# SSO-05 Überwachung der Einhaltung von Anforderungen - Bereich: SSO – Steuerung und Überwachung von Service-Organisationen und Lieferanten - Gegenüber C5:2020: geändert (vorher SSO-04) - Webseite: https://c5.patrickscheid.de/sso-05/ **Ergänzende Information:** Informationen, die für die Überwachung der Ausgestaltung und des Betriebs des dienstleistungsbezogenen internen Kontrollsystems eingeholt werden, umfassen typischerweise Berichte nach ISAE 3402, IDW PS 951, SOC 2 oder BSI C5, ANSSI SecNumCloud oder CSA CCM. Auch Second-Party-Audits auf Grundlage solcher Rahmenwerke können hier nützlich sein. Für die strukturierte Analyse von BSI-C5-Berichten hat das BSI einen Excel-basierten Auswertungsleitfaden veröffentlicht. Falls solche Berichte von den Service-Organisationen bereitgestellt werden, überprüft der Cloud-Anbieter beispielsweise die folgenden Aspekte und bezieht die Feststellungen bei Bedarf in die Risikobeurteilung ein, um Risiko-mitigierende Maßnahmen abzuleiten und einzuleiten: 1. Den Geltungsbereich und die Gültigkeit beziehungsweise den vom Bericht abgedeckten Zeitraum; 2. Modifikationen des Prüfungsurteils, festgestellte Abweichungen/Ausnahmen und die Stellungnahme der Geschäftsleitung hierzu; 3. Korrespondierende Kundenkontrollen (engl. Complementary User Entity Controls, CUEC), die vom Cloud-Anbieter ausgestaltet und betrieben werden müssen; 4. Offengelegte Subservice-Organisationen einschließlich etwaiger Änderungen unter diesen (z. B. zusätzliche Subservice-Organisationen); und 5. Angegebene Sicherheitsvorfälle. Informationen zu CSOCs sind nur für Subservice-Organisationen einzuholen. Nicht jede Service-Organisation ist eine Subservice-Organisation, vgl. Abschnitt 'Berücksichtigung von Dienstleistungsunternehmen (Service-Organisationen)'). Geeignete Verfahren können die Überprüfung von Berichten unabhängiger Dritter oder vom Cloud-Anbieter bei der Subservice-Organisation durchgeführte Prüfungsverfahren umfassen. Die im Zusatzkriterium beschriebenen automatisierten Überwachungsverfahren sind nur auf Service-Organisationen anwendbar, für die eine Überwachungsautomatisierung aufgrund der Art der für den Cloud-Anbieter erbrachten Dienstleistungen machbar ist. ## Basiskriterium ### SSO-05.01B Der Cloud-Anbieter überwacht die Einhaltung von Informationssicherheitsanforderungen und geltenden gesetzlichen und regulatorischen Anforderungen in Übereinstimmung mit Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen. ### SSO-05.02B Die Überwachung umfasst eine regelmäßige Überprüfung der folgenden Informationen, soweit diese Informationen von Service-Organisationen gemäß den vertraglichen Vereinbarungen bereitzustellen sind: 1. Berichte über die Qualität der Leistungserbringung; 2. Zertifikate über die Konformität der Managementsysteme mit internationalen Standards; 3. Aufzeichnungen der Service-Organisationen über den Umgang mit Schwachstellen, Sicherheitsvorfällen und Vorfällen; 4. Berichte unabhängiger Dritter über die Ausgestaltung und den Betrieb ihres dienstleistungsbezogenen internen Kontrollsystems; und 5. Falls vom Cloud-Anbieter genutzte Service-Organisationen selbst Subunternehmer nutzen, die Einhaltung relevanter vertraglicher, gesetzlicher und regulatorischer Anforderungen durch ihre Subunternehmer. **Ergänzende Information:** Bei der Überprüfung der von der Service-Organisation bereitgestellten Informationen sollte der Cloud-Anbieter zwischen fehlerhaften Informationen, die in gutem Glauben erstellt wurden (wie Berichte über mutmaßliche Sicherheitsvorfälle, die sich letztlich als unbegründet herausstellten), und bewusst falschen oder böswilligen Informationen unterscheiden. Die Überwachung von Subunternehmern kann über Audits, Zertifizierungen und Berichte Dritter erfolgen (vgl. SSO-05) und von den Service-Organisationen des Cloud-Anbieters durchgeführt werden. Der Cloud-Anbieter bleibt dafür verantwortlich, die Ergebnisse der Compliance-Überwachung zu überprüfen und das Risiko zu bewerten. ### SSO-05.03B Die Regelmäßigkeit der Durchführung entspricht der Klassifizierung der Service-Organisationen auf Basis der Risikobeurteilung des Cloud-Anbieters (vgl. SSO-02). ### SSO-05.04B Falls eine Service-Organisation als Subservice-Organisation betrachtet wird, beurteilt der Cloud-Anbieter diese Beziehung und führt geeignete Verfahren durch, um sicherzustellen, dass die anwendbaren C5-Kriterien erfüllt sind. Geeignete Verfahren liefern hinreichende Sicherheit: 1. Dass die Subservice-Organisation relevante Kontrollen ausgestaltet und betrieben hat; und 2. Dass die Kontrollen der Subservice-Organisation den erwarteten korrespondierenden Kontrollen von Subservice-Organisationen (CSOC) entsprechen, die bei der Ausgestaltung der Kontrollen des Cloud-Anbieters vorausgesetzt wurden. ### SSO-05.05B Identifizierte Abweichungen werden in Übereinstimmung mit der Risikobeurteilung von Service-Organisationen (vgl. SSO-02) einer Analyse, Bewertung und Behandlung unterzogen. ### SSO-05.06B Wenn eine zur Erbringung des Cloud-Dienstes beitragende Service-Organisation eine Änderung durchläuft, die sich wesentlich zum Nachteil auf das Sicherheitsniveau des Cloud-Anbieters auswirkt, kommuniziert der Cloud-Anbieter dies allen seinen Cloud-Kunden unverzüglich. ### SSO-05.07B Der Cloud-Anbieter legt ein Verfahren fest, um Anforderungen an Geheimhaltungs- oder Vertraulichkeitsvereinbarungen für alle an der Erbringung des Cloud-Dienstes beteiligten Service-Organisationen regelmäßig zu überprüfen. Dieses Verfahren wird in der Praxis umgesetzt, und die Überprüfung wird mindestens einmal pro Jahr durchgeführt. ## Zusatzkriterium ### SSO-05.01AC (Zusatz, erweiternd) Die Verfahren zur Überwachung der Einhaltung der Anforderungen werden durch automatische Verfahren in Bezug auf die folgenden Aspekte ergänzt: 1. Konfiguration von Systemkomponenten; 2. Leistung und Verfügbarkeit von Systemkomponenten; 3. Reaktionszeit auf Vorfälle und Sicherheitsvorfälle; und 4. Wiederherstellungszeit (Zeit bis zum Abschluss der Fehlerbehandlung). ### SSO-05.02AC (Zusatz, erweiternd) Identifizierte Verstöße und Unstimmigkeiten werden automatisch an das verantwortliche Personal oder die verantwortlichen Systemkomponenten des Cloud-Anbieters gemeldet, damit eine zeitnahe Bewertung und Maßnahmen erfolgen können. ### SSO-05.03AC (Zusatz, erweiternd) Der Cloud-Anbieter definiert und implementiert einen Prozess zur Durchführung periodischer Sicherheitsbeurteilungen für alle Service-Organisationen. Art und Umfang dieser Sicherheitsbeurteilungen entsprechen dem mit jeder Service-Organisation verbundenen Risiko. Diese risikobasierten Sicherheitsbeurteilungen stellen sicher, dass Service-Organisationen die erforderlichen Sicherheitsstandards erfüllen und dass potenzielle Risiken angemessen identifiziert und mitigiert werden. ## Korrespondierende Kriterien für Kunden Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie über die Subservice-Organisationen ihres Cloud-Anbieters informiert bleiben (z. B. auf Grundlage der Informationen im C5-Prüfungsbericht) und entscheiden auf Grundlage des Schutzbedarfs ihrer im Cloud-Dienst verarbeiteten und gespeicherten Daten, ob weitere Maßnahmen zur Überwachung und Prüfung dieser Subservice-Organisationen ergriffen werden sollten. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Specified third parties to which this criterion applies to be service organisations. Extend the information to be reviewed as part of the monitoring by information on the compliance of the service organisation's subcontractors. Removed requirement to include monitoring results in the review of the service organisation's risk assessment. Added further requirements to assess subservice organisations and their relationship with the cloud service provider. Added requirements regarding the notification of cloud service customers in case of security-relevant changes of service organisations. Added requirements regarding the review of confidentiality agreements with suppliers. Bullet points are now sorted to ease discussions about specific list items. **Zusatzkriterium:** Added requirement for the cloud service provider to conduct periodic security assessments for all service organisations. Bullet points are now sorted to ease discussions about specific list items. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.