SSO · Steuerung und Überwachung von Service-Organisationen und Lieferanten
SSO-02 Risikobeurteilung von Service-Organisationen
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Changed the order of the requirements within the criterion.
Extended the aspects to be included in the risk assessment by the assumed CSOCs, deviations from assumed CSOCs, the ability to avoid vendor lock-ins, the use of subcontractors by the subservice organisations and the types of data processed by such subcontractors.
Bullet points are now sorted to ease discussions about specific list items.
Wortlaut in C5:2020
Basiskriterium
Service providers and suppliers of the Cloud Service Provider undergo a risk assessment in accordance with the policies and instructions for the control and monitoring of third parties prior to contributing to the delivery of the cloud service. The adequacy of the risk assessment is reviewed regularly, at least annually, by qualified personnel of the Cloud Service Provider during service usage.
The risk assessment includes the identification, analysis, evaluation, handling and documentation of risks with regard to the following aspects:
- Protection needs regarding the confidentiality, integrity, availability and authenticity of information processed, stored or transmitted by the third party;
- Impact of a protection breach on the provision of the cloud service;
- The Cloud Service Provider's dependence on the service provider or supplier for the scope, complexity and uniqueness of the service purchased, including the consideration of possible alternatives.
Basiskriterium
Service-Organisationen des Cloud-Anbieters unterliegen vor ihrem Einsatz zur Entwicklung oder zum Betrieb des Cloud-Dienstes einer Risikobeurteilung in Übereinstimmung mit den Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen.
Die Risikobeurteilung umfasst die Identifizierung, Analyse, Bewertung, Behandlung und Dokumentation von Risiken in Bezug auf die folgenden Aspekte:
- Schutzbedarf hinsichtlich der Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität von Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten, die von der Service-Organisation verarbeitet, gespeichert oder übertragen werden;
- Auswirkungen einer Schutzverletzung auf die Erbringung des Cloud-Dienstes;
- Die Abhängigkeit des Cloud-Anbieters von der Service-Organisation hinsichtlich Umfang, Komplexität und Einzigartigkeit der erbrachten Dienstleistung, einschließlich der Berücksichtigung möglicher Alternativen;
- Korrespondierende Kontrollen von Subservice-Organisationen (CSOC), die bei der Ausgestaltung der Kontrollen des Cloud-Anbieters zur Erfüllung der anwendbaren C5-Kriterien vorausgesetzt werden;
- Abweichungen hinsichtlich der Ausgestaltung und des Betriebs von CSOCs, die bei als Subservice-Organisationen betrachteten Service-Organisationen vorausgesetzt werden, sowie mitigierende Maßnahmen des Cloud-Anbieters zur Behandlung solcher Abweichungen;
- Die Fähigkeit des Cloud-Anbieters, Bezugsquellen zu diversifizieren und Vendor Lock-in zu begrenzen;
- Ob vom Cloud-Anbieter genutzte Service-Organisationen selbst unterbeauftragte Service-Organisationen (Subunternehmer) nutzen, die zur Entwicklung und zum Betrieb des Cloud-Dienstes beitragen; und
- Falls vom Cloud-Anbieter genutzte Service-Organisationen selbst Subunternehmer nutzen, die Arten von Daten, die von den Subunternehmern verarbeitet werden.
Ergänzende Information
Zur Bewertung von Risiken bei Service-Organisationen kann der Cloud-Anbieter koordinierte Sicherheitsrisikobeurteilungen spezifischer kritischer IKT-Dienstleistungen, IKT-Systeme oder IKT-Produkte durchführen, die von Service-Organisationen bereitgestellt werden. Abgesehen von den in diesem Unterkriterium aufgeführten Aspekten sollte eine solche Risikobeurteilung technische und, soweit relevant, nichttechnische Risikofaktoren berücksichtigen.
Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation (vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)').
Die Angemessenheit der Risikobeurteilung wird während des Leitungsbezugs regelmäßig, mindestens jährlich, durch qualifiziertes Personal des Cloud-Anbieters überprüft.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen