# SIM-03 Bearbeitung von Sicherheitsvorfällen - Bereich: SIM – Umgang mit Sicherheitsvorfällen - Gegenüber C5:2020: geändert (vorher SIM-02) - Webseite: https://c5.patrickscheid.de/sim-03/ ## Basiskriterium ### SIM-03.01B Sachverständiges Personal des Cloud-Anbieters führt für Ereignisse die einen Sicherheitsvorfall darstellen könnten, Klassifizierungen, Priorisierungen sowie Ursachenanalysen durch. ### SIM-03.02B Die Ergebnisse dieser Ursachenanalysen werden dokumentiert, mit relevanten Stakeholdern geteilt und als Teil von Bewertungs- und Lernprozessen verwendet. ### SIM-03.03B Wenn der Cloud-Anbieter feststellt, dass er externe Unterstützung für die Bearbeitung eines Sicherheitsvorfalls benötigt, wählt er einen Dienst zur Reaktion auf Vorfälle auf der Grundlage von dessen Kompetenz und Vertrauenswürdigkeit oder durch Befolgung der Empfehlungen einer nationalen Cybersicherheitsbehörde aus. ### SIM-03.04B Ein Katalog, der eine eindeutige Identifizierung von Informationssicherheitsvorfällen ermöglicht, die Cloud-Kundendaten betreffen, wird gepflegt und für die Klassifizierung von Informationssicherheitsvorfällen verwendet. ### SIM-03.05B Der Cloud-Anbieter verwendet den Mechanismus zur Klassifizierung von Vorfällen auch für die Korrelation von Informationssicherheitsereignissen und bewertet sowie klassifiziert die korrelierten Informationssicherheitsereignisse entsprechend ihrer Kritikalität. ### SIM-03.06B Alle Dokumente und Nachweise, die Einzelheiten zu Sicherheitsvorfällen im Zusammenhang mit dem Cloud-Dienst enthalten, werden im Einklang mit Kritikalität und regulatorischen Anforderungen sicher und manipulationssicher archiviert. **Ergänzende Information:** Regulatorische Anforderungen können es erforderlich machen, eine Beweismittelkette aufrechtzuerhalten, um sicherzustellen, dass Dokumente in Gerichtsverfahren als Beweismittel herangezogen werden können. ### SIM-03.07B Der Analyseprozess bietet eine zum Risiko und zur Auswirkung des Sicherheitsvorfalls angemessene Nachvollziehbarkeit, um Ursachen und Angriffsverlauf zu verstehen. ## Zusatzkriterium ### SIM-03.01AC (Zusatz, erweiternd) Der Cloud-Anbieter simuliert das Identifizieren, Analysieren und Abwehren von Sicherheitsvorfällen und Angriffen mindestens jährlich durch geeignete Tests und Übungen (z. B. Red Team-Übungen). ### SIM-03.02AC (Zusatz, erweiternd) Ein integriertes Team aus Forensik-/Incident-Responder-Personal, das speziell dafür qualifiziert ist, Nachweise zu sichern und eine Beweismittelkette zu verwalten, ist eingerichtet oder für seine Dienstleistungen beauftragt. ### SIM-03.03AC (Zusatz, erweiternd) Der Cloud-Anbieter verifiziert die Anwendung von Richtlinien und Verfahren des Vorfallmanagements durch Überwachung der Prozesse zur Behandlung von Informationssicherheitsvorfällen. Zeitnahe und angemessene Abhilfemaßnahmen adressieren alle bei der Überwachung festgestellten Abweichungen. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Added requirementr defining how to further process the results of the root cause analyses. Added requirement regarding the selection of extenal assistance. Added reqruiements for cataloguing, analysing and classifying security incidents, as well as archiving security incident information. **Zusatzkriterium:** Added requirement for the estavlishment of a forensic / incident responder team. Added requirements for the monitoring of security incident handling. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.