SSO · Steuerung und Überwachung von Service-Organisationen und Lieferanten
SSO-01 Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified third parties to which this criterion applies to be service organisations.
Specified last list item to be applicable to subservice organisations used by the service organisations.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
Rephrased requirement regarding the content and quality of the reports.
Removed requirement for the subservice organisation and the cloud service provider to agree on appropriate information and audit rights if no reports can be provided.
Wortlaut in C5:2020
Basiskriterium
Policies and instructions for controlling and monitoring third parties (e.g. service providers or suppliers) whose services contribute to the provision of the cloud service are documented, communicated and provided in accordance with SP-01 with respect to the following aspects:
- Requirements for the assessment of risks resulting from the procurement of third-party services;
- Requirements for the classification of third parties based on the risk assessment by the Cloud Service Provider and the determination of whether the third party is a subcontractor (cf. Supplementary Information);
- Information security requirements for the processing, storage or transmission of information by third parties based on recognised industry standards;
- Information security awareness and training requirements for staff;
- applicable legal and regulatory requirements;
- Requirements for dealing with vulnerabilities, security incidents and malfunctions;
- Specifications for the contractual agreement of these requirements;
- Specifications for the monitoring of these requirements; and
- Specifications for applying these requirements also to service providers used by the third parties, insofar as the services provided by these service providers also contribute to the provision of the cloud service.
Zusatzkriterium
Subservice organisations of the Cloud Service Provider are contractually obliged to provide regular reports by independent auditors on the suitability of the design and operating effectiveness of their service-related internal control system.
The reports include the complementary subservice organisations that are required, together with the controls of the Cloud Service Provider, to meet the applicable basic criteria of BSI C5 with reasonable assurance.
In case no reports can be provided, the Cloud Service Provider agrees appropriate information and audit rights to assess the suitability and effectiveness of the service-related internal control system, including the complementary controls, by qualified personnel.
Basiskriterium
Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen, deren Leistungen zur Entwicklung oder zum Betrieb des Cloud-Dienstes beitragen, sind hinsichtlich der folgenden Aspekte gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt:
- Anforderungen an die Beurteilung von Risiken, die sich aus der Beschaffung von Dienstleistungen Dritter ergeben;
- Anforderungen an die Klassifizierung der Service-Organisationen auf Basis einer Risikobeurteilung durch den Cloud-Anbieter und der Feststellung, ob es sich um eine Subservice-Organisation handelt;
- Informationssicherheitsanforderungen für die Verarbeitung, Speicherung oder Übertragung von Informationen durch Service-Organisationen auf der Grundlage des Stands der Technik und unter Berücksichtigung der Kriterien in diesem Katalog;
- Anforderungen an die Sensibilisierung und die Schulung des Personals;
- Anwendbare rechtliche und regulatorische Anforderungen;
- Anforderungen an den Umgang mit Schwachstellen, Sicherheitsvorfällen und Vorfällen;
- Vorgaben für die vertragliche Vereinbarung dieser Anforderungen;
- Vorgaben für die Überwachung dieser Anforderungen; und
- Vorgaben für die Weitergabe dieser Anforderungen auch an Subservice-Organisationen, die von den Service-Organisationen eingesetzt werden, soweit Leistungen dieser Subservice-Organisationen ebenso zur Entwicklung oder zum Betrieb des Cloud-Dienstes beitragen.
Ergänzende Information
Gilt auch für 01AC
Das Basiskriterium gilt für alle Service-Organisationen des Cloud-Anbieters, unabhängig davon, ob die 'inclusive'- oder die 'carve-out method' angewendet wird. Das Zusatzkriterium gilt nur für diejenigen Service-Organisationen, die als Subservice-Organisationen angesehen werden. Siehe Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'.
Berichte unabhängiger Prüfer über die Angemessenheit der Ausgestaltung und die wirksame Umsetzung ihres dienstleistungsbezogenen internen Kontrollsystems sind beispielsweise Prüfungsberichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5.
Anwendbare rechtliche und regulatorische Anforderungen können z. B. in den Bereichen Datenschutz, Recht am geistigen Eigentum oder Urheberrecht bestehen.
Falls gesetzliche oder regulatorische Anforderungen eine von diesen Kriterien abweichende Regelung für die Steuerung von Subservice-Organisationen vorsehen, bleiben diese Regelungen von den C5-Kriterien unberührt.
Zusatzkriterium
SSO-01.01AC
Zusatz, erweiterndSubservice-Organisationen des Cloud-Anbieters sind vertraglich verpflichtet, regelmäßige Berichte unabhängiger Prüfer über die Angemessenheit der Ausgestaltung und die wirksame Umsetzung ihres dienstleistungsbezogenen internen Kontrollsystems bereitzustellen, die es dem Cloud-Anbieter ermöglichen festzustellen, ob die Subservice-Organisation Kontrollen ausgestaltet und betrieben hat, die den erwarteten korrespondierenden Kontrollen von Subservice-Organisationen (CSOC) angemessen sind.
Ergänzende Information
Gilt auch für 01B
Das Basiskriterium gilt für alle Service-Organisationen des Cloud-Anbieters, unabhängig davon, ob die 'inclusive'- oder die 'carve-out method' angewendet wird. Das Zusatzkriterium gilt nur für diejenigen Service-Organisationen, die als Subservice-Organisationen angesehen werden. Siehe Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'.
Berichte unabhängiger Prüfer über die Angemessenheit der Ausgestaltung und die wirksame Umsetzung ihres dienstleistungsbezogenen internen Kontrollsystems sind beispielsweise Prüfungsberichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5.
Anwendbare rechtliche und regulatorische Anforderungen können z. B. in den Bereichen Datenschutz, Recht am geistigen Eigentum oder Urheberrecht bestehen.
Falls gesetzliche oder regulatorische Anforderungen eine von diesen Kriterien abweichende Regelung für die Steuerung von Subservice-Organisationen vorsehen, bleiben diese Regelungen von den C5-Kriterien unberührt.
SSO-01.02AC
Zusatz, erweiterndFalls solche Berichte nicht bereitgestellt werden können, vereinbart der Cloud-Anbieter geeignete Informations- und Prüfungsrechte, um die Ausgestaltung und den Betrieb des dienstleistungsbezogenen internen Kontrollsystems hinsichtlich der erwarteten CSOCs zu bewerten.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen