BRDDienstleistersteuerung für Cloud-Anbieter nach ISO 27001 und NIS-2
Dienstleistersteuerung bedeutet, Cloud-Anbieter und andere IT-Dienstleister über den gesamten Lebenszyklus zu managen: Auswahl, Vertrag, Überwachung, Änderung und Beendigung. ISO/IEC 27001:2022 widmet dem in Anhang A die Maßnahmen 5.19 bis 5.23; für NIS-2-Einrichtungen verlangt § 30 Abs. 2 Nr. 4 BSIG die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern.
- Alle Cloud-Dienste gehören in ein Dienstleisterverzeichnis mit Kritikalität und Verantwortlichen.
- Sicherheitsanforderungen werden vor Vertragsschluss festgelegt und vertraglich vereinbart.
- Nachweise wie ISO-27001-Zertifikat oder BSI-C5-Testat werden geprüft und regelmäßig aktualisiert.
- Für jeden kritischen Dienst gibt es einen Ausstiegs- und Notfallplan.
Welche Maßnahmen nennt ISO/IEC 27001:2022?
| Anhang A | Thema | Umsetzung bei Cloud-Diensten |
|---|---|---|
| 5.19 | Informationssicherheit in Lieferantenbeziehungen | Verfahren für Auswahl und Bewertung von Anbietern nach Kritikalität |
| 5.20 | Informationssicherheit in Lieferantenvereinbarungen | Sicherheitsanforderungen, Meldepflichten, Auditrechte im Vertrag |
| 5.21 | Informationssicherheit in der IKT-Lieferkette | Unterauftragnehmer und Software-Lieferkette des Anbieters einbeziehen |
| 5.22 | Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen | Leistungsberichte, Zertifikate, Änderungen von Bedingungen und Unterauftragnehmern verfolgen |
| 5.23 | Informationssicherheit für die Nutzung von Cloud-Diensten | Prozesse für Beschaffung, Nutzung, Verwaltung und Beendigung von Cloud-Diensten |
Welche Nachweise sind bei Cloud-Anbietern üblich?
- ISO/IEC-27001-Zertifikat mit Prüfung des Geltungsbereichs: Ist der genutzte Dienst und Standort abgedeckt?
- BSI C5-Testat: Der Kriterienkatalog C5 des BSI beschreibt Mindestanforderungen an sichere Cloud-Dienste; ein Prüfbericht zeigt, wie der Anbieter sie erfüllt, und enthält Hinweise auf Maßnahmen, die der Kunde selbst umsetzen muss.
- Prüfberichte nach anerkannten Standards sowie Leistungs- und Verfügbarkeitsberichte.
- Datenschutzunterlagen: Auftragsverarbeitungsvertrag, TOM, Liste der Unterauftragsverarbeiter, Angaben zu Drittlandübermittlungen.
Warum braucht jeder kritische Cloud-Dienst eine Exit-Strategie?
Abhängigkeiten von einem einzelnen Anbieter sind ein Verfügbarkeits- und Geschäftsrisiko. Für kritische Dienste sollte vorab feststehen, wie Daten in einem verwendbaren Format exportiert werden, wie lange das dauert, welche Alternative in Frage kommt und wer den Wechsel steuert. Der EU Data Act (Verordnung (EU) 2023/2854) enthält in Kapitel VI Regeln, die den Wechsel zwischen Datenverarbeitungsdiensten erleichtern sollen; eine eigene Planung ersetzt er nicht.
Welche Rolle spielt die Geschäftsleitung?
Für wichtige und besonders wichtige Einrichtungen nach NIS-2 muss die Geschäftsleitung die Risikomanagementmaßnahmen, also auch die Sicherheit der Lieferkette, umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Auch ohne NIS-2-Pflicht gehört die Freigabe kritischer Cloud-Dienste und der verbleibenden Risiken in die Hand der Leitung.
Keine Rechtsberatung. Rechtsstand: 04.11.2026.