SSO · Steuerung und Überwachung von Service-Organisationen und Lieferanten
SSO-07 Sicherstellung von Transparenz innerhalb von Service-Organisationen
Neu in C5:2026
Basiskriterium
Der Cloud-Anbieter entwirft, implementiert und pflegt Kontrollen, um Transparenz innerhalb seiner Service-Organisationen in Bezug auf die folgenden Aspekte sicherzustellen:
- Datenflüsse und Schnittstellen zwischen dem Cloud-Anbieter und den vom Cloud-Anbieter genutzten Service-Organisationen sind dokumentiert, einschließlich Maßnahmen zur sicheren Übertragung und Zugriffskontrolle für Daten, die mit Service-Organisationen geteilt werden; und
- Cloud-Kunden werden über die vom Cloud-Anbieter für Entwicklung und Betrieb des Cloud-Dienstes genutzten Service-Organisationen informiert und darüber, welche Art von Daten diese Service-Organisationen und ihre Subunternehmer verarbeiten.
Cloud-Kunden werden darüber informiert, welche der Service-Organisationen selbst Subunternehmer zur Verarbeitung von Cloud-Kundendaten nutzen.
Ergänzende Information
Dieses Kriterium adressiert die Notwendigkeit, Risiken in der Lieferkette zu steuern (z. B. Schwachstellen von Service-Organisationen, Praktiken der Datenverarbeitung, Compliance-Lücken oder Betriebsunterbrechungen) und diese Risiken an Cloud-Kunden zu kommunizieren, damit diese ihre eigenen Risiken in der Lieferkette wirksam überwachen und steuern können.
Der Cloud-Anbieter dokumentiert diese Informationen und überprüft mindestens jährlich ihre Vollständigkeit, Genauigkeit und Aktualität.
Zusatzkriterium
SSO-07.01AS
Zusatz, verschärft01BDer Cloud-Anbieter entwirft, implementiert und pflegt Kontrollen, um Transparenz innerhalb seiner Service-Organisationen in Bezug auf die folgenden Aspekte sicherzustellen:
- Datenflüsse und Schnittstellen zwischen dem Cloud-Anbieter und den vom Cloud-Anbieter genutzten Service-Organisationen sind dokumentiert, einschließlich Maßnahmen zur sicheren Übertragung und Zugriffskontrolle für Daten, die mit Service-Organisationen geteilt werden; und
- Cloud-Kunden werden über die vom Cloud-Anbieter für Entwicklung und Betrieb des Cloud-Dienstes genutzten Service-Organisationen und ihre Subunternehmer informiert und darüber, welche Art von Daten diese Service-Organisationen und ihre Subunternehmer verarbeiten.
Cloud-Kunden werden darüber informiert, welche der Service-Organisationen selbst Subunternehmer zur Verarbeitung von Cloud-Kundendaten nutzen.
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen