Skip to content
Grundschutz++ Docs

Loading search …

DEEN
phase after the publication of BSI Standard 300-1 (until 12/2026).Timeline (German)

Anforderungen für Cloud-Dienste

This content is not available in your language yet.

Outsourcing bei dem der fortlaufende Betrieb (eines Teils) der IT-Infrastruktur, Plattformen oder Software an einen externen Dienstleister ausgelagert wird.

Auch genannt: Cloud-Dienstleister.

Beispiele: Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS), Software-as-a-Service (SaaS).

Teil von Outsourcing.

108 Anforderungen gelten für ein Asset dieser Kategorie: 9 direkt zugeordnet, 99 geerbt. Dazu kommen die 364 Anforderungen ohne Zielobjektkategorie, die in jedes Anforderungspaket gehören: zusammen 472. Nach STM.2.1.4.1 erhält ein Asset auch die Kategorien über seiner eigenen, so rechnet die Übersicht.

Dieses Paket weitergeben: Im Export öffnen als Excel, CSV oder Checkliste für Tickets und Wikis. Dort lassen sich weitere Kategorien dazunehmen.

Direkt zugeordnet (9)

Abschnitt betitelt „Direkt zugeordnet (9)“
AnforderungPflichtStufe
BES.1.5 Autorisierung des BereitstellungsmodellsSOLLTEStandard-SicherheitsstufeStandard
BES.1.6 Dokumentation des BereitstellungsmodellsSOLLTEStandard-SicherheitsstufeStandard
BES.1.7 Vereinbarung der geteilten VerantwortungSOLLTEStandard-SicherheitsstufeStandard
BES.2.2 Dokumentation des Rechtsraums und der DatenlokationSOLLTEStandard-SicherheitsstufeStandard
BES.4.8.2 Cloud-KonformitätSOLLTEStandard-SicherheitsstufeStandard
BES.7.4.10 ServiceprofilSOLLTEStandard-SicherheitsstufeStandard
BES.2.3 Vereinbarung des Rechtsraums und der DatenlokationKANNErhöhte SicherheitsstufeErhöht
BES.7.4.12 Software Bill of Materials (SBOM) - CloudKANNErhöhte SicherheitsstufeErhöht
DET.3.2 Integration von Cloud-DienstenKANNErhöhte SicherheitsstufeErhöht

Geerbt von Outsourcing (29)

Abschnitt betitelt „Geerbt von Outsourcing (29)“

Gilt für ein Asset dieser Kategorie, weil Cloud-Dienste unter Outsourcing steht.

AnforderungPflichtStufe
BES.1.4 Outsourcing-StrategieSOLLTEErhöhte SicherheitsstufeErhöht
BES.1.4.1 Freigabe der StrategieSOLLTEStandard-SicherheitsstufeStandard
BES.2.1.2 GeschäftsprozessprofileSOLLTEStandard-SicherheitsstufeStandard
BES.4.4 Vertragsvorlage für OutsourcingSOLLTEStandard-SicherheitsstufeStandard
BES.4.6.2 Verschlüsselung durch den AnbieterSOLLTEStandard-SicherheitsstufeStandard
BES.4.7 ISMS beim DienstleisterSOLLTEStandard-SicherheitsstufeStandard
BES.5.2 Service Level AgreementSOLLTEStandard-SicherheitsstufeStandard
BES.5.11 Recht auf AuditSOLLTEStandard-SicherheitsstufeStandard
BES.5.14 LöschregelnSOLLTEStandard-SicherheitsstufeStandard
BES.7.1.1 Test der KompatibilitätSOLLTEStandard-SicherheitsstufeStandard
BES.7.1.2 NetzcheckSOLLTEStandard-SicherheitsstufeStandard
BES.7.2 Prozesse vor NetzanbindungSOLLTEStandard-SicherheitsstufeStandard
BES.7.3 Anhörung ProzessbeteiligterSOLLTEStandard-SicherheitsstufeStandard
BES.7.4.9 AuslagerungsregisterSOLLTEStandard-SicherheitsstufeStandard
DLS.3.1.1 Audit oder ZertifikatSOLLTEStandard-SicherheitsstufeStandard
DLS.3.4 AnhörungSOLLTEStandard-SicherheitsstufeStandard
DLS.4.1.1 UnabhängigkeitSOLLTEStandard-SicherheitsstufeStandard
NOT.4.13 DatensouveränitätSOLLTEStandard-SicherheitsstufeStandard
BES.2.6 Outsourcing auf Grundlage der GeschäftsprozessprofileKANNErhöhte SicherheitsstufeErhöht
BES.4.5.2 MandantentrennungKANNErhöhte SicherheitsstufeErhöht
BES.4.8.3 IT-Grundschutz-Analyse der InfrastrukturKANNErhöhte SicherheitsstufeErhöht
BES.4.8.4 Offenlegung der RisikoanalyseKANNErhöhte SicherheitsstufeErhöht
BES.5.13.1 DatenbereitstellungKANNErhöhte SicherheitsstufeErhöht
BES.7.4.11 Dokumentierte MandantentrennungKANNErhöhte SicherheitsstufeErhöht
BES.8.2 Verfahren zur Übertragung von GeschäftsprozessenKANNErhöhte SicherheitsstufeErhöht
BES.8.3 RessourcensouveränitätKANNErhöhte SicherheitsstufeErhöht
DLS.3.2 CheckupKANNErhöhte SicherheitsstufeErhöht
DLS.3.3 Strategie-CheckKANNErhöhte SicherheitsstufeErhöht
DLS.3.6 PortabilitätKANNErhöhte SicherheitsstufeErhöht

Geerbt von Dienstleistungen (31)

Abschnitt betitelt „Geerbt von Dienstleistungen (31)“

Gilt für ein Asset dieser Kategorie, weil Cloud-Dienste unter Dienstleistungen steht.

AnforderungPflichtStufe
DLS.1.1 Verfahren und RegelungenMUSSStandard-SicherheitsstufeStandard
DLS.1.1.1 DokumentationMUSSStandard-SicherheitsstufeStandard
DLS.1.1.2 Zuweisung der AufgabenMUSSStandard-SicherheitsstufeStandard
DLS.1.1.3 BekanntgabeMUSSStandard-SicherheitsstufeStandard
DLS.1.2 Regelmäßige ÜberprüfungMUSSStandard-SicherheitsstufeStandard
BES.4.6.1 Authentifizierung des KundenSOLLTEStandard-SicherheitsstufeStandard
BES.5.1 KompetenzenSOLLTEStandard-SicherheitsstufeStandard
BES.5.5 NutzungsregelungenSOLLTEStandard-SicherheitsstufeStandard
BES.5.5.2 Autorisierung der ZugriffsberechtigungSOLLTEStandard-SicherheitsstufeStandard
BES.5.8 Rechte für geistges EigentumSOLLTEStandard-SicherheitsstufeStandard
BES.5.9 Umgang mit ÄnderungenSOLLTEStandard-SicherheitsstufeStandard
BES.5.12 InformationspflichtenSOLLTEStandard-SicherheitsstufeStandard
BES.5.13 Bereitstellung von DatensicherungenSOLLTEStandard-SicherheitsstufeStandard
BES.6.1 Entziehung der ZugangsberechtigungenSOLLTEStandard-SicherheitsstufeStandard
BES.6.2 Löschung von DatenSOLLTEStandard-SicherheitsstufeStandard
BES.6.3 Übertragbarkeit von DatenSOLLTEStandard-SicherheitsstufeStandard
BES.6.5 Behandlung aufzubewahrender AufzeichnungenSOLLTEStandard-SicherheitsstufeStandard
BES.6.6 Rückgewähr von AssetsSOLLTEStandard-SicherheitsstufeStandard
BES.7.4.6 Shared ResponsibilitySOLLTEStandard-SicherheitsstufeStandard
BES.7.4.7 Organisatorische SchnittstellenSOLLTEStandard-SicherheitsstufeStandard
BES.7.4.8 Technische SchnittstellenSOLLTEStandard-SicherheitsstufeStandard
DLS.2.1 Mehr-Faktor-AuthentifizierungSOLLTEStandard-SicherheitsstufeStandard
DLS.3.1 Einhaltung der SicherheitsvorgabenSOLLTEStandard-SicherheitsstufeStandard
DLS.3.5 Blockierung unzuverlässiger DienstleisterSOLLTEStandard-SicherheitsstufeStandard
DLS.4.1 DekomissionierungSOLLTEStandard-SicherheitsstufeStandard
DLS.4.1.2 Berechtigungen deaktivierenSOLLTEStandard-SicherheitsstufeStandard
BES.5.5.1 DatenlokationenKANNErhöhte SicherheitsstufeErhöht
BES.5.9.1 Autorisierung von ÄnderungenKANNErhöhte SicherheitsstufeErhöht
BES.6.2.1 LöschverfahrenKANNErhöhte SicherheitsstufeErhöht
BES.6.4 Übertragung von SupportdienstleistungenKANNErhöhte SicherheitsstufeErhöht
BES.8.5 TreuhandKANNErhöhte SicherheitsstufeErhöht

Geerbt von Einkäufe (39)

Abschnitt betitelt „Geerbt von Einkäufe (39)“

Gilt für ein Asset dieser Kategorie, weil Cloud-Dienste unter Einkäufe steht.

AnforderungPflichtStufe
BES.1.3 Lieferanten- und DienstleisterverzeichnisSOLLTEStandard-SicherheitsstufeStandard
BES.2.1 Erfassung des BedarfesSOLLTEStandard-SicherheitsstufeStandard
BES.2.1.4 KompatibilitätSOLLTEStandard-SicherheitsstufeStandard
BES.2.1.4.1 Kompatibilität der SchnittstellenSOLLTEStandard-SicherheitsstufeStandard
BES.2.1.4.2 Kompatibilität der NetzanbindungSOLLTEStandard-SicherheitsstufeStandard
BES.2.1.4.3 Kompatibilität des AdministrationsmodellsSOLLTEStandard-SicherheitsstufeStandard
BES.2.1.4.4 Kompatibilität des DatenmanagementmodellsSOLLTEStandard-SicherheitsstufeStandard
BES.2.4 Anhörung NutzenderSOLLTEStandard-SicherheitsstufeStandard
BES.2.5 Anhörung AdministrierenderSOLLTEStandard-SicherheitsstufeStandard
BES.3.1 Klassifizierung von LieferantenbeziehungenSOLLTEStandard-SicherheitsstufeStandard
BES.3.2 AuswahlkriterienSOLLTEStandard-SicherheitsstufeStandard
BES.3.3 Unzuverlässige LieferantenSOLLTEStandard-SicherheitsstufeStandard
BES.4.1 Klassifizierung von BeschaffungsvorhabenSOLLTEStandard-SicherheitsstufeStandard
BES.4.2 Dokumentation der BeschaffungskriterienSOLLTEStandard-SicherheitsstufeStandard
BES.4.3 Beschaffung anhand der KriterienSOLLTEStandard-SicherheitsstufeStandard
BES.4.5 Security by DesignSOLLTEStandard-SicherheitsstufeStandard
BES.4.6 Security by DefaultSOLLTEStandard-SicherheitsstufeStandard
BES.4.8 KonformitätsnachweiseSOLLTEStandard-SicherheitsstufeStandard
BES.5.3 Compliance-VerpflichtungenSOLLTEStandard-SicherheitsstufeStandard
BES.5.4 InformationssicherheitskontrollmechanismenSOLLTEStandard-SicherheitsstufeStandard
BES.5.6 Vergabe von UnteraufträgenSOLLTEStandard-SicherheitsstufeStandard
BES.5.6.1 Weitergabe der BeschaffungskriterienSOLLTEStandard-SicherheitsstufeStandard
BES.5.10 Behandlung von VorfällenSOLLTEStandard-SicherheitsstufeStandard
BES.5.10.1 Erreichbarkeit über MeldewegeSOLLTEStandard-SicherheitsstufeStandard
BES.5.10.2 Melden von VorfällenSOLLTEStandard-SicherheitsstufeStandard
BES.5.10.3 SchwachstellenbehebungSOLLTEStandard-SicherheitsstufeStandard
BES.7.1 EingangskontrolleSOLLTEStandard-SicherheitsstufeStandard
BES.7.4 Vollständigkeit der UnterlagenSOLLTEStandard-SicherheitsstufeStandard
BES.7.4.4 Dokumentation der KomponentenSOLLTEStandard-SicherheitsstufeStandard
BES.1.3.1 Gesamte LieferketteKANNErhöhte SicherheitsstufeErhöht
BES.3.2.1 Zertifizierte LieferantenKANNErhöhte SicherheitsstufeErhöht
BES.3.2.2 QuellendiversifikationKANNErhöhte SicherheitsstufeErhöht
BES.4.8.1 ZertifizierungKANNErhöhte SicherheitsstufeErhöht
BES.4.9 Sicherheitsüberprüfung (extern)KANNErhöhte SicherheitsstufeErhöht
BES.5.6.2 Autorisierung von UnterauftragnehmernKANNErhöhte SicherheitsstufeErhöht
BES.5.7 SchulungKANNErhöhte SicherheitsstufeErhöht
BES.5.10.4 KonfliktlösungsprozesseKANNErhöhte SicherheitsstufeErhöht
BES.5.10.5 Konsequenzen bei VerstößenKANNErhöhte SicherheitsstufeErhöht
BES.8.1 Bereithaltung alternativer LieferantenKANNErhöhte SicherheitsstufeErhöht

Dokumente zu diesen Anforderungen (15)

Abschnitt betitelt „Dokumente zu diesen Anforderungen (15)“

Diese Anforderungen nennen 15 Dokumenttypen, in denen das Ergebnis festzuhalten ist. Die Anforderungen ohne Zielobjektkategorie und die der Methodik-Praktiken nennen weitere, alle stehen unter Dokumente im Katalog.

Ohne Zielobjektkategorie (364)

Abschnitt betitelt „Ohne Zielobjektkategorie (364)“

364 Anforderungen nennen keine Kategorie. Nach dem BSI-Standard 300-1 (3.4.1) gehören sie in jedes Anforderungspaket. Sie stehen hier nicht einzeln, die Liste gibt es im Export (Auswahl: „ohne Zielobjektkategorie“).