C5-Themengebiet COM: Anforderungen, Audits und Managementbewertung prüffähig umsetzen

Diese Seite behandelt das Themengebiet COM (Compliance) des C5:2026, Abschnitt 5.15 des Katalogs. Wie Kriterien und Unterkriterien grundsätzlich aufgebaut sind, erklärt die Seite C5-Kriterienkatalog.

Worum geht es im Themengebiet COM?

COM soll Verstöße gegen gesetzliche, regulatorische, selbstauferlegte oder vertragliche Anforderungen zur Informationssicherheit vermeiden und die Einhaltung überprüfen (Zielsetzung in Abschnitt 5.15). Das Gebiet ist der Prüfkreislauf des Anbieters: Anforderungen ermitteln, Audits planen, intern prüfen, die Leitung informieren.

Es umfasst vier Kriterien, COM-01 bis COM-04, mit 7 Basis-Unterkriterien, einem verschärfenden und 7 erweiternden Zusatz-Unterkriterien. Alle vier gab es schon in C5:2020. COM-01 und COM-04 sind nach der Änderungshistorie des BSI in den Basiskriterien unverändert; ihre Zusatzkriterien sind neu. COM-02 verlangt jetzt ein Auditprogramm über mehrere Jahre und nennt Konfigurationsprüfungen, Penetrationstests und Quellcodeprüfungen; COM-03 prüft zusätzlich die Wirksamkeit organisatorischer und betrieblicher Maßnahmen und verlangt eine Trennung der Weisungslinie zwischen Prüfenden und Geprüften.

Wer ein ISMS nach ISO/IEC 27001 betreibt, hat für COM-03 und COM-04 eine gute Grundlage; der Katalog verweist selbst auf die Abschnitte 9.2 (interne Audits) und 9.3 (Managementbewertung) der Norm. Was sich aus ISO 27001 insgesamt übernehmen lässt, zeigt die Seite C5 und ISO 27001.

Ausgangssituation: ein zertifizierter SaaS-Anbieter mit kleinem Team

Fiktives Beispiel, kein Kunde. Ein Anbieter betreibt eine Fuhrparkverwaltung für Unternehmen als SaaS: Fahrzeugdaten, Führerscheinkontrollen, Schadensmeldungen und Tankkarten. Der Dienst läuft auf der Infrastruktur eines großen Cloud-Anbieters. 25 Beschäftigte, ein ISO-27001-Zertifikat für Entwicklung und Betrieb. Ein Leasingkonzern verlangt einen C5-Typ-2-Bericht und im Vertrag ein eigenes Auditrecht.

So sieht es vor dem Projekt aus:

• Es gibt ein Verzeichnis der rechtlichen Anforderungen, das aber nur Datenschutz und Handelsrecht nennt. Vertragliche Zusagen an Kunden, etwa Zertifikate und Fristen aus Rahmenverträgen, stehen nur in den Verträgen.
• Die internen Audits plant die Informationssicherheitsbeauftragte (ISB) jedes Jahr neu. Einen Plan über das laufende Jahr hinaus gibt es nicht.
• Die ISB berichtet an die Leitung Betrieb und auditiert auch den Betrieb.
• Der jährliche Penetrationstest lief im letzten Jahr am Monatsende, als die Kunden ihre Abrechnungen erzeugen; der Dienst war eine Stunde langsam.
• Die Managementbewertung findet jährlich statt, das Protokoll nennt aber keine Kennzahlen zur Informationssicherheit.

Wer ist wofür verantwortlich: Anbieter, Plattform, Kunde?

COM liegt beim Anbieter; die Plattform, im Beispiel ein Subdienstleister (Subservice-Organisation), betreibt ihr eigenes Compliance-Programm. Der Kunde ist nur bei COM-02 gefragt. Unsere Einordnung für das Beispiel:

Nur COM-02 enthält korrespondierende Kriterien für Kunden. Welche Kundenkontrollen Sie voraussetzen, gehört als korrespondierende Kundenkontrollen (CUEC) in die Systembeschreibung. Der Prüfer prüft sie nicht beim Kunden, nur ob sie sachgerecht dargestellt sind.

Wie sieht ein mehrjähriges Auditprogramm aus?

COM-02.01B verlangt ein dokumentiertes und umgesetztes mehrjähriges Auditprogramm, das Umfang und Häufigkeit der Audits festlegt und Änderungsmanagement, Richtlinien und die Ergebnisse der Risikobeurteilung berücksichtigt. Der Katalog nennt als Beispiel einen Zeitraum von drei Jahren mit internen und externen Audits; das verschärfende Unterkriterium COM-02.01AS schreibt genau drei Jahre vor. Für unser Beispiel könnte der Compliance-Prüfplan so aussehen (eigener Vorschlag, kein Katalogtext):

Dazu gehört nach COM-02.02B eine risikobasierte Richtlinie, die nachteilige Auswirkungen von Audits auf den Betrieb verhindert, unter anderem durch reinen Lesezugriff, Durchführung riskanter Aktivitäten in Wartungsfenstern oder außerhalb von Lastspitzen und Protokollierung der Auditaktivitäten. Im Beispiel hätte diese Regel den Penetrationstest am Monatsende verhindert. Die externe C5-Folgeprüfung selbst bereiten Sie gesondert vor, siehe C5-Folgeprüfung.

Beispiel-Kontrollbeschreibung zu COM-03

COM-03 verlangt mindestens jährliche interne Audits durch sachverständiges Personal, die die Einhaltung der Richtlinien und die Wirksamkeit der Maßnahmen gegen die Risiken für Netz- und Informationssysteme prüfen (COM-03.01B). Die Prüfenden stehen nicht in der Weisungslinie des geprüften Bereichs; lässt die Größe des Anbieters das nicht zu, sichern alternative Maßnahmen die Unparteilichkeit (COM-03.02B). Feststellungen werden einer Risikobeurteilung unterzogen und nachverfolgt (COM-03.03B). Unsere Beispiel-Kontrolle für den Anbieter oben (eigene Formulierung, kein Katalogtext):

Die Lösung mit externer Unterstützung für einen Bereich ist eine von mehreren denkbaren alternativen Maßnahmen; welche der Prüfer als ausreichend ansieht, klären Sie früh mit ihm. Bei einem Typ-2-Bericht prüft er zusätzlich, ob die Kontrolle über den ganzen Zeitraum wirksam war.

Welche Nachweise der Prüfer sehen will

COM-Nachweise sind vor allem Dokumente des ISMS. Wichtig ist der Zeitbezug: Programm, Berichte und Managementbewertung müssen im Prüfungszeitraum gelten bzw. stattgefunden haben. Beispiele aus unserem Szenario:

Das Verzeichnis nach COM-01 muss nicht in einem einzigen Register stehen; nach den ergänzenden Informationen darf es sich auf mehrere Dokumente verteilen. Wie Sie solche Belege übergreifend führen, zeigt die Seite Nachweise und Dokumentation.

Mögliche Lücken: Ursache, Wirkung, Abhilfe

Die folgenden Lücken ergeben sich aus dem Wortlaut der Kriterien und dem Szenario oben. Ist ein einziges Unterkriterium nicht erfüllt, gilt das Kriterium als nicht erfüllt, und der Prüfer berichtet die Abweichung (Abschnitte 3.4.12 und 3.4.13).

In welcher Reihenfolge Sie diese und die Lücken anderer Gebiete schließen, zeigt die Seite Maßnahmen priorisieren.

Alle Kriterien des Themengebiets COM

Titel nach der deutschen Fassung 1.1.0, Zählung der Unterkriterien nach Abschnitt 5 (B = Basis, AS = verschärfend, AC = erweiternd). Die Spalte „Worum es geht“ ist unsere eigene Kurzbeschreibung, kein Katalogtext; verbindlich ist der Wortlaut der Kriterien im Katalog.

Zusatzkriterien mit Wirkung im Vertrieb sind etwa COM-01.01AC (Überblick über die Verfahren zur Einhaltung auf Anfrage der Kunden), COM-02.01AC (vertraglich zugesicherte Informations- und Auditrechte, auch als Gruppenaudit) und COM-03.03AC (Schnittstellen, über die Kunden die Einhaltung ausgewählter Vereinbarungen in Echtzeit prüfen). Im Beispiel verlangt der Leasingkonzern ein Auditrecht; damit liegt COM-02.01AC nahe.

Bezug zu ISO/IEC 27001:2022

COM bildet zum großen Teil Anforderungen aus dem Hauptteil der Norm ab, nicht nur aus Anhang A. Die folgende Zuordnung ist unsere eigene, nicht amtliche Einordnung nach Thema. Das BSI hat für C5:2026 noch keine Kreuzreferenz veröffentlicht, und auch eine amtliche Tabelle zeigt nach dem Katalog nur thematische Nähe, keine Erfüllung (Abschnitt 3.3). Die Kurzbezeichnungen sind unsere, keine Titel aus der Norm.