C5-Themengebiet SP: Richtlinien freigeben, überprüfen und Ausnahmen steuern

Diese Seite behandelt das Themengebiet SP (Sicherheitsrichtlinien und Arbeitsanweisungen) des C5:2026, Abschnitt 5.2 des Katalogs. Wie Kriterien und Unterkriterien grundsätzlich aufgebaut sind, erklärt die Seite C5-Kriterienkatalog.

Worum geht es im Themengebiet SP?

SP regelt das Richtlinienwesen des Cloud-Anbieters. Der Katalog nennt als Ziel, Richtlinien und Verfahren bezüglich des Sicherheitsanspruchs und zur Unterstützung der geschäftlichen Anforderungen bereitzustellen (Abschnitt 5.2). Drei Kriterien decken das ab: SP-01 legt fest, wie Richtlinien aufgebaut, versioniert, genehmigt und kommuniziert werden; SP-02 regelt Überprüfung und Freigabe; SP-03 den Umgang mit Ausnahmen.

Das Gebiet hat elf Basis-Unterkriterien, keine verschärfenden und drei erweiternde Zusatz-Unterkriterien, alle bei SP-03. Seine Wirkung reicht weit: Die ergänzenden Informationen zu SP-01 zählen 32 Richtlinien und Verfahren aus anderen Kriterien auf, für die diese Regeln gelten, von der Informationssicherheitsrichtlinie (OIS-02) über die Kryptographie-Richtlinie (CRY-01) bis zur Richtlinie für den Umgang mit Sicherheitsvorfällen (SIM-01). Warum Sie die einheitliche Struktur nach SP-01 deshalb vor allen anderen Richtlinien festlegen sollten, erklärt die Seite Maßnahmen priorisieren. Hier geht es um die beiden Abläufe, an denen Prüfungen in diesem Gebiet hängen: Freigabe und Ausnahmen.

Ausgangssituation: viele Richtlinien, keine Ordnung

Fiktives Beispiel, kein Kunde. Ein Anbieter betreibt eine Lernplattform, über die Kliniken und Pflegeeinrichtungen Pflichtunterweisungen für ihr Personal organisieren, etwa zu Hygiene, Brandschutz und Datenschutz. Rund 35 Beschäftigte, der Dienst läuft als SaaS auf der Infrastruktur eines großen Cloud-Anbieters. Ein Klinikverbund verlangt einen C5-Typ-2-Bericht.

So sieht es vor dem Projekt aus:

• Rund 40 Richtlinien und Anleitungen liegen im Wiki, in unterschiedlicher Gliederung. Bei einigen steht kein Verantwortlicher, bei manchen kein Datum.
• Freigegeben wird per Zustimmung im Team-Chat. Wer dort zugestimmt hat und ob die Person dazu befugt war, lässt sich nicht mehr nachvollziehen.
• Einige Dokumente wurden seit drei Jahren nicht angesehen, obwohl der Dienst inzwischen eine neue Datenbank nutzt.
• Ein großer Kunde lädt Teilnehmerlisten per SFTP mit Passwortanmeldung hoch, obwohl die interne Kryptorichtlinie Schlüssel verlangt. Die Abweichung hat der Vertrieb per E-Mail zugesagt.
• Ein älteres Netzwerkgerät kann den vorgeschriebenen Überwachungsagenten nicht ausführen. Das ist bekannt, aber nirgends festgehalten.

Die letzten beiden Punkte entsprechen genau den beiden Beispielen, die der Katalog für Ausnahmen nennt: eine Organisationseinheit weicht ab, um Anforderungen eines Kunden zu erfüllen, und einer Systemkomponente fehlen technische Eigenschaften, um sie wie vorgeschrieben zu konfigurieren.

Wer ist wofür verantwortlich: Anbieter, Plattform, Kunde?

SP liegt beim Anbieter. Die Plattform hat ihr eigenes Richtlinienwesen, das nicht Gegenstand Ihrer Prüfung ist. Der Kunde ist bei Ausnahmen gefragt: SP-03 ist das einzige Kriterium des Gebiets mit korrespondierenden Kriterien für Kunden. Unsere Einordnung für das Beispiel:

Welche Informationen Sie Kunden zu Ausnahmen bereitstellen, legen Sie im Vertrag fest. Welche Kundenkontrollen Sie voraussetzen, gehört als korrespondierende Kundenkontrollen (CUEC) in die Systembeschreibung.

Wie sieht ein prüffähiger Freigabeweg für Richtlinien aus?

SP-01.04B verlangt die Genehmigung durch die oberste Leitung oder eine autorisierte Stelle, SP-02.02B die Genehmigung überarbeiteter Fassungen durch die angemessene Leitungsebene, bevor sie gelten. Für die Informationssicherheitsrichtlinie ist nach den ergänzenden Informationen die oberste Leitung die angemessene Ebene. Damit der Prüfer das nachvollziehen kann, braucht es eine festgelegte Zuständigkeit je Dokumentart. Unsere Freigabematrix für das Beispiel:

Die Vollmacht an die ISB ist selbst ein Nachweis: Sie zeigt, dass die ISB eine „autorisierte Stelle“ im Sinne von SP-01.04B ist. Der Freigabeweg selbst läuft für jedes Dokument gleich:

1. Entwurf in der einheitlichen Vorlage mit Zielen, Anwendungsbereich, Rollen mit Vertretung, Rollen anderer Organisationen, Maßnahmen und rechtlichen Anforderungen (SP-01.01B).
2. Fachliche Prüfung durch sachverständiges Personal, mit Blick auf organisatorische und technische Änderungen und auf neue gesetzliche oder regulatorische Anforderungen (SP-02.01B).
3. Freigabe nach der Matrix, im Dokumentensystem mit Name, Datum und Version, bevor die Fassung gilt (SP-01.04B, SP-02.02B).
4. Kommunikation an alle betroffenen internen und externen Beschäftigten, sach- und bedarfsgerecht, etwa mit Lesebestätigung oder kurzer Schulung bei wesentlichen Änderungen (SP-01.02B, SP-02.02B).
5. Wiedervorlage spätestens zwölf Monate nach der Freigabe und zusätzlich bei jeder wesentlichen Änderung am Dienst (SP-02.01B).

Als wesentliche Änderungen nennen die ergänzenden Informationen zu SP-02 unter anderem größere Änderungen an Architektur oder Plattform, wesentliche Gesetzesänderungen wie NIS2, DORA oder DSGVO, Reorganisationen, größere Sicherheitsvorfälle und Änderungen in der obersten Leitung. Für die Umstellung auf die neue Datenbank im Beispiel heißt das: Die betroffenen Richtlinien hätten bei der Umstellung überprüft werden müssen, nicht erst beim nächsten Jahrestermin.

Wie führen Sie ein Ausnahmeregister nach SP-03?

SP-03.01B verlangt eine Liste aller Ausnahmen mit den zugehörigen Kontrollen. Jede Ausnahme durchläuft den Risikoprozess nach OIS-07 mit Genehmigung und Risikoakzeptanz durch die Risikoeigentümer (SP-03.02B), das Gesamtrisiko aus mehreren Ausnahmen wird mitbetrachtet (SP-03.03B), jede Genehmigung hat eine festgelegte Gültigkeit und wird mindestens jährlich überprüft (SP-03.04B). Unsere Vorlage, mit den beiden Fällen aus dem Beispiel:

Die harte Grenze setzt SP-03.05B: Ausnahmen, die zu einer Abweichung von einem anwendbaren C5-Kriterium im Geltungsbereich der Prüfung führen würden, sind nicht zulässig. Ein Beispiel: Ein Team möchte die jährliche Rechteüberprüfung um ein halbes Jahr verschieben. IAM-05.01B verlangt sie mindestens einmal im Jahr; eine Ausnahme dazu darf es nicht geben, die Überprüfung muss stattfinden. Das Ausnahmeregister ist also kein Weg, eine Lücke gegenüber dem Katalog zu legalisieren.

Beispiel-Kontrollbeschreibung zu SP-03

Unsere Beispiel-Kontrolle für den Anbieter oben (eigene Formulierung, kein Katalogtext):

Die monatliche Prüfung auf Ablauf geht über die Basis hinaus und entspricht dem erweiternden Unterkriterium SP-03.02AC. Wir empfehlen sie auch ohne dessen Aufnahme, weil abgelaufene Ausnahmen sonst unbemerkt weiterlaufen.

Welche Nachweise der Prüfer sehen will

Für SP zählen Dokumente mit Version, Freigabe und Datum sowie die Belege, dass sie kommuniziert und überprüft wurden. Beispiele aus unserem Szenario:

Ein Nachweisregister ordnet jedem Unterkriterium seinen Nachweis zu; wie Sie es führen, zeigt die Seite Nachweise und Dokumentation. Eine Vorlage dafür finden Sie unter C5-Vorlagen.

Mögliche Lücken: Ursache, Wirkung, Abhilfe

Die folgenden Lücken ergeben sich aus dem Wortlaut der Kriterien und dem Szenario oben. Ist ein einziges Unterkriterium nicht erfüllt, gilt das Kriterium als nicht erfüllt, und der Prüfer berichtet die Abweichung (Abschnitte 3.4.12 und 3.4.13).

Alle Kriterien des Themengebiets SP

Titel nach der deutschen Fassung 1.1.0, Zählung der Unterkriterien nach Abschnitt 5 (B = Basis, AS = verschärfend, AC = erweiternd). Die Spalte „Worum es geht“ ist unsere eigene Kurzbeschreibung, kein Katalogtext; verbindlich ist der Wortlaut der Kriterien im Katalog.

Die drei erweiternden Unterkriterien gehören zu SP-03: Genehmigung durch die angemessene Leitungsebene (SP-03.01AC), Überwachung der Liste gegen das Ablaufen genehmigter Ausnahmen (SP-03.02AC) und zeitnahe Abhilfe bei Abweichungen (SP-03.03AC).

Bezug zu ISO/IEC 27001:2022

Ein zertifiziertes ISMS bringt für SP viel mit. Nach den ergänzenden Informationen zu SP-02.01B und SP-03.01B werden Kontrollen dazu im ISO-Zertifizierungsaudit voraussichtlich ebenfalls geprüft; bei einer getrennten Prüfung kann der C5-Prüfer statt einer erneuten Prüfung den ISO-Bericht einsehen, sofern die vorgelegten Nachweise hinreichend schlüssig sind. Was sonst aus ISO wiederverwendbar ist, steht auf der Seite C5 und ISO 27001.

Die folgende Zuordnung ist unsere eigene, nicht amtliche Einordnung nach Thema. Das BSI hat für C5:2026 noch keine Kreuzreferenz veröffentlicht, und auch eine amtliche Tabelle zeigt nach dem Katalog nur thematische Nähe, keine Erfüllung (Abschnitt 3.3). Die Kurzbezeichnungen sind unsere, keine Titel aus der Norm.