SSO · Steuerung und Überwachung von Service-Organisationen und Lieferanten
SSO-05 Überwachung der Einhaltung von Anforderungen
Geändert gegenüber C5:2020 · vorher SSO-04
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified third parties to which this criterion applies to be service organisations.
Extend the information to be reviewed as part of the monitoring by information on the compliance of the service organisation's subcontractors.
Removed requirement to include monitoring results in the review of the service organisation's risk assessment.
Added further requirements to assess subservice organisations and their relationship with the cloud service provider.
Added requirements regarding the notification of cloud service customers in case of security-relevant changes of service organisations.
Added requirements regarding the review of confidentiality agreements with suppliers.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
Added requirement for the cloud service provider to conduct periodic security assessments for all service organisations.
Bullet points are now sorted to ease discussions about specific list items.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider monitors compliance with information security requirements and applicable legal and regulatory requirements in accordance with policies and instructions concerning controlling and monitoring of third-parties.
Monitoring includes a regular review of the following evidence to the extent that such evidence is to be provided by third parties in accordance with the contractual agreements:
- reports on the quality of the service provided;
- certificates of the management systems' compliance with international standards;
- independent third-party reports on the suitability and operating effectiveness of their service-related internal control systems; and
- Records of the third parties on the handling of vulnerabilities, security incidents and malfunctions.
The frequency of the monitoring corresponds to the classification of the third party based on the risk assessment conducted by the Cloud Service Provider (cf. SSO-02). The results of the monitoring are included in the review of the third party's risk assessment.
Identified violations and deviations are subjected to analysis, evaluation and treatment in accordance with the risk management procedure (cf. OIS-07).
Zusatzkriterium
The procedures for monitoring compliance with the requirements are supplemented by automatic procedures relating to the following aspects:
- Configuration of system components;
- Performance and availability of system components;
- Response time to malfunctions and security incidents; and
- Recovery time (time until completion of error handling).
Identified violations and discrepancies are automatically reported to the responsible personnel or system components of the Cloud Service Provider for prompt assessment and action.
Ergänzende Information zu allen Unterkriterien
Informationen, die für die Überwachung der Ausgestaltung und des Betriebs des dienstleistungsbezogenen internen Kontrollsystems eingeholt werden, umfassen typischerweise Berichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5, ANSSI SecNumCloud oder CSA CCM. Auch Second-Party-Audits auf Grundlage solcher Rahmenwerke können hier nützlich sein. Für die strukturierte Analyse von BSI-C5-Berichten hat das BSI einen Excel-basierten Auswertungsleitfaden veröffentlicht.
Falls solche Berichte von den Service-Organisationen bereitgestellt werden, überprüft der Cloud-Anbieter beispielsweise die folgenden Aspekte und bezieht die Feststellungen bei Bedarf in die Risikobeurteilung ein, um Risiko-mitigierende Maßnahmen abzuleiten und einzuleiten:
- Den Geltungsbereich und die Gültigkeit beziehungsweise den vom Bericht abgedeckten Zeitraum;
- Modifikationen des Prüfungsurteils, festgestellte Abweichungen/Ausnahmen und die Stellungnahme der Geschäftsleitung hierzu;
- Korrespondierende Kundenkontrollen (engl. Complementary User Entity Controls, CUEC), die vom Cloud-Anbieter ausgestaltet und betrieben werden müssen;
- Offengelegte Subservice-Organisationen einschließlich etwaiger Änderungen unter diesen (z. B. zusätzliche Subservice-Organisationen); und
- Angegebene Sicherheitsvorfälle.
Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation, vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'). Geeignete Verfahren können die Überprüfung von Berichten unabhängiger Dritter oder vom Cloud-Anbieter bei der Subservice-Organisation durchgeführte Prüfungsverfahren umfassen.
Die im Zusatzkriterium beschriebenen automatisierten Überwachungsverfahren sind nur auf Service-Organisationen anwendbar, für die eine Überwachungsautomatisierung aufgrund der Art der für den Cloud-Anbieter erbrachten Dienstleistungen machbar ist.
Basiskriterium
Der Cloud-Anbieter überwacht die Einhaltung von Informationssicherheitsanforderungen und geltenden gesetzlichen und regulatorischen Anforderungen in Übereinstimmung mit Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen.
Die Überwachung umfasst eine regelmäßige Überprüfung der folgenden Informationen, soweit diese Informationen von Service-Organisationen gemäß den vertraglichen Vereinbarungen bereitzustellen sind:
- Berichte über die Qualität der Leistungserbringung;
- Zertifikate über die Konformität der Managementsysteme mit internationalen Standards;
- Aufzeichnungen der Service-Organisationen über den Umgang mit Schwachstellen, Sicherheitsvorfällen und Vorfällen;
- Berichte unabhängiger Dritter über die Ausgestaltung und den Betrieb ihres dienstleistungsbezogenen internen Kontrollsystems; und
- Falls vom Cloud-Anbieter genutzte Service-Organisationen selbst Subunternehmer nutzen, die Einhaltung relevanter vertraglicher, gesetzlicher und regulatorischer Anforderungen durch ihre Subunternehmer.
Ergänzende Information
Bei der Überprüfung der von der Service-Organisation bereitgestellten Informationen sollte der Cloud-Anbieter zwischen fehlerhaften Informationen, die in gutem Glauben erstellt wurden (wie Berichte über mutmaßliche Sicherheitsvorfälle, die sich letztlich als unbegründet herausstellten), und bewusst falschen oder böswilligen Informationen unterscheiden.
Die Überwachung von Subunternehmern kann über Audits, Zertifizierungen und Berichte Dritter erfolgen (vgl. SSO-05) und von den Service-Organisationen des Cloud-Anbieters durchgeführt werden. Der Cloud-Anbieter bleibt dafür verantwortlich, die Ergebnisse der Compliance-Überwachung zu überprüfen und das Risiko zu bewerten.
Die Regelmäßigkeit der Durchführung entspricht der Klassifizierung der Service-Organisationen auf Basis der Risikobeurteilung des Cloud-Anbieters (vgl. SSO-02).
Falls eine Service-Organisation als Subservice-Organisation betrachtet wird, beurteilt der Cloud-Anbieter diese Beziehung und führt geeignete Verfahren durch, um sicherzustellen, dass die anwendbaren C5-Kriterien erfüllt sind. Geeignete Verfahren liefern hinreichende Sicherheit:
- Dass die Subservice-Organisation relevante Kontrollen ausgestaltet und betrieben hat; und
- Dass die Kontrollen der Subservice-Organisation den erwarteten korrespondierenden Kontrollen von Subservice-Organisationen (CSOC) entsprechen, die bei der Ausgestaltung der Kontrollen des Cloud-Anbieters vorausgesetzt wurden.
Identifizierte Abweichungen werden in Übereinstimmung mit der Risikobeurteilung von Service-Organisationen (vgl. SSO-02) einer Analyse, Bewertung und Behandlung unterzogen.
Wenn eine zur Erbringung des Cloud-Dienstes beitragende Service-Organisation eine Änderung durchläuft, die sich wesentlich zum Nachteil auf das Sicherheitsniveau des Cloud-Anbieters auswirkt, kommuniziert der Cloud-Anbieter dies allen seinen Cloud-Kunden unverzüglich.
Der Cloud-Anbieter legt ein Verfahren fest, um Anforderungen an Geheimhaltungs- oder Vertraulichkeitsvereinbarungen für alle an der Erbringung des Cloud-Dienstes beteiligten Service-Organisationen regelmäßig zu überprüfen. Dieses Verfahren wird in der Praxis umgesetzt, und die Überprüfung wird mindestens einmal pro Jahr durchgeführt.
Zusatzkriterium
SSO-05.01AC
Zusatz, erweiterndDie Verfahren zur Überwachung der Einhaltung der Anforderungen werden durch automatische Verfahren in Bezug auf die folgenden Aspekte ergänzt:
- Konfiguration von Systemkomponenten;
- Leistung und Verfügbarkeit von Systemkomponenten;
- Reaktionszeit auf Vorfälle und Sicherheitsvorfälle; und
- Wiederherstellungszeit (Zeit bis zum Abschluss der Fehlerbehandlung).
SSO-05.02AC
Zusatz, erweiterndIdentifizierte Verstöße und Unstimmigkeiten werden automatisch an das verantwortliche Personal oder die verantwortlichen Systemkomponenten des Cloud-Anbieters gemeldet, damit eine zeitnahe Bewertung und Maßnahmen erfolgen können.
SSO-05.03AC
Zusatz, erweiterndDer Cloud-Anbieter definiert und implementiert einen Prozess zur Durchführung periodischer Sicherheitsbeurteilungen für alle Service-Organisationen. Art und Umfang dieser Sicherheitsbeurteilungen entsprechen dem mit jeder Service-Organisation verbundenen Risiko. Diese risikobasierten Sicherheitsbeurteilungen stellen sicher, dass Service-Organisationen die erforderlichen Sicherheitsstandards erfüllen und dass potenzielle Risiken angemessen identifiziert und mitigiert werden.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie über die Subservice-Organisationen ihres Cloud-Anbieters informiert bleiben (z. B. auf Grundlage der Informationen im C5-Prüfungsbericht) und entscheiden auf Grundlage des Schutzbedarfs ihrer im Cloud-Dienst verarbeiteten und gespeicherten Daten, ob weitere Maßnahmen zur Überwachung und Prüfung dieser Subservice-Organisationen ergriffen werden sollten.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen