SIM · Umgang mit Sicherheitsvorfällen
SIM-03 Bearbeitung von Sicherheitsvorfällen
Geändert gegenüber C5:2020 · vorher SIM-02
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Added requirementr defining how to further process the results of the root cause analyses.
Added requirement regarding the selection of extenal assistance.
Added reqruiements for cataloguing, analysing and classifying security incidents, as well as archiving security incident information.
Zusatzkriterium
Added requirement for the estavlishment of a forensic / incident responder team.
Added requirements for the monitoring of security incident handling.
Wortlaut in C5:2020
Basiskriterium
Subject matter experts of the Cloud Service Provider, together with external security providers where appropriate, classify, prioritise and perform root-cause analyses for events that could constitute a security incident.
Zusatzkriterium
The Cloud Service Provider simulates the identification, analysis and defence of security incidents and attacks at least once a year through appropriate tests and exercises (e.g. Red Team training).
Basiskriterium
Sachverständiges Personal des Cloud-Anbieters führt für Ereignisse die einen Sicherheitsvorfall darstellen könnten, Klassifizierungen, Priorisierungen sowie Ursachenanalysen durch.
Die Ergebnisse dieser Ursachenanalysen werden dokumentiert, mit relevanten Stakeholdern geteilt und als Teil von Bewertungs- und Lernprozessen verwendet.
Wenn der Cloud-Anbieter feststellt, dass er externe Unterstützung für die Bearbeitung eines Sicherheitsvorfalls benötigt, wählt er einen Dienst zur Reaktion auf Vorfälle auf der Grundlage von dessen Kompetenz und Vertrauenswürdigkeit oder durch Befolgung der Empfehlungen einer nationalen Cybersicherheitsbehörde aus.
Ein Katalog, der eine eindeutige Identifizierung von Informationssicherheitsvorfällen ermöglicht, die Cloud-Kundendaten betreffen, wird gepflegt und für die Klassifizierung von Informationssicherheitsvorfällen verwendet.
Der Cloud-Anbieter verwendet den Mechanismus zur Klassifizierung von Vorfällen auch für die Korrelation von Informationssicherheitsereignissen und bewertet sowie klassifiziert die korrelierten Informationssicherheitsereignisse entsprechend ihrer Kritikalität.
Alle Dokumente und Nachweise, die Einzelheiten zu Sicherheitsvorfällen im Zusammenhang mit dem Cloud-Dienst enthalten, werden im Einklang mit Kritikalität und regulatorischen Anforderungen sicher und manipulationssicher archiviert.
Ergänzende Information
Regulatorische Anforderungen können es erforderlich machen, eine Beweismittelkette aufrechtzuerhalten, um sicherzustellen, dass Dokumente in Gerichtsverfahren als Beweismittel herangezogen werden können.
Der Analyseprozess bietet eine zum Risiko und zur Auswirkung des Sicherheitsvorfalls angemessene Nachvollziehbarkeit, um Ursachen und Angriffsverlauf zu verstehen.
Zusatzkriterium
SIM-03.01AC
Zusatz, erweiterndDer Cloud-Anbieter simuliert das Identifizieren, Analysieren und Abwehren von Sicherheitsvorfällen und Angriffen mindestens jährlich durch geeignete Tests und Übungen (z. B. Red Team-Übungen).
SIM-03.02AC
Zusatz, erweiterndEin integriertes Team aus Forensik-/Incident-Responder-Personal, das speziell dafür qualifiziert ist, Nachweise zu sichern und eine Beweismittelkette zu verwalten, ist eingerichtet oder für seine Dienstleistungen beauftragt.
SIM-03.03AC
Zusatz, erweiterndDer Cloud-Anbieter verifiziert die Anwendung von Richtlinien und Verfahren des Vorfallmanagements durch Überwachung der Prozesse zur Behandlung von Informationssicherheitsvorfällen. Zeitnahe und angemessene Abhilfemaßnahmen adressieren alle bei der Überwachung festgestellten Abweichungen.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen