# SIM-04 Dokumentation und Berichterstattung über Sicherheitsvorfälle

- Bereich: SIM – Umgang mit Sicherheitsvorfällen
- Gegenüber C5:2020: geändert (vorher SIM-03)
- Webseite: https://c5.patrickscheid.de/sim-04/

## Basiskriterium

### SIM-04.01B

Nachdem ein Sicherheitsvorfall bearbeitet wurde, wird die Lösung in Übereinstimmung mit den vertraglichen Vereinbarungen dokumentiert und die Dokumentation wird den betroffenen Cloud-Kunden zur abschließenden Kenntnisnahme oder gegebenenfalls als Bestätigung zugesandt.

### SIM-04.02B

Informationen zu Sicherheitsvorfällen oder bestätigten Sicherheitsverstößen werden allen betroffenen Cloud-Kunden zur Verfügung gestellt.

**Ergänzende Information:**

Sicherheitsverletzungen im Sinne dieses Kriteriums sind Sicherheitsvorfälle, die durch unbefugten Zugriff und Kompromittierung von Cloud-Kundendaten oder der Diensterbringung infolge von Verstößen gegen Richtlinien und Verfahren oder gegen geltende gesetzliche und regulatorische Anforderungen verursacht werden (vgl. HR-04.02B).

## Zusatzkriterium

### SIM-04.01AC (Zusatz, erweiternd)

Der Cloud-Kunde kann Lösungen entweder aktiv genehmigen oder die Lösung wird nach einer bestimmten Frist automatisch genehmigt.

### SIM-04.02AC (Zusatz, erweiternd)

Zwischen Cloud-Anbieter und Cloud-Kunden ist vertraglich geregelt, welche Daten dem Cloud-Kunden bei Sicherheitsvorfällen zur eigenen Analyse zur Verfügung gestellt werden.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie Benachrichtigungen des Cloud-Anbieters bezüglich sie betreffender Sicherheitsvorfälle sowie deren Lösung erhalten, und dass diese Benachrichtigungen zeitnah an die für die Bearbeitung verantwortliche Stelle weitergeleitet werden, sodass eine angemessene Reaktion erfolgen kann.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Moved requirement for information on security incidents or confirmed security breaches to be available to cloud service customers from the additional criterion to the basic criterion.

**Zusatzkriterium:**

Moved requirement for information on security incidents or confirmed security breaches to be available to cloud service customers from the additional criterion to the basic criterion.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.