SIM · Umgang mit Sicherheitsvorfällen
SIM-01 Richtlinie für den Umgang mit Sicherheitsvorfällen
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Replaced the term CERT with the term CSIRT.
Added requirement for the identification and definition of communication channels with cloud service customers.
Moved requirement regarding the collection of data from the additional criterion to the basic criterion.
Zusatzkriterium
Moved requirement regarding the collection of data to the basic criterion of SIM-01.
Removed requirement regarding the existence of analysis plans for typical security incidents. Instead, the new basic criterion SIM-02 requires the existence of security incident response plans.
Removed requirement regarding an evaluation methodology that ensures collected information can be used in legal assessments. Instead, SIM-03 now requires information to be archived in a secure and tamper-proof matter.
Wortlaut in C5:2020
Basiskriterium
Policies and instructions with technical and organisational safeguards are documented, communicated and provided in accordance with SP-01 to ensure a fast, effective and proper response to all known security incidents.
The Cloud Service Provider defines guidelines for the classification, prioritisation and escalation of security incidents and creates interfaces to the incident management and business continuity management.
In addition, the Cloud Service Provider has set up a "Computer Emergency Response Team" (CERT), which contributes to the coordinated resolution of occurring security incidents.
Customers affected by security incidents are informed in a timely and appropriate manner.
Zusatzkriterium
There are instructions as to how the data of a suspicious system can be collected in a conclusive manner in the event of a security incident. In addition, there are analysis plans for typical security incidents and an evaluation methodology so that the collected information does not lose its evidential value in any subsequent legal assessment.
Basiskriterium
Richtlinien, Verfahren und technische Maßnahmen sind gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt, um eine schnelle, wirksame und ordnungsgemäße Reaktion auf alle bekannten Sicherheitsvorfälle zu gewährleisten.
Der Cloud-Anbieter definiert Vorgaben zur Klassifizierung, Priorisierung, Eskalation und Ursachenanalysen von Sicherheitsvorfällen und schafft Schnittstellen zum Incident Management und zum Business Continuity Management.
Der Cloud-Anbieter hat ein 'Computer Security Incident Response Team' (CSIRT) eingerichtet, das zur koordinierten Lösung auftretender Sicherheitsvorfälle beiträgt.
Kommunikationskanäle mit den Cloud-Kunden sind identifiziert und festgelegt, und von Sicherheitsvorfällen betroffene Cloud-Kunden werden zeitnah und in angemessener Weise informiert.
Es gibt Verfahren dazu, wie bei einem Sicherheitsvorfall die Daten eines verdächtigen Systems beweisfest gesammelt werden können.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie Benachrichtigungen des Cloud-Anbieters bezüglich sie betreffender Sicherheitsvorfälle erhalten, und dass diese Benachrichtigungen zeitnah an die für die Bearbeitung verantwortliche Stelle weitergeleitet werden, sodass eine angemessene Reaktion erfolgen kann.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen