SIM · Umgang mit Sicherheitsvorfällen
SIM-05 Verpflichtung des Personals zur Meldung von Sicherheitsvorfällen an eine zentrale Stelle
Geändert gegenüber C5:2020 · vorher SIM-04
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Added requirment to communicate the information security incident reporting mechanisms.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider informs employees and external business partners of their obligations. If necessary, they agree to or are contractually obliged to report all security events that become known to them and are directly related to the cloud service provided by the Cloud Service Provider to a previously designated central office of the Cloud Service Provider promptly.
In addition, the Cloud Service Provider communicates that "false reports" of events that do not subsequently turn out to be incidents do not have any negative consequences.
Basiskriterium
Der Cloud-Anbieter informiert das Personal und externe Geschäftspartner über ihre Verpflichtungen. Falls erforderlich, stimmen sie zu oder werden vertraglich verpflichtet, alle ihnen bekannt werdenden Sicherheitsereignisse, die in direktem Zusammenhang mit dem vom Cloud-Anbieter bereitgestellten Cloud-Dienst stehen, zeitnah an eine zuvor benannte zentrale Stelle des Cloud-Anbieters zu melden.
Der Cloud-Anbieter kommuniziert, dass 'Fehlmeldungen' von Ereignissen, die sich im Nachhinein nicht als Vorfälle herausstellen, keine negativen Folgen nach sich ziehen.
Die Meldemechanismen für Informationssicherheitsvorfälle werden dem Personal, den Cloud-Kunden und den Service-Organisationen des Cloud-Anbieters kommuniziert.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass identifizierte Sicherheitsereignisse, die vom Cloud-Anbieter bearbeitet werden müssen, zeitnah an zuvor benanntes, verantwortliches Personal kommuniziert werden.
Die Identifizierung solcher Sicherheitsereignisse wird durch geeignete Kontrollen unterstützt (vgl. korrespondierendes Kundenkriterium für OPS-10).
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen