C5-Themengebiet SIM: Sicherheitsvorfälle prüffähig erkennen, bearbeiten und melden

Diese Seite behandelt das Themengebiet SIM (Umgang mit Sicherheitsvorfällen) des C5:2026, Abschnitt 5.13 des Katalogs. Wie Kriterien und Unterkriterien grundsätzlich aufgebaut sind, erklärt die Seite C5-Kriterienkatalog.

Worum geht es im Themengebiet SIM?

SIM verlangt ein durchgängiges Vorgehen, mit dem der Anbieter Sicherheitsvorfälle erfasst, bewertet, kommuniziert und behandelt (Zielsetzung in Abschnitt 5.13). Dazu gehören eine Richtlinie mit Vorgaben zu Klassifizierung, Priorisierung, Eskalation und Ursachenanalyse, ein CSIRT, Reaktionspläne, die Information der betroffenen Kunden, die Meldepflicht des Personals und ein Lernprozess mit Wissensdatenbank.

Das Gebiet umfasst sechs Kriterien, SIM-01 bis SIM-06, mit 22 Basis-Unterkriterien und 5 erweiternden Zusatz-Unterkriterien; verschärfende gibt es nicht. Neu ist SIM-02 zu Reaktionsplänen. Die bisherigen Kriterien SIM-02 bis SIM-05 aus C5:2020 heißen deshalb jetzt SIM-03 bis SIM-06; ordnen Sie alte Kontrollen nach ihrem Thema zu, nicht nach der Nummer.

Störungen und Abstürze ohne Sicherheitsbezug behandelt das Gebiet OPS; OPS-19 regelt dort, wann eine Störung als Sicherheitsvorfall weitergeht. Die Richtlinie nach SIM-01.01B schafft ausdrücklich Schnittstellen zum Incident Management und zum Business Continuity Management, siehe BCM.

Ausgangssituation: ein SaaS-Anbieter mit Bereitschaft, aber ohne Vorfallprozess

Fiktives Beispiel, kein Kunde. Ein Anbieter betreibt eine Software zur Verarbeitung von Eingangsrechnungen für mittelständische Unternehmen: Belege werden hochgeladen, automatisch ausgelesen und in einem Freigabeablauf an die Buchhaltung übergeben. Der Dienst läuft auf der Infrastruktur eines großen Cloud-Anbieters. Rund 45 Beschäftigte, ein Betriebsteam mit Rufbereitschaft rund um die Uhr, Protokolle laufen in ein zentrales Protokollsystem mit Alarmen.

So sieht es vor dem Projekt aus:

• Alarme landen als Störung im Ticketsystem. Ob etwas ein Sicherheitsvorfall ist, entscheidet die Person in Bereitschaft nach eigenem Ermessen.
• Ein CSIRT gibt es nicht. Bei einem verdächtigen Login im Vorjahr haben Betrieb, Entwicklung und Geschäftsführung über einen Chat-Kanal zusammengearbeitet.
• Kunden werden informiert, wenn der Vertrieb es für nötig hält, per E-Mail an den bekannten Ansprechpartner.
• Protokolle werden nach 30 Tagen überschrieben; wie man Daten eines verdächtigen Systems sichert, ist nirgends beschrieben.
• Was aus einem Vorfall gelernt wurde, steht, wenn überhaupt, im Abschlusskommentar des Tickets.

Für die Prüfung braucht der Anbieter einen festgelegten Ablauf, der für jeden Vorfall im Zeitraum Spuren hinterlässt: Klassifizierung, Bearbeitung, Information der Kunden, Ursachenanalyse.

Wer ist wofür verantwortlich: Anbieter, Plattform, Kunde?

SIM liegt beim Anbieter. Die Plattform, im Beispiel ein Subdienstleister (Subservice-Organisation), behandelt Vorfälle in ihrer eigenen Infrastruktur nach ihrem eigenen Verfahren; der Kunde wirkt bei Meldungen und Informationen mit. Unsere Einordnung für das Beispiel:

SIM-01, SIM-04, SIM-05 und SIM-06 enthalten korrespondierende Kriterien für Kunden, SIM-02 und SIM-03 nicht. Welche Kundenkontrollen Sie voraussetzen, etwa eine aktuelle Kontaktadresse für Sicherheitsmeldungen, gehört als korrespondierende Kundenkontrollen (CUEC) in die Systembeschreibung. Der Prüfer prüft sie nicht beim Kunden, nur ob sie sachgerecht dargestellt sind.

Wie und wann informieren Sie betroffene Kunden?

Der Katalog verlangt, dass betroffene Kunden „zeitnah und in angemessener Weise“ informiert werden, über Kommunikationskanäle, die vorher identifiziert und festgelegt sind (SIM-01.03B). Nach der Bearbeitung wird die Lösung entsprechend den vertraglichen Vereinbarungen dokumentiert und den betroffenen Kunden zugesandt (SIM-04.01B); Informationen zu Sicherheitsvorfällen oder bestätigten Sicherheitsverletzungen stehen allen betroffenen Kunden zur Verfügung (SIM-04.02B). Eine feste Frist in Stunden nennt das Gebiet SIM nicht.

Was „zeitnah“ für Ihren Dienst heißt, legen Sie deshalb selbst fest: im Vertrag mit den Kunden und in der Richtlinie nach SIM-01. Wir empfehlen, die Frist je Klasse des Vorfallkatalogs zu bestimmen und den Kanal zu benennen, etwa eine Sicherheits-Kontaktadresse, die der Kunde im Dienst pflegt. Wer das erweiternde Unterkriterium SIM-04.02AC aufnimmt, regelt zusätzlich im Vertrag, welche Daten der Kunde bei einem Vorfall für eigene Analysen bekommt.

Gesetzliche Meldepflichten, etwa nach der NIS-2-Richtlinie in ihrer nationalen Umsetzung (siehe C5 und NIS2) oder nach DORA im Finanzsektor (siehe C5 und DORA), gelten unabhängig von diesen Katalogvorgaben; ob und mit welchen Fristen sie Ihren Dienst betreffen, ist im Einzelfall rechtlich zu prüfen. Bei einem Typ-2-Bericht gehören wesentliche Ereignisse im Zeitraum, etwa ein unbefugter Zugriff Dritter auf Kundendaten, außerdem in die Systembeschreibung, siehe Wesentliche Änderungen und Ereignisse.

Beispiel-Kontrollbeschreibung zu SIM-03

SIM-03 ist mit sieben Basis-Unterkriterien das umfangreichste Kriterium des Gebiets. Es verlangt, dass sachverständiges Personal Ereignisse, die einen Sicherheitsvorfall darstellen könnten, klassifiziert, priorisiert und auf ihre Ursache untersucht (SIM-03.01B), dass die Ergebnisse dokumentiert, geteilt und im Lernprozess verwendet werden (SIM-03.02B) und dass die Klassifizierung auf einem gepflegten Katalog der Vorfallarten beruht, der auch für die Korrelation von Ereignissen dient (SIM-03.04B, SIM-03.05B). Dokumente und Nachweise zu Vorfällen werden sicher und manipulationssicher archiviert (SIM-03.06B). Unsere Beispiel-Kontrolle für den Anbieter oben (eigene Formulierung, kein Katalogtext):

Zielzeiten und Klassen sind unsere Beispielwerte, keine Katalogvorgaben. Ob die Kontrolle alle Unterkriterien abdeckt, beurteilt der Prüfer; bei einem Typ-2-Bericht prüft er zusätzlich, ob sie über den ganzen Zeitraum wirksam war.

Welche Nachweise der Prüfer sehen will

Für SIM liefern vor allem die Vorfälle und Ereignisse im Zeitraum die Nachweise. Gab es keinen Vorfall, belegen Sie den Ablauf über Richtlinie, Pläne und die Behandlung von Ereignissen, die sich als harmlos herausgestellt haben; wie der Prüfer damit umgeht, stimmen Sie früh mit ihm ab. Beispiele aus unserem Szenario:

Ein Nachweisregister hält fest, welcher Nachweis zu welchem Unterkriterium gehört; wie Sie es führen, zeigt die Seite Nachweise und Dokumentation.

Mögliche Lücken: Ursache, Wirkung, Abhilfe

Die folgenden Lücken ergeben sich aus dem Wortlaut der Kriterien und dem Szenario oben. Ist ein einziges Unterkriterium nicht erfüllt, gilt das Kriterium als nicht erfüllt, und der Prüfer berichtet die Abweichung (Abschnitte 3.4.12 und 3.4.13).

Wie Sie diese Lücken mit denen anderer Gebiete in eine Reihenfolge bringen, zeigt die Seite Maßnahmen priorisieren.

Alle Kriterien des Themengebiets SIM

Titel nach der deutschen Fassung 1.1.0, Zählung der Unterkriterien nach Abschnitt 5 (B = Basis, AS = verschärfend, AC = erweiternd). Die Spalte „Worum es geht“ ist unsere eigene Kurzbeschreibung, kein Katalogtext; verbindlich ist der Wortlaut der Kriterien im Katalog.

Die erweiternden Unterkriterien von SIM-03 verlangen jährliche Übungen oder Tests wie Red-Team-Übungen (SIM-03.01AC), ein qualifiziertes Forensik-Team, eigen oder beauftragt (SIM-03.02AC), und eine Überwachung, ob das Vorfallmanagement nach Richtlinie läuft (SIM-03.03AC). Mit SIM-04.01AC können Kunden Lösungen aktiv genehmigen, oder die Lösung gilt nach einer Frist als genehmigt.

Bezug zu ISO/IEC 27001:2022 Anhang A

Die folgende Zuordnung ist unsere eigene, nicht amtliche Einordnung nach Thema. Das BSI hat für C5:2026 noch keine Kreuzreferenz veröffentlicht, und auch eine amtliche Tabelle zeigt nach dem Katalog nur thematische Nähe, keine Erfüllung (Abschnitt 3.3). Die Kurzbezeichnungen sind unsere, keine Titel aus der Norm.