. Die Pflege von Kontakt im Sinne von OIS-06.01B erfordert in diesem Fall nicht, dass der Cloud-Anbieter proaktiv und unaufgefordert mit CERT kommuniziert.
Für KRITIS (Betreiber kritischer Anlagen) im Sinne von § 2 Abs. 22 des BSI-Gesetzes (BSIG) können nach deutschem nationalem Recht ähnliche Anforderungen zur Pflege von Kontakten mit Behörden und Interessengruppen gelten.
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen