OIS · Organisation der Informationssicherheit
OIS-08 Anwendung der Richtlinie für Risikomanagement - Risikobeurteilung
Geändert gegenüber C5:2020 · vorher OIS-07
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Removed conflicting tasks and areas of responsibilities from the aspects to be taken into account when identifying risks, instead added encryption and key management risk programmes and the separation of cloud service customers.
Added requirement regarding the implementatino of policies and procedured covering risk assessments.
Added requirements regarding the availability of risk assessment information to internal and external parties.
Further specified frequency of reviews by requiring them to be performed in case of significant changes as well.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
Additional criterion newly included.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider executes the process for handling risks as needed or at least once a year. The following aspects are taken into account when identifying risks, insofar as they are applicable to the cloud service provided and are within the area of responsibility of the Cloud Service Provider:
- Processing, storage or transmission of data of cloud customers with different protection needs;
- Occurrence of weak points and malfunctions in technical protective measures for separating shared resources;
- Attacks via access points, including interfaces accessible from public networks;
- Conflicting tasks and areas of responsibility that cannot be separated for organisational or technical reasons; and
- Dependencies on subservice organisations.
The analysis, evaluation and treatment of risks, including the approval of actions and acceptance of residual risks, is reviewed for adequacy at least annually by the risk owners.
Ergänzende Information zu allen Unterkriterien
Dieses Kriterium bezieht sich ausschließlich auf Risiken, die im Verantwortungsbereich des Cloud-Anbieters liegen. Auch beim Auslagern von Tätigkeiten zur Bereitstellung des Cloud-Dienstens auf Subservice-Organisationen verbleibt die Verantwortung für diese Risiken beim Cloud-Anbieter. Anforderungen an die Maßnahmen zur Behandlung dieser Risiken sind den Kriterien im Bereich 'Steuerung und Überwachung von Service-Organisationen und Lieferanten (SSO)' zu entnehmen.
Cloud-Anbieter können etablierte Risikomanagementstandards wie ISO 27005 oder die ISO-31000-Normenfamilie nutzen, um Risiken im Zusammenhang mit dem Cloud-Dienst zu adressieren. Bereits beim Cloud-Anbieter implementierte Risikomanagementverfahren können für OIS-08, soweit möglich, genutzt werden, um Redundanzen zu verringern. Die Dokumentation von Risiken, Behandlungsplänen und Risikoakzeptanz im Sinne dieses Kriteriums erfordert keine spezifischen formalen Rahmenwerke; schlanke Formen der Dokumentation können, soweit angemessen, genutzt werden, um die OIS-08-Unterkriterien zu adressieren.
Basiskriterium
Der Cloud-Anbieter führt den in OIS-07 definierten Risikomanagementprozess anlassbezogen und mindestens jährlich durch.
Ergänzende Information
Beispiele für Szenarien, in denen der Risikomanagementprozess 'anlassbezogen' durchgeführt werden kann, umfassen unter anderem die folgenden:
- Änderungen der Bedrohungslandschaft (vgl. OIS-05);
- Sicherheitsvorfälle oder Geschäftsunterbrechungen;
- Änderungen der rechtlichen, regulatorischen, selbst auferlegten und vertraglichen Anforderungen an den Cloud-Anbieter, die für die Informationssicherheit des Cloud-Dienstes relevant sind (vgl. COM-01);
- Änderungen der Organisationsstruktur des Cloud-Anbieters mit Auswirkungen auf Rollen, Verantwortlichkeiten oder Verfahren für die Bereitstellung des Cloud-Dienstes;
- Änderungen der Architektur des Cloud-Dienstes (vgl. OPS-31);
- Ereignisse im Zusammenhang mit Service-Organisationen des Cloud-Anbieters (vgl. SSO-05);
- Ausnahmen von Richtlinien oder Verfahren (vgl. SP-03); und
- Identifizierung kritischer Schwachstellen (vgl. OPS-22) oder Compliance-Abweichungen (vgl. COM-03).
Beim Identifizieren von Risiken werden folgende Aspekte berücksichtigt, soweit diese für den bereitgestellten Cloud-Dienst anwendbar sind und im Verantwortungsbereich des Cloud-Anbieters liegen:
- Verarbeitung, Speicherung oder Übertragung von Cloud-Kundendaten und von abgeleiteten Cloud-Dienstdaten mit unterschiedlichen Schutzbedarfen;
- Auftreten von Schwachstellen und Vorfällen in technischen Schutzmaßnahmen zur Trennung gemeinsam genutzter Ressourcen;
- Angriffe über Zugangspunkte, einschließlich Schnittstellen, die aus öffentlichen Netzen zugänglich sind, und versehentlich offengelegte Schnittstellen;
- Abhängigkeiten von Service-Organisationen;
- Ein Risiko-Programm für Verschlüsselung und Schlüsselmanagement, das die Risiken der unbefugten Offenlegung, Veränderung, Zerstörung oder des Informationsverlusts kryptographischer Schlüssel adressiert; und
- Trennung der Cloud-Kunden und ihrer Daten innerhalb von Systemen, Netzen und Speichern.
Ergänzende Information
Gemeinsam genutzte Ressourcen sind z. B. Netze, RAM oder Speicher.
Bei der Bestimmung des Schutzbedarfs von Cloud-Kundendaten und abgeleiteten Cloud-Dienstdaten sollten die für diese Datentypen geltende regulatorische Anforderungen berücksichtigt werden, wie z. B. PCI-DSS, HIPAA, DORA (Verordnung über digitale operationale Resilienz für den Finanzsektor und zur Änderung von Verordnungen), NIS-2-Richtlinie und KRITIS.
Richtlinien und Verfahren, die für die Erbringung und den Betrieb des Cloud-Dienstes relevante Risikobeurteilungen abdecken, werden vom Cloud-Anbieter umgesetzt.
Die Ergebnisse der Risikobeurteilung werden relevanten internen Parteien bereitgestellt.
Ergänzende Information
Relevante interne Parteien können die Geschäftsleitung und die Sicherheitsteams des Cloud-Anbieters umfassen.
Relevanten externen Parteien werden Informationen aus den Risikobeurteilungen bereitgestellt, die auf die Zwecke der Parteien zugeschnitten sind.
Ergänzende Information
Relevante externe Parteien können Cloud-Kunden, Subservice-Organisationen und Regulierungsbehörden umfassen.
Informationen, die in diesem Kontext relevant sein können, umfassen Informationen über identifizierte Schwachstellen, Sicherheitsvorfälle und Bedrohungsinformationen.
Der Cloud-Anbieter kann sich dafür entscheiden, diese Informationen über sein SSRM (vgl. OIS-03), seine Dokumentation und Richtlinien (vgl. PSS-01) oder seine Prozesse zur Information der Cloud-Kunden über bekannte Schwachstellen (vgl. PSS-03) zugänglich zu machen.
Die Analyse, Bewertung und Behandlung von Risiken, einschließlich der Genehmigung von Maßnahmen und der Akzeptanz von Restrisiken, wird von den Risikoeigentümern mindestens jährlich auf Angemessenheit überprüft. Zusätzlich wird bei wesentlichen Änderungen am Cloud-Dienst eine Überprüfung durchgeführt, die sich auf die für die Änderung relevanten Teile der Risikobeurteilung konzentriert.
Zusatzkriterium
OIS-08.01AS
Zusatz, verschärft01BDer Cloud-Anbieter führt den in OIS-07 definierten Risikomanagementprozess anlassbezogen und mindestens jährlich durch. Die Entwicklung der Risiken wird überwacht und die Risikobeurteilungen werden entsprechend überprüft.
OIS-08.01AC
Zusatz, erweiterndDer Cloud-Anbieter integriert Cybersicherheitsrisiken in ein dokumentiertes Enterprise Risk Management (ERM)-Programm, das die folgenden Aspekte adressiert:
- Integration von Informationssicherheitsrisiken auf Unternehmensebene, um ein Bewusstsein für Informationssicherheitsrisiken in der gesamten Organisation zu fördern;
- Bewusstsein der Führungsebene und Unterstützung bei Identifizierung, Analyse und Behandlung von Informationssicherheitsrisiken, um kontinuierliche Verbesserung zu fördern; und
- Berücksichtigung der strategischen Ziele des Cloud-Anbieters beim Management von Risiken, um die Risikobehandlung an den Zielen der Organisation auszurichten.
OIS-08.02AC
Zusatz, erweiterndBei der Identifizierung von Risiken berücksichtigt der Cloud-Anbieter zusätzlich die Erkennung ungewöhnlicher und schädlicher Handlungen interner Bedrohungsakteure, soweit dies auf den bereitgestellten Cloud-Dienst anwendbar ist und im Verantwortungsbereich des Cloud-Anbieters liegt.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen