# OIS-08 Anwendung der Richtlinie für Risikomanagement - Risikobeurteilung - Bereich: OIS – Organisation der Informationssicherheit - Gegenüber C5:2020: geändert (vorher OIS-07) - Webseite: https://c5.patrickscheid.de/ois-08/ **Ergänzende Information:** Dieses Kriterium bezieht sich ausschließlich auf Risiken, die im Verantwortungsbereich des Cloud-Anbieters liegen. Auch beim Auslagern von Tätigkeiten zur Bereitstellung des Cloud-Dienstens auf Subservice-Organisationen verbleibt die Verantwortung für diese Risiken beim Cloud-Anbieter. Anforderungen an die Maßnahmen zur Behandlung dieser Risiken sind den Kriterien im Bereich 'Steuerung und Überwachung von Service-Organisationen und Lieferanten (SSO)' zu entnehmen. Cloud-Anbieter können etablierte Risikomanagementstandards wie ISO 27005 oder die ISO-31000-Normenfamilie nutzen, um Risiken im Zusammenhang mit dem Cloud-Dienst zu adressieren. Bereits beim Cloud-Anbieter implementierte Risikomanagementverfahren können für OIS-08, soweit möglich, genutzt werden, um Redundanzen zu verringern. Die Dokumentation von Risiken, Behandlungsplänen und Risikoakzeptanz im Sinne dieses Kriteriums erfordert keine spezifischen formalen Rahmenwerke; schlanke Formen der Dokumentation können, soweit angemessen, genutzt werden, um die OIS-08-Unterkriterien zu adressieren. ## Basiskriterium ### OIS-08.01B Der Cloud-Anbieter führt den in OIS-07 definierten Risikomanagementprozess anlassbezogen und mindestens jährlich durch. **Ergänzende Information:** Beispiele für Szenarien, in denen der Risikomanagementprozess 'anlassbezogen' durchgeführt werden kann, umfassen unter anderem die folgenden: 1. Änderungen der Bedrohungslandschaft (vgl. OIS-05); 2. Sicherheitsvorfälle oder Geschäftsunterbrechungen; 3. Änderungen der rechtlichen, regulatorischen, selbst auferlegten und vertraglichen Anforderungen an den Cloud-Anbieter, die für die Informationssicherheit des Cloud-Dienstes relevant sind (vgl. COM-01); 4. Änderungen der Organisationsstruktur des Cloud-Anbieters mit Auswirkungen auf Rollen, Verantwortlichkeiten oder Verfahren für die Bereitstellung des Cloud-Dienstes; 5. Änderungen der Architektur des Cloud-Dienstes (vgl. OPS-31); 6. Ereignisse im Zusammenhang mit Service-Organisationen des Cloud-Anbieters (vgl. SSO-05); 7. Ausnahmen von Richtlinien oder Verfahren (vgl. SP-03); und 8. Identifizierung kritischer Schwachstellen (vgl. OPS-22) oder Compliance-Abweichungen (vgl. COM-03). ### OIS-08.02B Beim Identifizieren von Risiken werden folgende Aspekte berücksichtigt, soweit diese für den bereitgestellten Cloud-Dienst anwendbar sind und im Verantwortungsbereich des Cloud-Anbieters liegen: 1. Verarbeitung, Speicherung oder Übertragung von Cloud-Kundendaten und von abgeleiteten Cloud-Dienstdaten mit unterschiedlichen Schutzbedarfen; 2. Auftreten von Schwachstellen und Vorfällen in technischen Schutzmaßnahmen zur Trennung gemeinsam genutzter Ressourcen; 3. Angriffe über Zugangspunkte, einschließlich Schnittstellen, die aus öffentlichen Netzen zugänglich sind, und versehentlich offengelegte Schnittstellen; 4. Abhängigkeiten von Service-Organisationen; 5. Ein Risiko-Programm für Verschlüsselung und Schlüsselmanagement, das die Risiken der unbefugten Offenlegung, Veränderung, Zerstörung oder des Informationsverlusts kryptographischer Schlüssel adressiert; und 6. Trennung der Cloud-Kunden und ihrer Daten innerhalb von Systemen, Netzen und Speichern. **Ergänzende Information:** Gemeinsam genutzte Ressourcen sind z. B. Netze, RAM oder Speicher. Bei der Bestimmung des Schutzbedarfs von Cloud-Kundendaten und abgeleiteten Cloud-Dienstdaten sollten die für diese Datentypen geltende regulatorische Anforderungen berücksichtigt werden, wie z. B. PCI-DSS, HIPAA, DORA (Verordnung über digitale operationale Resilienz für den Finanzsektor und zur Änderung von Verordnungen), NIS-2-Richtlinie und KRITIS. ### OIS-08.03B Richtlinien und Verfahren, die für die Erbringung und den Betrieb des Cloud-Dienstes relevante Risikobeurteilungen abdecken, werden vom Cloud-Anbieter umgesetzt. ### OIS-08.04B Die Ergebnisse der Risikobeurteilung werden relevanten internen Parteien bereitgestellt. **Ergänzende Information:** Relevante interne Parteien können die Geschäftsleitung und die Sicherheitsteams des Cloud-Anbieters umfassen. ### OIS-08.05B Relevanten externen Parteien werden Informationen aus den Risikobeurteilungen bereitgestellt, die auf die Zwecke der Parteien zugeschnitten sind. **Ergänzende Information:** Relevante externe Parteien können Cloud-Kunden, Subservice-Organisationen und Regulierungsbehörden umfassen. Informationen, die in diesem Kontext relevant sein können, umfassen Informationen über identifizierte Schwachstellen, Sicherheitsvorfälle und Bedrohungsinformationen. Der Cloud-Anbieter kann sich dafür entscheiden, diese Informationen über sein SSRM (vgl. OIS-03), seine Dokumentation und Richtlinien (vgl. PSS-01) oder seine Prozesse zur Information der Cloud-Kunden über bekannte Schwachstellen (vgl. PSS-03) zugänglich zu machen. ### OIS-08.06B Die Analyse, Bewertung und Behandlung von Risiken, einschließlich der Genehmigung von Maßnahmen und der Akzeptanz von Restrisiken, wird von den Risikoeigentümern mindestens jährlich auf Angemessenheit überprüft. Zusätzlich wird bei wesentlichen Änderungen am Cloud-Dienst eine Überprüfung durchgeführt, die sich auf die für die Änderung relevanten Teile der Risikobeurteilung konzentriert. ## Zusatzkriterium ### OIS-08.01AS (Zusatz, verschärft 01B) Der Cloud-Anbieter führt den in OIS-07 definierten Risikomanagementprozess anlassbezogen und mindestens jährlich durch. Die Entwicklung der Risiken wird überwacht und die Risikobeurteilungen werden entsprechend überprüft. ### OIS-08.01AC (Zusatz, erweiternd) Der Cloud-Anbieter integriert Cybersicherheitsrisiken in ein dokumentiertes Enterprise Risk Management (ERM)-Programm, das die folgenden Aspekte adressiert: 1. Integration von Informationssicherheitsrisiken auf Unternehmensebene, um ein Bewusstsein für Informationssicherheitsrisiken in der gesamten Organisation zu fördern; 2. Bewusstsein der Führungsebene und Unterstützung bei Identifizierung, Analyse und Behandlung von Informationssicherheitsrisiken, um kontinuierliche Verbesserung zu fördern; und 3. Berücksichtigung der strategischen Ziele des Cloud-Anbieters beim Management von Risiken, um die Risikobehandlung an den Zielen der Organisation auszurichten. ### OIS-08.02AC (Zusatz, erweiternd) Bei der Identifizierung von Risiken berücksichtigt der Cloud-Anbieter zusätzlich die Erkennung ungewöhnlicher und schädlicher Handlungen interner Bedrohungsakteure, soweit dies auf den bereitgestellten Cloud-Dienst anwendbar ist und im Verantwortungsbereich des Cloud-Anbieters liegt. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Specified which data types the criterion applies to. Removed conflicting tasks and areas of responsibilities from the aspects to be taken into account when identifying risks, instead added encryption and key management risk programmes and the separation of cloud service customers. Added requirement regarding the implementatino of policies and procedured covering risk assessments. Added requirements regarding the availability of risk assessment information to internal and external parties. Further specified frequency of reviews by requiring them to be performed in case of significant changes as well. Bullet points are now sorted to ease discussions about specific list items. **Zusatzkriterium:** Additional criterion newly included. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.