# SSO-02 Risikobeurteilung von Service-Organisationen

- Bereich: SSO – Steuerung und Überwachung von Service-Organisationen und Lieferanten
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/sso-02/

## Basiskriterium

### SSO-02.01B

Service-Organisationen des Cloud-Anbieters unterliegen vor ihrem Einsatz zur Entwicklung oder zum Betrieb des Cloud-Dienstes einer Risikobeurteilung in Übereinstimmung mit den Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen.

Die Risikobeurteilung umfasst die Identifizierung, Analyse, Bewertung, Behandlung und Dokumentation von Risiken in Bezug auf die folgenden Aspekte:

1. Schutzbedarf hinsichtlich der Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität von Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten, die von der Service-Organisation verarbeitet, gespeichert oder übertragen werden;
2. Auswirkungen einer Schutzverletzung auf die Erbringung des Cloud-Dienstes;
3. Die Abhängigkeit des Cloud-Anbieters von der Service-Organisation hinsichtlich Umfang, Komplexität und Einzigartigkeit der erbrachten Dienstleistung, einschließlich der Berücksichtigung möglicher Alternativen;
4. Korrespondierende Kontrollen von Subservice-Organisationen (CSOC), die bei der Ausgestaltung der Kontrollen des Cloud-Anbieters zur Erfüllung der anwendbaren C5-Kriterien vorausgesetzt werden;
5. Abweichungen hinsichtlich der Ausgestaltung und des Betriebs von CSOCs, die bei als Subservice-Organisationen betrachteten Service-Organisationen vorausgesetzt werden, sowie mitigierende Maßnahmen des Cloud-Anbieters zur Behandlung solcher Abweichungen;
6. Die Fähigkeit des Cloud-Anbieters, Bezugsquellen zu diversifizieren und Vendor Lock-in zu begrenzen;
7. Ob vom Cloud-Anbieter genutzte Service-Organisationen selbst unterbeauftragte Service-Organisationen (Subunternehmer) nutzen, die zur Entwicklung und zum Betrieb des Cloud-Dienstes beitragen; und
8. Falls vom Cloud-Anbieter genutzte Service-Organisationen selbst Subunternehmer nutzen, die Arten von Daten, die von den Subunternehmern verarbeitet werden.

**Ergänzende Information:**

Zur Bewertung von Risiken bei Service-Organisationen kann der Cloud-Anbieter koordinierte Sicherheitsrisikobeurteilungen spezifischer kritischer IKT-Dienstleistungen, IKT-Systeme oder IKT-Produkte durchführen, die von Service-Organisationen bereitgestellt werden. Abgesehen von den in diesem Unterkriterium aufgeführten Aspekten sollte eine solche Risikobeurteilung technische und, soweit relevant, nichttechnische Risikofaktoren berücksichtigen.

Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation (vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)').

### SSO-02.02B

Die Angemessenheit der Risikobeurteilung wird während des Leitungsbezugs regelmäßig, mindestens jährlich, durch qualifiziertes Personal des Cloud-Anbieters überprüft.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Specified which data types the criterion applies to.

Changed the order of the requirements within the criterion.

Extended the aspects to be included in the risk assessment by the assumed CSOCs, deviations from assumed CSOCs, the ability to avoid vendor lock-ins, the use of subcontractors by the subservice organisations and the types of data processed by such subcontractors.

Bullet points are now sorted to ease discussions about specific list items.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.