OIS · Organisation der Informationssicherheit
OIS-09 Anwendung der Richtlinie für Risikomanagement - Risikobehandlung
Neu in C5:2026
Ergänzende Information zu allen Unterkriterien
Dieses Kriterium bezieht sich ausschließlich auf Risiken, die im Verantwortungsbereich des Cloud-Anbieters liegen. Auch beim Auslagern von Tätigkeiten zur Bereitstellung des Cloud-Dienstens auf Subservice-Organisationen verbleibt die Verantwortung für diese Risiken beim Cloud-Anbieter. Anforderungen an die Maßnahmen zur Behandlung dieser Risiken sind den Kriterien im Bereich 'Steuerung und Überwachung von Service-Organisationen und Lieferanten (SSO)' zu entnehmen.
Cloud-Anbieter können etablierte Risikomanagementstandards wie ISO 27005 oder die ISO-31000-Normenfamilie nutzen, um Risiken im Zusammenhang mit dem Cloud-Dienst zu adressieren. Bereits beim Cloud-Anbieter implementierte Risikomanagementverfahren können für OIS-09, soweit möglich, genutzt werden, um Redundanzen zu verringern. Die Dokumentation von Risiken, Behandlungsplänen und Risikoakzeptanz im Sinne dieses Kriteriums erfordert keine spezifischen formalen Rahmenwerke; schlanke Formen der Dokumentation können, soweit angemessen, genutzt werden, um die OIS-09-Unterkriterien zu adressieren.
Basiskriterium
Die Risikobehandlung wird entsprechend dem Niveau der mit dem Cloud-Dienst verbundenen Cybersicherheitsrisiken priorisiert.
Ergänzende Information
Die Priorisierung kann beispielsweise durch die Festlegung geeigneter Fristen für die Behandlung der Risiken erfolgen.
Ein Risikobehandlungsplan gemäß der Risikobeurteilung (vgl. OIS-08) ist dokumentiert und umgesetzt.
Die im Risikobehandlungsplan festgelegten Maßnahmen reduzieren das Risikoniveau auf ein Restrisiko, das Risikoeigentümer akzeptieren können.
Der Risikobehandlungsplan sowie in geeigneter Weise zusammengefasste und abstrahierte Versionen davon werden relevanten internen Parteien bereitgestellt.
Auf Grundlage vertraglicher Vereinbarungen und relevanter rechtlicher und regulatorischer Anforderungen bestimmt der Cloud-Anbieter, welchen relevanten externen Parteien Informationen über den Risikobehandlungsplan bereitgestellt werden, die auf die Zwecke der Parteien zugeschnitten sind. Der Cloud-Anbieter bestimmt auch, in welchem Umfang dies geschehen soll.
Die ausgewählten Optionen für die Risikobehandlung werden von den Risikoeigentümern jedes Mal überprüft, wenn die Risikobeurteilung geändert wird. Die Überprüfung berücksichtigt die Kriterien für die Risikoakzeptanz und die Priorisierung der Risikobehandlung.
Ergänzende Information
Optionen für die Risikobehandlung können eines oder mehrere der folgenden Elemente umfassen:
- Vermeidung des Risikos durch die Entscheidung, die Tätigkeit, die das Risiko hervorruft, nicht zu beginnen oder nicht fortzuführen;
- Übernahme oder Erhöhung des Risikos, um eine Chance zu verfolgen;
- Beseitigung der Risikoquelle;
- Änderung der Wahrscheinlichkeit;
- Änderung der Folgen;
- Teilung des Risikos (z. B. durch Verträge, Abschluss von Versicherungen); und
- Beibehaltung des Risikos auf Grundlage einer informierten Entscheidung.
Für den Fall, dass der Cloud-Anbieter Risiken mit den Cloud-Kunden teilt, ordnet der Cloud-Anbieter geteilte Risiken korrespondierenden Kundenkontrollen zu und beschreibt sie in der Benutzerdokumentation (vgl. PSS-01).
Ergänzende Information
Risiken, die der Cloud-Anbieter mit dem Cloud-Kunden teilt, werden als Teil des SSRM beschrieben (vgl. OIS-03).
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen