# SIM-05 Verpflichtung des Personals zur Meldung von Sicherheitsvorfällen an eine zentrale Stelle

- Bereich: SIM – Umgang mit Sicherheitsvorfällen
- Gegenüber C5:2020: geändert (vorher SIM-04)
- Webseite: https://c5.patrickscheid.de/sim-05/

## Basiskriterium

### SIM-05.01B

Der Cloud-Anbieter informiert das Personal und externe Geschäftspartner über ihre Verpflichtungen. Falls erforderlich, stimmen sie zu oder werden vertraglich verpflichtet, alle ihnen bekannt werdenden Sicherheitsereignisse, die in direktem Zusammenhang mit dem vom Cloud-Anbieter bereitgestellten Cloud-Dienst stehen, zeitnah an eine zuvor benannte zentrale Stelle des Cloud-Anbieters zu melden.

### SIM-05.02B

Der Cloud-Anbieter kommuniziert, dass 'Fehlmeldungen' von Ereignissen, die sich im Nachhinein nicht als Vorfälle herausstellen, keine negativen Folgen nach sich ziehen.

### SIM-05.03B

Die Meldemechanismen für Informationssicherheitsvorfälle werden dem Personal, den Cloud-Kunden und den Service-Organisationen des Cloud-Anbieters kommuniziert.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass identifizierte Sicherheitsereignisse, die vom Cloud-Anbieter bearbeitet werden müssen, zeitnah an zuvor benanntes, verantwortliches Personal kommuniziert werden.

Die Identifizierung solcher Sicherheitsereignisse wird durch geeignete Kontrollen unterstützt (vgl. korrespondierendes Kundenkriterium für OPS-10).

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Added requirment to communicate the information security incident reporting mechanisms.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.