Anforderungen für Cloud-Dienste

Outsourcing bei dem der fortlaufende Betrieb (eines Teils) der IT-Infrastruktur, Plattformen oder Software an einen externen Dienstleister ausgelagert wird.

Auch genannt: Cloud-Dienstleister.

Beispiele: Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS), Software-as-a-Service (SaaS).

Teil von Outsourcing.

108 Anforderungen gelten für ein Asset dieser Kategorie: 9 direkt zugeordnet, 99 geerbt. Dazu kommen die 364 Anforderungen ohne Zielobjektkategorie, die in jedes Anforderungspaket gehören: zusammen 472. Nach STM.2.1.4.1 erhält ein Asset auch die Kategorien über seiner eigenen, so rechnet die Übersicht.

Dieses Paket weitergeben: Im Export öffnen als Excel, CSV oder Checkliste für Tickets und Wikis. Dort lassen sich weitere Kategorien dazunehmen.

Direkt zugeordnet (9)

Anforderung	Pflicht	Stufe
BES.1.5 Autorisierung des Bereitstellungsmodells	SOLLTE	Standard-SicherheitsstufeStandard
BES.1.6 Dokumentation des Bereitstellungsmodells	SOLLTE	Standard-SicherheitsstufeStandard
BES.1.7 Vereinbarung der geteilten Verantwortung	SOLLTE	Standard-SicherheitsstufeStandard
BES.2.2 Dokumentation des Rechtsraums und der Datenlokation	SOLLTE	Standard-SicherheitsstufeStandard
BES.4.8.2 Cloud-Konformität	SOLLTE	Standard-SicherheitsstufeStandard
BES.7.4.10 Serviceprofil	SOLLTE	Standard-SicherheitsstufeStandard
BES.2.3 Vereinbarung des Rechtsraums und der Datenlokation	KANN	Erhöhte SicherheitsstufeErhöht
BES.7.4.12 Software Bill of Materials (SBOM) - Cloud	KANN	Erhöhte SicherheitsstufeErhöht
DET.3.2 Integration von Cloud-Diensten	KANN	Erhöhte SicherheitsstufeErhöht

Geerbt von Outsourcing (29)

Gilt für ein Asset dieser Kategorie, weil Cloud-Dienste unter Outsourcing steht.

Anforderung	Pflicht	Stufe
BES.1.4 Outsourcing-Strategie	SOLLTE	Erhöhte SicherheitsstufeErhöht
BES.1.4.1 Freigabe der Strategie	SOLLTE	Standard-SicherheitsstufeStandard
BES.2.1.2 Geschäftsprozessprofile	SOLLTE	Standard-SicherheitsstufeStandard
BES.4.4 Vertragsvorlage für Outsourcing	SOLLTE	Standard-SicherheitsstufeStandard
BES.4.6.2 Verschlüsselung durch den Anbieter	SOLLTE	Standard-SicherheitsstufeStandard
BES.4.7 ISMS beim Dienstleister	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.2 Service Level Agreement	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.11 Recht auf Audit	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.14 Löschregeln	SOLLTE	Standard-SicherheitsstufeStandard
BES.7.1.1 Test der Kompatibilität	SOLLTE	Standard-SicherheitsstufeStandard
BES.7.1.2 Netzcheck	SOLLTE	Standard-SicherheitsstufeStandard
BES.7.2 Prozesse vor Netzanbindung	SOLLTE	Standard-SicherheitsstufeStandard
BES.7.3 Anhörung Prozessbeteiligter	SOLLTE	Standard-SicherheitsstufeStandard
BES.7.4.9 Auslagerungsregister	SOLLTE	Standard-SicherheitsstufeStandard
DLS.3.1.1 Audit oder Zertifikat	SOLLTE	Standard-SicherheitsstufeStandard
DLS.3.4 Anhörung	SOLLTE	Standard-SicherheitsstufeStandard
DLS.4.1.1 Unabhängigkeit	SOLLTE	Standard-SicherheitsstufeStandard
NOT.4.13 Datensouveränität	SOLLTE	Standard-SicherheitsstufeStandard
BES.2.6 Outsourcing auf Grundlage der Geschäftsprozessprofile	KANN	Erhöhte SicherheitsstufeErhöht
BES.4.5.2 Mandantentrennung	KANN	Erhöhte SicherheitsstufeErhöht
BES.4.8.3 IT-Grundschutz-Analyse der Infrastruktur	KANN	Erhöhte SicherheitsstufeErhöht
BES.4.8.4 Offenlegung der Risikoanalyse	KANN	Erhöhte SicherheitsstufeErhöht
BES.5.13.1 Datenbereitstellung	KANN	Erhöhte SicherheitsstufeErhöht
BES.7.4.11 Dokumentierte Mandantentrennung	KANN	Erhöhte SicherheitsstufeErhöht
BES.8.2 Verfahren zur Übertragung von Geschäftsprozessen	KANN	Erhöhte SicherheitsstufeErhöht
BES.8.3 Ressourcensouveränität	KANN	Erhöhte SicherheitsstufeErhöht
DLS.3.2 Checkup	KANN	Erhöhte SicherheitsstufeErhöht
DLS.3.3 Strategie-Check	KANN	Erhöhte SicherheitsstufeErhöht
DLS.3.6 Portabilität	KANN	Erhöhte SicherheitsstufeErhöht

Geerbt von Dienstleistungen (31)

Gilt für ein Asset dieser Kategorie, weil Cloud-Dienste unter Dienstleistungen steht.

Anforderung	Pflicht	Stufe
DLS.1.1 Verfahren und Regelungen	MUSS	Standard-SicherheitsstufeStandard
DLS.1.1.1 Dokumentation	MUSS	Standard-SicherheitsstufeStandard
DLS.1.1.2 Zuweisung der Aufgaben	MUSS	Standard-SicherheitsstufeStandard
DLS.1.1.3 Bekanntgabe	MUSS	Standard-SicherheitsstufeStandard
DLS.1.2 Regelmäßige Überprüfung	MUSS	Standard-SicherheitsstufeStandard
BES.4.6.1 Authentifizierung des Kunden	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.1 Kompetenzen	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.5 Nutzungsregelungen	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.5.2 Autorisierung der Zugriffsberechtigung	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.8 Rechte für geistges Eigentum	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.9 Umgang mit Änderungen	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.12 Informationspflichten	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.13 Bereitstellung von Datensicherungen	SOLLTE	Standard-SicherheitsstufeStandard
BES.6.1 Entziehung der Zugangsberechtigungen	SOLLTE	Standard-SicherheitsstufeStandard
BES.6.2 Löschung von Daten	SOLLTE	Standard-SicherheitsstufeStandard
BES.6.3 Übertragbarkeit von Daten	SOLLTE	Standard-SicherheitsstufeStandard
BES.6.5 Behandlung aufzubewahrender Aufzeichnungen	SOLLTE	Standard-SicherheitsstufeStandard
BES.6.6 Rückgewähr von Assets	SOLLTE	Standard-SicherheitsstufeStandard
BES.7.4.6 Shared Responsibility	SOLLTE	Standard-SicherheitsstufeStandard
BES.7.4.7 Organisatorische Schnittstellen	SOLLTE	Standard-SicherheitsstufeStandard
BES.7.4.8 Technische Schnittstellen	SOLLTE	Standard-SicherheitsstufeStandard
DLS.2.1 Mehr-Faktor-Authentifizierung	SOLLTE	Standard-SicherheitsstufeStandard
DLS.3.1 Einhaltung der Sicherheitsvorgaben	SOLLTE	Standard-SicherheitsstufeStandard
DLS.3.5 Blockierung unzuverlässiger Dienstleister	SOLLTE	Standard-SicherheitsstufeStandard
DLS.4.1 Dekomissionierung	SOLLTE	Standard-SicherheitsstufeStandard
DLS.4.1.2 Berechtigungen deaktivieren	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.5.1 Datenlokationen	KANN	Erhöhte SicherheitsstufeErhöht
BES.5.9.1 Autorisierung von Änderungen	KANN	Erhöhte SicherheitsstufeErhöht
BES.6.2.1 Löschverfahren	KANN	Erhöhte SicherheitsstufeErhöht
BES.6.4 Übertragung von Supportdienstleistungen	KANN	Erhöhte SicherheitsstufeErhöht
BES.8.5 Treuhand	KANN	Erhöhte SicherheitsstufeErhöht

Geerbt von Einkäufe (39)

Gilt für ein Asset dieser Kategorie, weil Cloud-Dienste unter Einkäufe steht.

Anforderung	Pflicht	Stufe
BES.1.3 Lieferanten- und Dienstleisterverzeichnis	SOLLTE	Standard-SicherheitsstufeStandard
BES.2.1 Erfassung des Bedarfes	SOLLTE	Standard-SicherheitsstufeStandard
BES.2.1.4 Kompatibilität	SOLLTE	Standard-SicherheitsstufeStandard
BES.2.1.4.1 Kompatibilität der Schnittstellen	SOLLTE	Standard-SicherheitsstufeStandard
BES.2.1.4.2 Kompatibilität der Netzanbindung	SOLLTE	Standard-SicherheitsstufeStandard
BES.2.1.4.3 Kompatibilität des Administrationsmodells	SOLLTE	Standard-SicherheitsstufeStandard
BES.2.1.4.4 Kompatibilität des Datenmanagementmodells	SOLLTE	Standard-SicherheitsstufeStandard
BES.2.4 Anhörung Nutzender	SOLLTE	Standard-SicherheitsstufeStandard
BES.2.5 Anhörung Administrierender	SOLLTE	Standard-SicherheitsstufeStandard
BES.3.1 Klassifizierung von Lieferantenbeziehungen	SOLLTE	Standard-SicherheitsstufeStandard
BES.3.2 Auswahlkriterien	SOLLTE	Standard-SicherheitsstufeStandard
BES.3.3 Unzuverlässige Lieferanten	SOLLTE	Standard-SicherheitsstufeStandard
BES.4.1 Klassifizierung von Beschaffungsvorhaben	SOLLTE	Standard-SicherheitsstufeStandard
BES.4.2 Dokumentation der Beschaffungskriterien	SOLLTE	Standard-SicherheitsstufeStandard
BES.4.3 Beschaffung anhand der Kriterien	SOLLTE	Standard-SicherheitsstufeStandard
BES.4.5 Security by Design	SOLLTE	Standard-SicherheitsstufeStandard
BES.4.6 Security by Default	SOLLTE	Standard-SicherheitsstufeStandard
BES.4.8 Konformitätsnachweise	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.3 Compliance-Verpflichtungen	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.4 Informationssicherheitskontrollmechanismen	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.6 Vergabe von Unteraufträgen	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.6.1 Weitergabe der Beschaffungskriterien	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.10 Behandlung von Vorfällen	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.10.1 Erreichbarkeit über Meldewege	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.10.2 Melden von Vorfällen	SOLLTE	Standard-SicherheitsstufeStandard
BES.5.10.3 Schwachstellenbehebung	SOLLTE	Standard-SicherheitsstufeStandard
BES.7.1 Eingangskontrolle	SOLLTE	Standard-SicherheitsstufeStandard
BES.7.4 Vollständigkeit der Unterlagen	SOLLTE	Standard-SicherheitsstufeStandard
BES.7.4.4 Dokumentation der Komponenten	SOLLTE	Standard-SicherheitsstufeStandard
BES.1.3.1 Gesamte Lieferkette	KANN	Erhöhte SicherheitsstufeErhöht
BES.3.2.1 Zertifizierte Lieferanten	KANN	Erhöhte SicherheitsstufeErhöht
BES.3.2.2 Quellendiversifikation	KANN	Erhöhte SicherheitsstufeErhöht
BES.4.8.1 Zertifizierung	KANN	Erhöhte SicherheitsstufeErhöht
BES.4.9 Sicherheitsüberprüfung (extern)	KANN	Erhöhte SicherheitsstufeErhöht
BES.5.6.2 Autorisierung von Unterauftragnehmern	KANN	Erhöhte SicherheitsstufeErhöht
BES.5.7 Schulung	KANN	Erhöhte SicherheitsstufeErhöht
BES.5.10.4 Konfliktlösungsprozesse	KANN	Erhöhte SicherheitsstufeErhöht
BES.5.10.5 Konsequenzen bei Verstößen	KANN	Erhöhte SicherheitsstufeErhöht
BES.8.1 Bereithaltung alternativer Lieferanten	KANN	Erhöhte SicherheitsstufeErhöht

Dokumente zu diesen Anforderungen (15)

Diese Anforderungen nennen 15 Dokumenttypen, in denen das Ergebnis festzuhalten ist. Die Anforderungen ohne Zielobjektkategorie und die der Methodik-Praktiken nennen weitere, alle stehen unter Dokumente im Katalog.

Dokument	Anforderungen	davon MUSS
IT-Betriebskonzept	2	2
Prozess Beschaffung	8	1
Übungs- und Prüfplan	4	1
Geschäftsverteilungsplan	1	1
Beschaffungskriterien	61	0
Abnahmeprotokoll	6	0
Auslagerungsregister	6	0
Betriebshandbuch	6	0
Geschäftsprozesse	5	0
Liste der Hersteller und Dienstleister	3	0
Outsourcing Strategie	2	0
Audit Log	1	0
Datensicherungskonzept	1	0
Ergebnisprotokoll	1	0
Konfigurationshistorie	1	0

Ohne Zielobjektkategorie (364)

364 Anforderungen nennen keine Kategorie. Nach dem BSI-Standard 300-1 (3.4.1) gehören sie in jedes Anforderungspaket. Sie stehen hier nicht einzeln, die Liste gibt es im Export (Auswahl: „ohne Zielobjektkategorie“).