# SSO-06 Strategie zur Vertragsbeendigung für Service-Organisationen

- Bereich: SSO – Steuerung und Überwachung von Service-Organisationen und Lieferanten
- Gegenüber C5:2020: geändert (vorher SSO-05)
- Webseite: https://c5.patrickscheid.de/sso-06/

**Ergänzende Information:**

Von einer sehr hohen Abhängigkeit kann insbesondere ausgegangen werden, wenn die bezogene Dienstleistung für die Erbringung des Cloud-Dienstes unverzichtbar ist. Diese Situation liegt vor, wenn der Cloud-Anbieter:

1. Den Cloud-Dienst aus Rechenzentren erbringt, die von Service-Organisationen betrieben werden; oder
2. Einen SaaS-Dienst erbringt und das IaaS oder PaaS eines anderen Cloud-Anbieters nutzt.

Von einer sehr hohen Abhängigkeit kann auch ausgegangen werden, wenn die Dienstleistung nicht innerhalb eines Monats von einer alternativen Service-Organisation bezogen werden kann, da:

1. Sie auf dem Markt einzigartig ist und keine andere Service-Organisation sie liefern kann;
2. Sie durch die Service-Organisation und/oder den Cloud-Anbieter stark individualisiert ist;
3. Sie von keiner anderen Service-Organisation in der erforderlichen Dienstgüte erbracht werden kann; oder
4. Sie spezifisches Wissen erfordert, das nur/hauptsächlich der aktuellen Service-Organisation und nicht dem Cloud-Anbieter zur Verfügung steht.

Ausstiegsstrategien können je nach Art und Grad der Abhängigkeit des Cloud-Dienstes von Drittleistungen und Service-Organisationen in ihrer Komplexität variieren. Die Nutzung eines Cloud-Service-Vermittlers ist ein Beispiel für ein komplexes Szenario. Die in SSO-06.02B aufgeführten Aspekte sollten auf Grundlage der Ergebnisse der Risikobeurteilung des Cloud-Anbieters berücksichtigt werden. Wurde ein geringerer Grad der Abhängigkeit festgestellt, sind Ausstiegsstrategien oder einzelne Aspekte davon im Sinne dieses Kriteriums nicht verpflichtend.

## Basiskriterium

### SSO-06.01B

Der Cloud-Anbieter hat Strategien zur Vertragsbeendigung oder zum Ausstieg für den Bezug von Dienstleistungen definiert und dokumentiert, falls die Risikobeurteilung der Service-Organisationen hinsichtlich Umfang, Komplexität und Einzigartigkeit der erbrachten Dienstleistung eine sehr hohe Abhängigkeit festgestellt hat (vgl. Ergänzende Informationen).

### SSO-06.02B

Die Ausstiegsstrategien sind mit den Plänen zur betrieblichen Kontinuität abgestimmt und umfassen die folgenden Aspekte:

1. Analyse der potenziellen Kosten, Auswirkungen, Ressourcen und des zeitlichen Rahmens für den Übergang einer bezogenen Dienstleistung zu einer alternativen Service-Organisation;
2. Festlegung und Zuweisung von Rollen, Verantwortlichkeiten und ausreichenden Ressourcen zur Durchführung der Aktivitäten für einen Übergang;
3. Festlegung von Erfolgskriterien für den Übergang; und
4. Festlegung von Indikatoren zur Überwachung der Leistung von Dienstleistungen, die den Rückzug aus der Dienstleistung einleiten sollten, wenn die Ergebnisse nicht akzeptabel sind.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Bullet points are now sorted to ease discussions about specific list items.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.