SP · Sicherheitsrichtlinien und Arbeitsanweisungen
SP-02 Überprüfung und Freigabe von Richtlinien und Verfahren
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Further specified frequency of reviews by requiring them to be performed in case of significant changes as well.
Added requirement regarding communication about revisions to internal and external personnel.
Bullet points are now sorted to ease discussions about specific list items.
Wortlaut in C5:2020
Basiskriterium
Information security policies and instructions are reviewed at least annually for adequacy by the Cloud Service Provider's subject matter experts.
The review shall consider at least the following aspects:
- Organisational and technical changes in the procedures for providing the cloud service; and
- Legal and regulatory changes in the Cloud Service Provider's environment.
Revised policies and instructions are approved before they become effective.
Basiskriterium
Informationssicherheitsrichtlinien und -verfahren werden mindestens jährlich und im Falle wesentlicher Änderungen am Cloud-Dienst von sachverständigem Personal des Cloud-Anbieters auf Angemessenheit überprüft. Die Überprüfung hat mindestens die folgenden Aspekte zu berücksichtigen:
- Organisatorische und technische Änderungen in den Verfahren zur Bereitstellung des Cloud-Dienstes; und
- Gesetzliche und regulatorische Änderungen im Umfeld des Cloud-Anbieters.
Ergänzende Information
Während eines ISO-27001-Zertifizierungsaudits werden die Kontrollen zu diesem Kriterium höchstwahrscheinlich ebenfalls geprüft. Handelt es sich um ein gemeinsames Audit (C5 und ISO), kann hier Effizienz im Sinne von 'audit once, certify many' erzielt werden. Handelt es sich um ein separates Audit, kann der Prüfer des C5-Attestierungsauftrags statt einer erneuten Prüfung der Kontrolle den ISO-Bericht einsehen, sofern die vorgelegten Nachweise hinreichend schlüssig sind.
Überarbeitete Richtlinien und Verfahren werden von der angemessenen Leitungsebene genehmigt, bevor sie Gültigkeit erlangen, und werden internem und externem Personal kommuniziert und zur Verfügung gestellt.
Ergänzende Information
Wesentliche Änderungen umfassen unter anderem alle Umstände oder Ereignisse, die den Geltungsbereich, die Wirksamkeit oder die Ziele der Informationssicherheitsrichtlinie wesentlich beeinflussen. Konkret sind wesentliche Änderungen z. B.:
- Größere technische oder architektonische Änderungen an der Cloud-Plattform (z. B. Einführung neuer Infrastrukturdienste, Cloud-Migration, Einführung eines neuen Serviceangebots);
- Wesentliche Aktualisierungen nationaler oder internationaler Gesetze, Vorschriften oder sektorspezifischer Standards (z. B. NIS2, DORA, DSGVO), die die Verpflichtungen zur Informationssicherheit beeinflussen;
- Reorganisation oder Fusion/Übernahme von Organisationseinheiten, welche die Führung, Entscheidungsfindung oder zentrale sicherheitsbezogene Verantwortlichkeiten betreffen;
- Wesentliche Änderungen in vertraglichen Anforderungen, Risikobewertungen, operativen Prozessen oder der Bedrohungslage (z. B. neues Threat Intelligence, das auf neu entstehende Risiken hinweist, Vorfälle in der Lieferkette);
- Größere Sicherheitsvorfälle oder -verletzungen, die eine Überarbeitung der Vorfallsbewältigung erfordern;
- Einführung oder Außerbetriebnahme von Servicekomponenten, welche die Cloud-Kundendaten oder Trust Boundaries betreffen; und
- Änderungen in der Zusammensetzung oder den Verantwortlichkeiten der obersten Leitung oder des Lenkungsausschusses für Informationssicherheit.
Für eine effiziente Überprüfung kann der Cloud-Anbieter die Art jeder wesentlichen Änderung, die Begründung für die Überprüfung und das Ergebnis von Richtlinienanpassungen dokumentieren. Eine automatisierte Nachverfolgung von Richtlinienänderungen und eine manuelle Verifizierung des Inhalts können ebenfalls in den Überprüfungsworkflow integriert werden.
Die oberste Leitung ist eine angemessene Leitungsebene für die Genehmigung der Informationssicherheitsrichtlinie.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen