SP · Sicherheitsrichtlinien und Arbeitsanweisungen
SP-03 Ausnahmen von bestehenden Richtlinien und Verfahren
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Added requirement that cloud service providers need to maintain a list of exceptions.
Added requirements regarding the consideration of aggregated risks.
Modified requirement of exceptions being limited in time to exceptions having a defined validity.
Specified that exceptions may not cause deviations from applicable C5 criteria within the scope of the assurance engagement.
Zusatzkriterium
Additional criterion newly included.
Wortlaut in C5:2020
Basiskriterium
Exceptions to the policies and instructions for information security as well as respective controls go through the OIS-06 risk management process, including approval of these exceptions and acceptance of the associated risks by the risk owners. The approvals of exceptions are documented, limited in time and are reviewed for appropriateness at least annually by the risk owners.
Ergänzende Information zu allen Unterkriterien
Ausnahmen im Sinne des Kriteriums können organisatorische oder technische Ursachen haben, wie zum Beispiel:
- Eine Organisationseinheit soll von vorgesehen Prozessen und Verfahren abweichen, um Anforderungen eines Cloud-Kunden zu erfüllen; und
- Einer Systemkomponente fehlen technische Eigenschaften, um sie gemäß den anwendbaren Anforderungen zu konfigurieren.
Basiskriterium
Alle Ausnahmen von Richtlinien und Verfahren für die Informationssicherheit werden in einer Liste geführt, einschließlich auch der mit den Ausnahmen verbundenen Kontrollen.
Ergänzende Information
Während eines ISO-27001-Zertifizierungsaudits werden die Kontrollen zu diesem Kriterium höchstwahrscheinlich ebenfalls geprüft. Handelt es sich um ein gemeinsames Audit (C5 und ISO), kann hier Effizienz im Sinne von 'audit once, certify many' erzielt werden. Handelt es sich um ein separates Audit, kann der Prüfer des C5-Attestierungsauftrags statt einer erneuten Prüfung der Kontrolle den ISO-Bericht einsehen, sofern die vorgelegten Nachweise hinreichend schlüssig sind.
Ausnahmen von den Richtlinien und Verfahren für die Informationssicherheit sowie die jeweiligen Kontrollen durchlaufen Risikomanagementverfahren gemäß OIS-07, einschließlich Genehmigung der Ausnahmen und Akzeptanz der damit einhergehenden Risiken durch die Risikoeigentümer.
Die Risikomanagementverfahren gemäß OIS-07 berücksichtigen auch das aggregierte Risiko aus einer Kombination einzelner Ausnahmen.
Die Genehmigungen von Ausnahmen werden dokumentiert, mit einer festgelegten Gültigkeit versehen und mindestens jährlich von den Risikoeigentümern oder von der obersten Leitung auf Angemessenheit überprüft. Diese Überprüfung berücksichtigt ebenfalls das aggregierte Risiko aus einer Kombination einzelner Ausnahmen.
Ausnahmen von Richtlinien und Verfahren der Informationssicherheit, die zu einer Abweichung (vgl. 3.4.12) von einem anwendbaren C5-Kriterium innerhalb des Geltungsbereichs eines Attestierungsauftrags (vgl. 3.4.1) führen würden, sind nicht zulässig.
Ergänzende Information
Dieses Kriterium bezieht sich auf Richtlinien und Verfahren und fordert, dass auf dieser Ebene keine schriftlich niedergelegten Abweichungen von anwendbaren C5-Kriterien zulässig sind.
Zusatzkriterium
SP-03.01AC
Zusatz, erweiterndDie Ausnahmen von Richtlinien oder Verfahren werden von der angemessenen Leitungsebene genehmigt.
Ergänzende Information
Die angemessene Leitungsebene für die Genehmigung ist in den meisten Fällen entweder die Leitungsebene, die die Richtlinien oder Verfahren genehmigt hat, oder die Leitungsebene, an die diese Aufgabe delegiert ist.
SP-03.02AC
Zusatz, erweiterndDer Cloud-Anbieter überwacht die Liste der Ausnahmen, um das Ablaufen genehmigter Ausnahmen zu verhindern und die Aktualität aller Überprüfungen und Genehmigungen sicherzustellen.
SP-03.03AC
Zusatz, erweiterndAlle Ausnahmen, bei denen während der Überwachung Abweichungen festgestellt wurden, werden durch zeitnahe und angemessene Abhilfemaßnahmen behandelt.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie vom Cloud-Anbieter Informationen über Ausnahmen von Richtlinien und Verfahren der Informationssicherheit erhalten, um die damit verbundenen Risiken für ihre eigene Informationssicherheit zu bewerten und angemessen zu steuern.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen