# SSO-04 Verzeichnis von Service-Organisationen

- Bereich: SSO – Steuerung und Überwachung von Service-Organisationen und Lieferanten
- Gegenüber C5:2020: geändert (vorher SSO-03)
- Webseite: https://c5.patrickscheid.de/sso-04/

## Basiskriterium

### SSO-04.01B

Der Cloud-Anbieter führt ein Verzeichnis zur Steuerung und Überwachung der Service-Organisationen, die Dienstleistungen zur Erbringung des Cloud-Dienstes beitragen. Die folgenden Informationen werden im Verzeichnis geführt:

1. Firmenname;
2. Anschrift des Hauptsitzes;
3. Geltende Rechtsordnung;
4. Standorte, an denen Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten verarbeitet und gespeichert werden;
5. Verantwortliche Kontaktgruppe/-person bei der Service-Organisation;
6. Verantwortliche Kontaktgruppe/-person beim Cloud-Anbieter;
7. Beschreibung der Dienstleistung;
8. Klassifizierung auf Basis der Risikobeurteilung;
9. Beginn der Dienstleistungsnutzung; und
10. Nachweise über die Einhaltung der vertraglich vereinbarten Anforderungen.

**Ergänzende Information:**

Zur Erfüllung des Basiskriteriums ist es nicht notwendig, ein einziges zentrales Verzeichnis zu führen.

### SSO-04.02B

Das Verzeichnis wird mindestens jährlich auf Vollständigkeit, Genauigkeit und Gültigkeit der Informationen überprüft.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Specified which data types the criterion applies to.

Specified address to mean the address of the head office.

Added the applicable legal jurisdiction as an information to be maintained in the directory.

Bullet points are now sorted to ease discussions about specific list items.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.