SSO · Steuerung und Überwachung von Service-Organisationen und Lieferanten
SSO-06 Strategie zur Vertragsbeendigung für Service-Organisationen
Geändert gegenüber C5:2020 · vorher SSO-05
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Bullet points are now sorted to ease discussions about specific list items.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider has defined and documented exit strategies for the purchase of services where the risk assessment of the service providers and suppliers regarding the scope, complexity and uniqueness of the purchased service resulted in a very high dependency (cf. Supplementary Information).
Exit strategies are aligned with operational continuity plans and include the following aspects:
- Analysis of the potential costs, impacts, resources and timing of the transition of a purchased service to an alternative service provider or supplier;
- Definition and allocation of roles, responsibilities and sufficient resources to perform the activities for a transition;
- Definition of success criteria for the transition;
- Definition of indicators for monitoring the performance of services, which should initiate the withdrawal from the service if the results are unacceptable.
Ergänzende Information zu allen Unterkriterien
Von einer sehr hohen Abhängigkeit kann insbesondere ausgegangen werden, wenn die bezogene Dienstleistung für die Erbringung des Cloud-Dienstes unverzichtbar ist. Diese Situation liegt vor, wenn der Cloud-Anbieter:
- Den Cloud-Dienst aus Rechenzentren erbringt, die von Service-Organisationen betrieben werden; oder
- Einen SaaS-Dienst erbringt und das IaaS oder PaaS eines anderen Cloud-Anbieters nutzt.
Von einer sehr hohen Abhängigkeit kann auch ausgegangen werden, wenn die Dienstleistung nicht innerhalb eines Monats von einer alternativen Service-Organisation bezogen werden kann, da:
- Sie auf dem Markt einzigartig ist und keine andere Service-Organisation sie liefern kann;
- Sie durch die Service-Organisation und/oder den Cloud-Anbieter stark individualisiert ist;
- Sie von keiner anderen Service-Organisation in der erforderlichen Dienstgüte erbracht werden kann; oder
- Sie spezifisches Wissen erfordert, das nur/hauptsächlich der aktuellen Service-Organisation und nicht dem Cloud-Anbieter zur Verfügung steht.
Ausstiegsstrategien können je nach Art und Grad der Abhängigkeit des Cloud-Dienstes von Drittleistungen und Service-Organisationen in ihrer Komplexität variieren. Die Nutzung eines Cloud-Service-Vermittlers ist ein Beispiel für ein komplexes Szenario. Die in SSO-06.02B aufgeführten Aspekte sollten auf Grundlage der Ergebnisse der Risikobeurteilung des Cloud-Anbieters berücksichtigt werden. Wurde ein geringerer Grad der Abhängigkeit festgestellt, sind Ausstiegsstrategien oder einzelne Aspekte davon im Sinne dieses Kriteriums nicht verpflichtend.
Basiskriterium
Der Cloud-Anbieter hat Strategien zur Vertragsbeendigung oder zum Ausstieg für den Bezug von Dienstleistungen definiert und dokumentiert, falls die Risikobeurteilung der Service-Organisationen hinsichtlich Umfang, Komplexität und Einzigartigkeit der erbrachten Dienstleistung eine sehr hohe Abhängigkeit festgestellt hat (vgl. Ergänzende Informationen).
Die Ausstiegsstrategien sind mit den Plänen zur betrieblichen Kontinuität abgestimmt und umfassen die folgenden Aspekte:
- Analyse der potenziellen Kosten, Auswirkungen, Ressourcen und des zeitlichen Rahmens für den Übergang einer bezogenen Dienstleistung zu einer alternativen Service-Organisation;
- Festlegung und Zuweisung von Rollen, Verantwortlichkeiten und ausreichenden Ressourcen zur Durchführung der Aktivitäten für einen Übergang;
- Festlegung von Erfolgskriterien für den Übergang; und
- Festlegung von Indikatoren zur Überwachung der Leistung von Dienstleistungen, die den Rückzug aus der Dienstleistung einleiten sollten, wenn die Ergebnisse nicht akzeptabel sind.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen