C5-Themengebiet SSO: Dienstleister prüffähig steuern und überwachen

Diese Seite behandelt das Themengebiet SSO (Steuerung und Überwachung von Service-Organisationen und Lieferanten) des C5:2026, Abschnitt 5.12 des Katalogs. Wie Kriterien und Unterkriterien grundsätzlich aufgebaut sind, erklärt die Seite C5-Kriterienkatalog.

Worum geht es im Themengebiet SSO?

SSO verlangt ein Kontrollsystem für alle Dienstleister, die zu Entwicklung oder Betrieb des Dienstes beitragen. Das Gebiet umfasst acht Kriterien, SSO-01 bis SSO-08, mit 21 Basis-Unterkriterien, zwei verschärfenden und fünf erweiternden Zusatz-Unterkriterien. Drei Kriterien sind laut Änderungshistorie des BSI neu gegenüber C5:2020: SSO-03, SSO-07 und SSO-08. In den Unterkriterien kommt der Begriff Lieferkette nicht vor, die Anforderungen dazu stehen dort unter Dienstleistern und Lieferanten; die ergänzenden Informationen zu SSO-07 ordnen das Kriterium ausdrücklich der Lieferkette zu.

Zwei Begriffe muss man auseinanderhalten. Dienstleister (im Katalog: Service-Organisation) sind alle Partner, Anbieter oder anderen Dritten, die Ihnen Leistungen für Entwicklung oder Betrieb des Cloud-Dienstes erbringen. Subdienstleister (Subservice-Organisation) ist nur ein Teil davon: Dienstleister, deren Leistung für das Verständnis Ihrer Kunden relevant ist und bei denen Sie Kontrollen voraussetzen, die Complementary Subservice Organisation Controls (CSOC). Für Subdienstleister wählen Sie Carve-out oder Inclusive, siehe C5-Scope; die Kriterien in SSO gelten für alle Dienstleister.

Ausgangssituation: ein SaaS-Anbieter mit vielen Dienstleistern

Fiktives Beispiel, kein Kunde. Ein Anbieter betreibt eine Plattform für Videosprechstunden, die Arztpraxen und Therapiezentren nutzen. Rund 30 Beschäftigte, ein Produkt. Der Dienst läuft auf einer Cloud-Plattform in Deutschland. Dazu kommen ein Relay-Dienst für Videoverbindungen, ein SMS- und E-Mail-Versanddienst für Terminlinks, ein Support-Dienstleister für die Hotline, ein Monitoring-Dienst, eine Agentur für die Weiterentwicklung der App und ein Penetrationstester. Einkauf und Verträge liefen bisher je Team. Die Plattformanbieterin hat einen C5-Bericht, die anderen haben teils SOC-2-Berichte, teils ISO-27001-Zertifikate, teils nichts.

Für ein C5-Testat braucht der Anbieter jetzt ein System, das alle diese Beziehungen gleich behandelt: nach Risiko eingestuft, vertraglich gebunden, überwacht und belegt.

Wer ist wofür verantwortlich: Anbieter, Plattform, Kunde?

Die Verantwortung bleibt beim Anbieter. Auch wenn er Kontrollen eines Subdienstleisters im Carve-out aus der Prüfung ausnimmt, bleibt er dafür verantwortlich, dass Entwicklung und Betrieb des Dienstes die Kriterien erfüllen, und überwacht den Subdienstleister nach SSO-05 (Abschnitt 3.4.6). Unsere Einordnung für das Beispiel:

Im Carve-out stehen die Kontrollen der Subdienstleister als Angabe in der Systembeschreibung, und der Prüfer prüft nur, ob diese Annahmen sachgerecht dargestellt sind. Setzt Ihr Dienst Mitwirkung der Kunden voraus, beschreiben Sie sie als korrespondierende Kundenkontrollen (CUEC).

Wie sieht ein Kontrollsystem für Dienstleister nach SSO aus?

Als Kreislauf, den jeder Dienstleister durchläuft, vom ersten Angebot bis zum Vertragsende. Die Richtlinie nach SSO-01 legt die Regeln fest; die übrigen Kriterien sind die Stationen. Die rechte Spalte ist unsere Empfehlung, was an jeder Station entstehen sollte.

Die Feststellung, ob ein Dienstleister Subdienstleister ist, verlangt SSO-01.01B Nr. 2 als Teil der Richtlinie; wie Sie sie nach Abschnitt 3.4.6 je Dienstleister treffen, das Verzeichnis ausfüllen und die Berichte Ihrer Dienstleister auswerten, zeigt die Seite Subdienstleisterinventar. Was davon in die Systembeschreibung kommt, regelt Mindestinhalt 8, siehe Systembeschreibung. Ob Sie einzelne Dienstleister in der Systembeschreibung nennen müssen und was Sie tun, wenn ein Dienstleister keinen Prüfbericht liefern kann, beantwortet die Seite Subdienstleisterinventar in ihren Fragen und Antworten.

Beispiel-Kontrollbeschreibung zu SSO-02

Die Bewertung vor dem Einsatz ist die Stelle, an der Lücken am leichtesten entstehen, weil Teams Dienste selbst einkaufen. So könnte die Kontrolle im Beispiel aussehen; das Muster ist eine eigene Formulierung, kein Katalogtext.

Ob die Kontrolle die zugeordneten Unterkriterien abdeckt, beurteilt der Prüfer. SSO-02.01B nennt acht Aspekte der Risikobeurteilung; prüfen Sie Ihre Methode gegen den Wortlaut im Katalog.

Welche Nachweise der Prüfer sehen will

Dokumente zur Regelung und Belege, dass jede Station im Zeitraum tatsächlich durchlaufen wurde. Unsere Übersicht für das Beispiel:

Mögliche Lücken: Ursache, Wirkung, Abhilfe

Die Lücken leiten wir aus den Anforderungen des Katalogs ab; sie sind keine Prüferfeststellungen.

Alle Kriterien des Themengebiets SSO

Titel nach der deutschen Fassung 1.1.0, Zählung der Unterkriterien nach Abschnitt 5 (B = Basis, AS = verschärfend, AC = erweiternd). Die Spalte „Worum es geht“ ist unsere eigene Kurzbeschreibung, kein Katalogtext; verbindlich ist der Wortlaut der Kriterien im Katalog.

Mit anderen Gebieten verzahnt: Die ausgelagerte Entwicklung regelt zusätzlich DEV (DEV-02), die Beteiligung von Dienstleistern an Kontinuitätstests BCM (BCM-04).

Bezug zu ISO/IEC 27001:2022 Anhang A

Die folgende Zuordnung ist unsere eigene, nicht amtliche Einordnung nach Thema. Das BSI hat für C5:2026 noch keine Kreuzreferenz veröffentlicht, und auch eine amtliche Tabelle zeigt nach dem Katalog nur thematische Nähe, keine Erfüllung (Abschnitt 3.3). Die Kurzbezeichnungen sind unsere, keine Titel aus der Norm.