SIM · Umgang mit Sicherheitsvorfällen
SIM-04 Dokumentation und Berichterstattung über Sicherheitsvorfälle
Geändert gegenüber C5:2020 · vorher SIM-03
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Moved requirement for information on security incidents or confirmed security breaches to be available to cloud service customers from the additional criterion to the basic criterion.
Zusatzkriterium
Moved requirement for information on security incidents or confirmed security breaches to be available to cloud service customers from the additional criterion to the basic criterion.
Wortlaut in C5:2020
Basiskriterium
After a security incident has been processed, the solution is documented in accordance with the contractual agreements and the report is sent to the affected customers for final acknowledgement or, if applicable, as confirmation.
Zusatzkriterium
The customer can either actively approve solutions or the solution is automatically approved after a certain period.
Information on security incidents or confirmed security breaches is made available to all affected customers.
The contract between the Cloud Service Provider and the cloud customer regulates which data is made available to the cloud customer for his own analysis in the event of security incidents.
Basiskriterium
Nachdem ein Sicherheitsvorfall bearbeitet wurde, wird die Lösung in Übereinstimmung mit den vertraglichen Vereinbarungen dokumentiert und die Dokumentation wird den betroffenen Cloud-Kunden zur abschließenden Kenntnisnahme oder gegebenenfalls als Bestätigung zugesandt.
Informationen zu Sicherheitsvorfällen oder bestätigten Sicherheitsverstößen werden allen betroffenen Cloud-Kunden zur Verfügung gestellt.
Ergänzende Information
Sicherheitsverletzungen im Sinne dieses Kriteriums sind Sicherheitsvorfälle, die durch unbefugten Zugriff und Kompromittierung von Cloud-Kundendaten oder der Diensterbringung infolge von Verstößen gegen Richtlinien und Verfahren oder gegen geltende gesetzliche und regulatorische Anforderungen verursacht werden (vgl. HR-04.02B).
Zusatzkriterium
SIM-04.01AC
Zusatz, erweiterndDer Cloud-Kunde kann Lösungen entweder aktiv genehmigen oder die Lösung wird nach einer bestimmten Frist automatisch genehmigt.
SIM-04.02AC
Zusatz, erweiterndZwischen Cloud-Anbieter und Cloud-Kunden ist vertraglich geregelt, welche Daten dem Cloud-Kunden bei Sicherheitsvorfällen zur eigenen Analyse zur Verfügung gestellt werden.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie Benachrichtigungen des Cloud-Anbieters bezüglich sie betreffender Sicherheitsvorfälle sowie deren Lösung erhalten, und dass diese Benachrichtigungen zeitnah an die für die Bearbeitung verantwortliche Stelle weitergeleitet werden, sodass eine angemessene Reaktion erfolgen kann.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen