# SP-01 Dokumentation, Kommunikation und Bereitstellung von Richtlinien und Verfahren

- Bereich: SP – Sicherheitsrichtlinien und Arbeitsanweisungen
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/sp-01/

## Basiskriterium

### SP-01.01B

Richtlinien und Verfahren (einschl. Rahmenwerke und Leitlinien) werden aus der Informationssicherheitsrichtlinie abgeleitet und gemäß einer einheitlichen Struktur dokumentiert. Die Richtlinien und Verfahren beschreiben mindestens die folgenden Aspekte:

1. Ziele;
2. Anwendungsbereiche;
3. Rollen und Verantwortlichkeiten, einschließlich Anforderungen an die Qualifikation des Personals und das Einrichten von Vertretungsregelungen;
4. Rollen und Abhängigkeiten von anderen Organisationen (insbesondere Cloud-Kunden und Subservice-Organisationen);
5. Maßnahmen zur Umsetzung der Sicherheitsstrategie; und
6. Anwendbare rechtliche und regulatorischer Anforderungen.

**Ergänzende Information:**

Richtlinien und Verfahren sind für die folgenden Basiskriterien erforderlich, in denen der Inhalt näher spezifiziert ist:

1. Informationssicherheitsrichtlinie (OIS-02);
2. Richtlinie für Risikomanagement (OIS-07);
3. Richtlinie für Remote-Arbeit (HR-07);
4. Rahmenwerk für Asset Management (AM-01);
5. Richtlinie für die ordnungsgemäße und sichere Nutzung von Assets (AM-05);
6. Sicherheitsanforderungen für Gebäude und Räumlichkeiten (PS-01);
7. Physische Zutrittskontrolle (PS-04);
8. Anforderungen an die Sicherheit von Arbeitsplätzen (PS-08);
9. Schutz vor Malware - Richtlinien und Verfahren (OPS-04);
10. Datensicherung und -wiederherstellung - Richtlinien und Verfahren (OPS-06);
11. Protokollierung und Überwachung - Richtlinien und Verfahren (OPS-10);
12. Protokollierung und Überwachung - Richtlinien und Verfahren für den Umgang mit abgeleiteten Cloud-Dienstdaten und Kontodaten (OPS-11);
13. Umgang mit Schwachstellen - Richtlinien und Verfahren (OPS-18);
14. Umgang mit Vorfällen und Abstürzen - Richtlinien und Verfahren (OPS-19);
15. Umgang mit Schwachstellen - Richtlinien und Verfahren zum Patch-Management (OPS-27);
16. Trennung von Datensätzen - Richtlinien und Verfahren (OPS-30);
17. Confidential Computing - Richtlinien und Verfahren (OPS-32);
18. Container-Management - Richtlinien und Verfahren (OPS-34);
19. Richtlinie für Identitäten und Zugriffsberechtigungen (IAM-01);
20. Authentisierungsmechanismen (Authentisierungsrichtlinie) (IAM-08);
21. Richtlinie für die Verwendung kryptographischer Mechanismen (CRY-01);
22. Technische Schutzmaßnahmen (COS-01);
23. Richtlinien für die Datenübertragung (COS-08);
24. Richtlinien für die Entwicklung/Beschaffung von Systemkomponenten (DEV-01);
25. Richtlinien für Änderungen an Systemkomponenten (DEV-03);
26. Sichere Nutzung von Hardware und Software Dritter (Richtlinien und Verfahren für die Nutzung von Drittanbieter- und Open-Source-Software) (DEV-14);
27. Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen (SSO-01);
28. Steuerung des Austauschs mit Lieferanten funktionaler Komponenten (SSO-08);
29. Richtlinie für den Umgang mit Sicherheitsvorfällen (SIM-01);
30. Business Continuity- und Notfallmanagementsystem (BCM-01);
31. Richtlinie für die Planung und Durchführung von Audits (COM-02); und
32. Kommunikation technischer Verfahren zur Datenoffenlegung bei behördlichen Auskunfts- und Herausgabeverlangen (INQ-04).

### SP-01.02B

Die Richtlinien und Verfahren werden allem relevanten internem und externem Personal des Cloud-Anbieters sach- und bedarfsgerecht kommuniziert und zur Verfügung gestellt.

**Ergänzende Information:**

Die sach- und bedarfsgerechte Kommunikation und Bereitstellung sind vor dem Hintergrund der Größe und Komplexität der Organisation des Cloud-Anbieters und der Art des angebotenen Cloud-Dienstes zu beurteilen. Mögliche Kriterien sind:

1. Thematisierung der Richtlinien und Anweisungen in der Einarbeitung neuen Personals;
2. Schulungs- und Informationskampagnen bei der Einführung neuer oder der Überarbeitung bestehender Richtlinien und Verfahren; und
3. Form der Bereitstellung.

### SP-01.03B

Die Richtlinien und Verfahren unterliegen einer Versionskontrolle.

### SP-01.04B

Die Richtlinien und Verfahren werden von der obersten Leitung des Cloud-Anbieters oder einer autorisierten Stelle genehmigt.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Changed order of requirements within the criterion.

Bullet points are now sorted to ease discussions about specific list items.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.