# SP-03 Ausnahmen von bestehenden Richtlinien und Verfahren - Bereich: SP – Sicherheitsrichtlinien und Arbeitsanweisungen - Gegenüber C5:2020: geändert - Webseite: https://c5.patrickscheid.de/sp-03/ **Ergänzende Information:** Ausnahmen im Sinne des Kriteriums können organisatorische oder technische Ursachen haben, wie zum Beispiel: 1. Eine Organisationseinheit soll von vorgesehen Prozessen und Verfahren abweichen, um Anforderungen eines Cloud-Kunden zu erfüllen; und 2. Einer Systemkomponente fehlen technische Eigenschaften, um sie gemäß den anwendbaren Anforderungen zu konfigurieren. ## Basiskriterium ### SP-03.01B Alle Ausnahmen von Richtlinien und Verfahren für die Informationssicherheit werden in einer Liste geführt, einschließlich auch der mit den Ausnahmen verbundenen Kontrollen. **Ergänzende Information:** Während eines ISO-27001-Zertifizierungsaudits werden die Kontrollen zu diesem Kriterium höchstwahrscheinlich ebenfalls geprüft. Handelt es sich um ein gemeinsames Audit (C5 und ISO), kann hier Effizienz im Sinne von 'audit once, certify many' erzielt werden. Handelt es sich um ein separates Audit, kann der Prüfer des C5-Attestierungsauftrags statt einer erneuten Prüfung der Kontrolle den ISO-Bericht einsehen, sofern die vorgelegten Nachweise hinreichend schlüssig sind. ### SP-03.02B Ausnahmen von den Richtlinien und Verfahren für die Informationssicherheit sowie die jeweiligen Kontrollen durchlaufen Risikomanagementverfahren gemäß OIS-07, einschließlich Genehmigung der Ausnahmen und Akzeptanz der damit einhergehenden Risiken durch die Risikoeigentümer. ### SP-03.03B Die Risikomanagementverfahren gemäß OIS-07 berücksichtigen auch das aggregierte Risiko aus einer Kombination einzelner Ausnahmen. ### SP-03.04B Die Genehmigungen von Ausnahmen werden dokumentiert, mit einer festgelegten Gültigkeit versehen und mindestens jährlich von den Risikoeigentümern oder von der obersten Leitung auf Angemessenheit überprüft. Diese Überprüfung berücksichtigt ebenfalls das aggregierte Risiko aus einer Kombination einzelner Ausnahmen. ### SP-03.05B Ausnahmen von Richtlinien und Verfahren der Informationssicherheit, die zu einer Abweichung (vgl. 3.4.12) von einem anwendbaren C5-Kriterium innerhalb des Geltungsbereichs eines Attestierungsauftrags (vgl. 3.4.1) führen würden, sind nicht zulässig. **Ergänzende Information:** Dieses Kriterium bezieht sich auf Richtlinien und Verfahren und fordert, dass auf dieser Ebene keine schriftlich niedergelegten Abweichungen von anwendbaren C5-Kriterien zulässig sind. ## Zusatzkriterium ### SP-03.01AC (Zusatz, erweiternd) Die Ausnahmen von Richtlinien oder Verfahren werden von der angemessenen Leitungsebene genehmigt. **Ergänzende Information:** Die angemessene Leitungsebene für die Genehmigung ist in den meisten Fällen entweder die Leitungsebene, die die Richtlinien oder Verfahren genehmigt hat, oder die Leitungsebene, an die diese Aufgabe delegiert ist. ### SP-03.02AC (Zusatz, erweiternd) Der Cloud-Anbieter überwacht die Liste der Ausnahmen, um das Ablaufen genehmigter Ausnahmen zu verhindern und die Aktualität aller Überprüfungen und Genehmigungen sicherzustellen. ### SP-03.03AC (Zusatz, erweiternd) Alle Ausnahmen, bei denen während der Überwachung Abweichungen festgestellt wurden, werden durch zeitnahe und angemessene Abhilfemaßnahmen behandelt. ## Korrespondierende Kriterien für Kunden Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie vom Cloud-Anbieter Informationen über Ausnahmen von Richtlinien und Verfahren der Informationssicherheit erhalten, um die damit verbundenen Risiken für ihre eigene Informationssicherheit zu bewerten und angemessen zu steuern. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Added requirement that cloud service providers need to maintain a list of exceptions. Added requirements regarding the consideration of aggregated risks. Modified requirement of exceptions being limited in time to exceptions having a defined validity. Specified that exceptions may not cause deviations from applicable C5 criteria within the scope of the assurance engagement. **Zusatzkriterium:** Additional criterion newly included. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.