# SP-02 Überprüfung und Freigabe von Richtlinien und Verfahren

- Bereich: SP – Sicherheitsrichtlinien und Arbeitsanweisungen
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/sp-02/

## Basiskriterium

### SP-02.01B

Informationssicherheitsrichtlinien und -verfahren werden mindestens jährlich und im Falle wesentlicher Änderungen am Cloud-Dienst von sachverständigem Personal des Cloud-Anbieters auf Angemessenheit überprüft. Die Überprüfung hat mindestens die folgenden Aspekte zu berücksichtigen:

1. Organisatorische und technische Änderungen in den Verfahren zur Bereitstellung des Cloud-Dienstes; und
2. Gesetzliche und regulatorische Änderungen im Umfeld des Cloud-Anbieters.

**Ergänzende Information:**

Während eines ISO-27001-Zertifizierungsaudits werden die Kontrollen zu diesem Kriterium höchstwahrscheinlich ebenfalls geprüft. Handelt es sich um ein gemeinsames Audit (C5 und ISO), kann hier Effizienz im Sinne von 'audit once, certify many' erzielt werden. Handelt es sich um ein separates Audit, kann der Prüfer des C5-Attestierungsauftrags statt einer erneuten Prüfung der Kontrolle den ISO-Bericht einsehen, sofern die vorgelegten Nachweise hinreichend schlüssig sind.

### SP-02.02B

Überarbeitete Richtlinien und Verfahren werden von der angemessenen Leitungsebene genehmigt, bevor sie Gültigkeit erlangen, und werden internem und externem Personal kommuniziert und zur Verfügung gestellt.

**Ergänzende Information:**

Wesentliche Änderungen umfassen unter anderem alle Umstände oder Ereignisse, die den Geltungsbereich, die Wirksamkeit oder die Ziele der Informationssicherheitsrichtlinie wesentlich beeinflussen. Konkret sind wesentliche Änderungen z. B.:

1. Größere technische oder architektonische Änderungen an der Cloud-Plattform (z. B. Einführung neuer Infrastrukturdienste, Cloud-Migration, Einführung eines neuen Serviceangebots);
2. Wesentliche Aktualisierungen nationaler oder internationaler Gesetze, Vorschriften oder sektorspezifischer Standards (z. B. NIS2, DORA, DSGVO), die die Verpflichtungen zur Informationssicherheit beeinflussen;
3. Reorganisation oder Fusion/Übernahme von Organisationseinheiten, welche die Führung, Entscheidungsfindung oder zentrale sicherheitsbezogene Verantwortlichkeiten betreffen;
4. Wesentliche Änderungen in vertraglichen Anforderungen, Risikobewertungen, operativen Prozessen oder der Bedrohungslage (z. B. neues Threat Intelligence, das auf neu entstehende Risiken hinweist, Vorfälle in der Lieferkette);
5. Größere Sicherheitsvorfälle oder -verletzungen, die eine Überarbeitung der Vorfallsbewältigung erfordern;
6. Einführung oder Außerbetriebnahme von Servicekomponenten, welche die Cloud-Kundendaten oder Trust Boundaries betreffen; und
7. Änderungen in der Zusammensetzung oder den Verantwortlichkeiten der obersten Leitung oder des Lenkungsausschusses für Informationssicherheit.

Für eine effiziente Überprüfung kann der Cloud-Anbieter die Art jeder wesentlichen Änderung, die Begründung für die Überprüfung und das Ergebnis von Richtlinienanpassungen dokumentieren. Eine automatisierte Nachverfolgung von Richtlinienänderungen und eine manuelle Verifizierung des Inhalts können ebenfalls in den Überprüfungsworkflow integriert werden.

Die oberste Leitung ist eine angemessene Leitungsebene für die Genehmigung der Informationssicherheitsrichtlinie.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Further specified frequency of reviews by requiring them to be performed in case of significant changes as well.

Added requirement regarding communication about revisions to internal and external personnel.

Bullet points are now sorted to ease discussions about specific list items.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.