SSO · Steuerung und Überwachung von Service-Organisationen und Lieferanten
SSO-04 Verzeichnis von Service-Organisationen
Geändert gegenüber C5:2020 · vorher SSO-03
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Specified address to mean the address of the head office.
Added the applicable legal jurisdiction as an information to be maintained in the directory.
Bullet points are now sorted to ease discussions about specific list items.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider maintains a directory for controlling and monitoring the service providers and suppliers who contribute services to the delivery of the cloud service. The following information is maintained in the directory:
- Company name;
- Address;
- Locations of data processing and storage;
- Responsible contact person at the service provider/supplier;
- Responsible contact person at the cloud service provider;
- Description of the service;
- Classification based on the risk assessment;
- Beginning of service usage; and
- Proof of compliance with contractually agreed requirements.
The information in the list is checked at least annually for completeness, accuracy and validity.
Basiskriterium
Der Cloud-Anbieter führt ein Verzeichnis zur Steuerung und Überwachung der Service-Organisationen, die Dienstleistungen zur Erbringung des Cloud-Dienstes beitragen. Die folgenden Informationen werden im Verzeichnis geführt:
- Firmenname;
- Anschrift des Hauptsitzes;
- Geltende Rechtsordnung;
- Standorte, an denen Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten verarbeitet und gespeichert werden;
- Verantwortliche Kontaktgruppe/-person bei der Service-Organisation;
- Verantwortliche Kontaktgruppe/-person beim Cloud-Anbieter;
- Beschreibung der Dienstleistung;
- Klassifizierung auf Basis der Risikobeurteilung;
- Beginn der Dienstleistungsnutzung; und
- Nachweise über die Einhaltung der vertraglich vereinbarten Anforderungen.
Ergänzende Information
Zur Erfüllung des Basiskriteriums ist es nicht notwendig, ein einziges zentrales Verzeichnis zu führen.
Das Verzeichnis wird mindestens jährlich auf Vollständigkeit, Genauigkeit und Gültigkeit der Informationen überprüft.
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen