# SSO-01 Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen

- Bereich: SSO – Steuerung und Überwachung von Service-Organisationen und Lieferanten
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/sso-01/

## Basiskriterium

### SSO-01.01B

Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen, deren Leistungen zur Entwicklung oder zum Betrieb des Cloud-Dienstes beitragen, sind hinsichtlich der folgenden Aspekte gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt:

1. Anforderungen an die Beurteilung von Risiken, die sich aus der Beschaffung von Dienstleistungen Dritter ergeben;
2. Anforderungen an die Klassifizierung der Service-Organisationen auf Basis einer Risikobeurteilung durch den Cloud-Anbieter und der Feststellung, ob es sich um eine Subservice-Organisation handelt;
3. Informationssicherheitsanforderungen für die Verarbeitung, Speicherung oder Übertragung von Informationen durch Service-Organisationen auf der Grundlage des Stands der Technik und unter Berücksichtigung der Kriterien in diesem Katalog;
4. Anforderungen an die Sensibilisierung und die Schulung des Personals;
5. Anwendbare rechtliche und regulatorische Anforderungen;
6. Anforderungen an den Umgang mit Schwachstellen, Sicherheitsvorfällen und Vorfällen;
7. Vorgaben für die vertragliche Vereinbarung dieser Anforderungen;
8. Vorgaben für die Überwachung dieser Anforderungen; und
9. Vorgaben für die Weitergabe dieser Anforderungen auch an Subservice-Organisationen, die von den Service-Organisationen eingesetzt werden, soweit Leistungen dieser Subservice-Organisationen ebenso zur Entwicklung oder zum Betrieb des Cloud-Dienstes beitragen.

**Ergänzende Information (zu 01B, 01AC):**

Das Basiskriterium gilt für alle Service-Organisationen des Cloud-Anbieters, unabhängig davon, ob die 'inclusive'- oder die 'carve-out method' angewendet wird. Das Zusatzkriterium gilt nur für diejenigen Service-Organisationen, die als Subservice-Organisationen angesehen werden. Siehe Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'.

Berichte unabhängiger Prüfer über die Angemessenheit der Ausgestaltung und die wirksame Umsetzung ihres dienstleistungsbezogenen internen Kontrollsystems sind beispielsweise Prüfungsberichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5.

Anwendbare rechtliche und regulatorische Anforderungen können z. B. in den Bereichen Datenschutz, Recht am geistigen Eigentum oder Urheberrecht bestehen.

Falls gesetzliche oder regulatorische Anforderungen eine von diesen Kriterien abweichende Regelung für die Steuerung von Subservice-Organisationen vorsehen, bleiben diese Regelungen von den C5-Kriterien unberührt.

## Zusatzkriterium

### SSO-01.01AC (Zusatz, erweiternd)

Subservice-Organisationen des Cloud-Anbieters sind vertraglich verpflichtet, regelmäßige Berichte unabhängiger Prüfer über die Angemessenheit der Ausgestaltung und die wirksame Umsetzung ihres dienstleistungsbezogenen internen Kontrollsystems bereitzustellen, die es dem Cloud-Anbieter ermöglichen festzustellen, ob die Subservice-Organisation Kontrollen ausgestaltet und betrieben hat, die den erwarteten korrespondierenden Kontrollen von Subservice-Organisationen (CSOC) angemessen sind.

### SSO-01.02AC (Zusatz, erweiternd)

Falls solche Berichte nicht bereitgestellt werden können, vereinbart der Cloud-Anbieter geeignete Informations- und Prüfungsrechte, um die Ausgestaltung und den Betrieb des dienstleistungsbezogenen internen Kontrollsystems hinsichtlich der erwarteten CSOCs zu bewerten.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Specified third parties to which this criterion applies to be service organisations.

Specified last list item to be applicable to subservice organisations used by the service organisations.

Bullet points are now sorted to ease discussions about specific list items.

**Zusatzkriterium:**

Rephrased requirement regarding the content and quality of the reports.

Removed requirement for the subservice organisation and the cloud service provider to agree on appropriate information and audit rights if no reports can be provided.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.