# SSO-07 Sicherstellung von Transparenz innerhalb von Service-Organisationen

- Bereich: SSO – Steuerung und Überwachung von Service-Organisationen und Lieferanten
- Gegenüber C5:2020: neu in C5:2026
- Webseite: https://c5.patrickscheid.de/sso-07/

## Basiskriterium

### SSO-07.01B

Der Cloud-Anbieter entwirft, implementiert und pflegt Kontrollen, um Transparenz innerhalb seiner Service-Organisationen in Bezug auf die folgenden Aspekte sicherzustellen:

1. Datenflüsse und Schnittstellen zwischen dem Cloud-Anbieter und den vom Cloud-Anbieter genutzten Service-Organisationen sind dokumentiert, einschließlich Maßnahmen zur sicheren Übertragung und Zugriffskontrolle für Daten, die mit Service-Organisationen geteilt werden; und
2. Cloud-Kunden werden über die vom Cloud-Anbieter für Entwicklung und Betrieb des Cloud-Dienstes genutzten Service-Organisationen informiert und darüber, welche Art von Daten diese Service-Organisationen und ihre Subunternehmer verarbeiten.

Cloud-Kunden werden darüber informiert, welche der Service-Organisationen selbst Subunternehmer zur Verarbeitung von Cloud-Kundendaten nutzen.

**Ergänzende Information:**

Dieses Kriterium adressiert die Notwendigkeit, Risiken in der Lieferkette zu steuern (z. B. Schwachstellen von Service-Organisationen, Praktiken der Datenverarbeitung, Compliance-Lücken oder Betriebsunterbrechungen) und diese Risiken an Cloud-Kunden zu kommunizieren, damit diese ihre eigenen Risiken in der Lieferkette wirksam überwachen und steuern können.

### SSO-07.02B

Der Cloud-Anbieter dokumentiert diese Informationen und überprüft mindestens jährlich ihre Vollständigkeit, Genauigkeit und Aktualität.

## Zusatzkriterium

### SSO-07.01AS (Zusatz, verschärft 01B)

Der Cloud-Anbieter entwirft, implementiert und pflegt Kontrollen, um Transparenz innerhalb seiner Service-Organisationen in Bezug auf die folgenden Aspekte sicherzustellen:

1. Datenflüsse und Schnittstellen zwischen dem Cloud-Anbieter und den vom Cloud-Anbieter genutzten Service-Organisationen sind dokumentiert, einschließlich Maßnahmen zur sicheren Übertragung und Zugriffskontrolle für Daten, die mit Service-Organisationen geteilt werden; und
2. Cloud-Kunden werden über die vom Cloud-Anbieter für Entwicklung und Betrieb des Cloud-Dienstes genutzten Service-Organisationen und ihre Subunternehmer informiert und darüber, welche Art von Daten diese Service-Organisationen und ihre Subunternehmer verarbeiten.

Cloud-Kunden werden darüber informiert, welche der Service-Organisationen selbst Subunternehmer zur Verarbeitung von Cloud-Kundendaten nutzen.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.