C5 Field Guideinoffiziell

SP · Sicherheitsrichtlinien und Arbeitsanweisungen

SP-01 Dokumentation, Kommunikation und Bereitstellung von Richtlinien und Verfahren

4 Unterkriterien

Geändert gegenüber C5:2020

Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.

Basiskriterium

Changed order of requirements within the criterion.

Bullet points are now sorted to ease discussions about specific list items.

Wortlaut in C5:2020

Basiskriterium

Policies and instructions (incl. concepts and guidelines) are derived from the information security policy and are documented according to a uniform structure. They are communicated and made available to all internal and external employees of the Cloud Service Provider in an appropriate manner.

The policies and instructions are version controlled and approved by the top management of the Cloud Service Provider or an authorised body.

The policies and instructions describe at least the following aspects:

  • Objectives;
  • Scope;
  • Roles and responsibilities, including staff qualification requirements and the establishment of substitution rules;
  • Roles and dependencies on other organisations (especially cloud customers and subservice organisations);
  • Steps for the execution of the security strategy; and
  • Applicable legal and regulatory requirements.

Alle Änderungen gegenüber C5:2020

Basiskriterium

SP-01.01B

Richtlinien und Verfahren (einschl. Rahmenwerke und Leitlinien) werden aus der Informationssicherheitsrichtlinie abgeleitet und gemäß einer einheitlichen Struktur dokumentiert. Die Richtlinien und Verfahren beschreiben mindestens die folgenden Aspekte:

  1. Ziele;
  2. Anwendungsbereiche;
  3. Rollen und Verantwortlichkeiten, einschließlich Anforderungen an die Qualifikation des Personals und das Einrichten von Vertretungsregelungen;
  4. Rollen und Abhängigkeiten von anderen Organisationen (insbesondere Cloud-Kunden und Subservice-Organisationen);
  5. Maßnahmen zur Umsetzung der Sicherheitsstrategie; und
  6. Anwendbare rechtliche und regulatorischer Anforderungen.
Ergänzende Information

Richtlinien und Verfahren sind für die folgenden Basiskriterien erforderlich, in denen der Inhalt näher spezifiziert ist:

  1. Informationssicherheitsrichtlinie (OIS-02);
  2. Richtlinie für Risikomanagement (OIS-07);
  3. Richtlinie für Remote-Arbeit (HR-07);
  4. Rahmenwerk für Asset Management (AM-01);
  5. Richtlinie für die ordnungsgemäße und sichere Nutzung von Assets (AM-05);
  6. Sicherheitsanforderungen für Gebäude und Räumlichkeiten (PS-01);
  7. Physische Zutrittskontrolle (PS-04);
  8. Anforderungen an die Sicherheit von Arbeitsplätzen (PS-08);
  9. Schutz vor Malware - Richtlinien und Verfahren (OPS-04);
  10. Datensicherung und -wiederherstellung - Richtlinien und Verfahren (OPS-06);
  11. Protokollierung und Überwachung - Richtlinien und Verfahren (OPS-10);
  12. Protokollierung und Überwachung - Richtlinien und Verfahren für den Umgang mit abgeleiteten Cloud-Dienstdaten und Kontodaten (OPS-11);
  13. Umgang mit Schwachstellen - Richtlinien und Verfahren (OPS-18);
  14. Umgang mit Vorfällen und Abstürzen - Richtlinien und Verfahren (OPS-19);
  15. Umgang mit Schwachstellen - Richtlinien und Verfahren zum Patch-Management (OPS-27);
  16. Trennung von Datensätzen - Richtlinien und Verfahren (OPS-30);
  17. Confidential Computing - Richtlinien und Verfahren (OPS-32);
  18. Container-Management - Richtlinien und Verfahren (OPS-34);
  19. Richtlinie für Identitäten und Zugriffsberechtigungen (IAM-01);
  20. Authentisierungsmechanismen (Authentisierungsrichtlinie) (IAM-08);
  21. Richtlinie für die Verwendung kryptographischer Mechanismen (CRY-01);
  22. Technische Schutzmaßnahmen (COS-01);
  23. Richtlinien für die Datenübertragung (COS-08);
  24. Richtlinien für die Entwicklung/Beschaffung von Systemkomponenten (DEV-01);
  25. Richtlinien für Änderungen an Systemkomponenten (DEV-03);
  26. Sichere Nutzung von Hardware und Software Dritter (Richtlinien und Verfahren für die Nutzung von Drittanbieter- und Open-Source-Software) (DEV-14);
  27. Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen (SSO-01);
  28. Steuerung des Austauschs mit Lieferanten funktionaler Komponenten (SSO-08);
  29. Richtlinie für den Umgang mit Sicherheitsvorfällen (SIM-01);
  30. Business Continuity- und Notfallmanagementsystem (BCM-01);
  31. Richtlinie für die Planung und Durchführung von Audits (COM-02); und
  32. Kommunikation technischer Verfahren zur Datenoffenlegung bei behördlichen Auskunfts- und Herausgabeverlangen (INQ-04).

SP-01.02B

Die Richtlinien und Verfahren werden allem relevanten internem und externem Personal des Cloud-Anbieters sach- und bedarfsgerecht kommuniziert und zur Verfügung gestellt.

Ergänzende Information

Die sach- und bedarfsgerechte Kommunikation und Bereitstellung sind vor dem Hintergrund der Größe und Komplexität der Organisation des Cloud-Anbieters und der Art des angebotenen Cloud-Dienstes zu beurteilen. Mögliche Kriterien sind:

  1. Thematisierung der Richtlinien und Anweisungen in der Einarbeitung neuen Personals;
  2. Schulungs- und Informationskampagnen bei der Einführung neuer oder der Überarbeitung bestehender Richtlinien und Verfahren; und
  3. Form der Bereitstellung.

SP-01.03B

Die Richtlinien und Verfahren unterliegen einer Versionskontrolle.

SP-01.04B

Die Richtlinien und Verfahren werden von der obersten Leitung des Cloud-Anbieters oder einer autorisierten Stelle genehmigt.

Verwandte Kriterien

In diesem Kriterium referenziert

Kriterien, die SP-01 referenzieren

Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen