C5-Rahmenbedingungen GC-01 bis GC-06: Angaben, die Kunden lesen und Prüfer erwarten

Die Rahmenbedingungen heißen im Katalog „Angaben zu den Rahmenbedingungen des Cloud-Dienstes“, englisch „General Conditions“, daher die Kürzel GC-01 bis GC-06 (Abschnitt 4). Sie zählen nicht zu den 168 Kriterien in Abschnitt 5, gehören aber in jede Systembeschreibung. In der BSI-FAQ heißen sie noch „BC-01 bis BC-06“; gemeint ist dasselbe.

Wozu dienen die Rahmenbedingungen?

Die Angaben informieren Kunden über das Niveau an Informationssicherheit, das der Dienst bietet. Nach Abschnitt 4 sollen sie Kunden ermöglichen, die Eignung des Dienstes für ihren Anwendungsfall zu beurteilen, und Berichte verschiedener Anbieter vergleichbar machen. Geschrieben werden sie für sachverständiges Personal der Kunden: Personen, die Vorgaben zur Informationssicherheit machen oder umsetzen, deren Wirksamkeit prüfen oder die Eignung des Dienstes rechtlich und regulatorisch beurteilen, etwa aus IT, Compliance und Interner Revision.

Daraus folgt der Maßstab für die Formulierung: Die Leserin kennt Ihren Vertrag nicht und hat wenig Zeit. Sie muss jede Angabe schnell finden und ohne Rückfrage verstehen. Wie die Rahmenbedingungen im Katalog insgesamt eingeordnet sind, zeigt die Seite C5-Kriterienkatalog.

Die sechs Rahmenbedingungen im Überblick

Titel nach der deutschen Fassung 1.1.0. Die Spalte „Was Kunden daraus ablesen“ ist unsere Einordnung.

Wie hängen Rahmenbedingungen und Systembeschreibung zusammen?

Die Angaben sind Mindestinhalt 3 der Systembeschreibung: „Informationen zu den allgemeinen Rahmenbedingungen des Cloud-Dienstes gemäß den Kriterien in Abschnitt 4“ (Abschnitt 3.4.5.1). Nach Abschnitt 3.4.7 ist die Darstellung des Anbieters nur dann sachgerecht, wenn sie diese Angaben und die Angaben zu den Subdienstleistern enthält. Fehlen sie, fehlt also mehr als ein Kapitel. Die übrigen Mindestinhalte und den Aufbau der Beschreibung erklärt die Seite Systembeschreibung.

Zwei Besonderheiten gelten:

• Verweise statt Werte bei GC-02 bis GC-04. Die Werte selbst stehen im Vertrag, in der Betriebsdokumentation oder in Unterlagen auf Anfrage. Die Systembeschreibung sagt, wo sie zu finden sind, und zwar konkret je Aspekt. Nehmen Sie die Werte zusätzlich in den Bericht auf, etwa in einen Abschnitt „Sonstige vom Cloud-Anbieter bereitgestellte Informationen“, unterliegen sie dort nach den Hinweisen zu GC-02 bis GC-04 nicht den Prüfungshandlungen, und der Prüfer gibt dazu kein Prüfungsurteil ab.
• Direkte Prüfung. Bei einer direkten Prüfung gibt es keine Systembeschreibung des Anbieters. Dann dokumentiert der Prüfer die Angaben zu den Rahmenbedingungen nach den Informationen, die der Anbieter ihm gibt (Abschnitt 4).

Was gehört in jede Rahmenbedingung?

Die folgende Übersicht fasst die Anforderungen verkürzt und in eigenen Worten zusammen und nennt, worauf Sie beim Schreiben achten sollten; die rechte Spalte ist unsere Empfehlung. Sie ersetzt den Katalog nicht: Maßgeblich ist der Wortlaut von Abschnitt 4, mit allen Einzelpunkten und Hinweisen; lesen Sie ihn, bevor Sie die Systembeschreibung schreiben.

Ändern sich Standorte, Subdienstleister oder Zusagen während des Prüfungszeitraums eines Typ-2-Berichts, prüfen Sie, ob es sich um eine wesentliche Änderung handelt, die die Systembeschreibung offenlegen muss, siehe wesentliche Änderungen und Ereignisse.

Wie formulieren Sie die Angaben belastbar?

Die folgenden Regeln sind unsere Empfehlung; sie folgen aus dem Wortlaut von Abschnitt 4 und aus dem, was Kunden mit den Angaben tun.

• Eine Quelle je Wert. Verfügbarkeit, Reaktionszeiten und Rechtsfolgen stehen im Vertrag oder SLA. Die Systembeschreibung verweist je Aspekt auf Dokument und Abschnitt und wiederholt die Werte nicht in eigenen Worten. So kann keine Abweichung zwischen Bericht und Vertrag entstehen.
• Verbindlich oder Durchschnitt kennzeichnen. Wo ein Wert nur ein Durchschnitt ohne Zusage ist, steht das ausdrücklich dabei, wie GC-02 es verlangt.
• Alle Datentypen und alle Orte. GC-01 nennt Kundendaten, abgeleitete Cloud-Dienstdaten und Kontodaten und unterscheidet Verarbeitung, Speicherung und Sicherung. Nennen Sie auch den Ort der Datensicherungen und der Subdienstleister; die Angaben müssen zu Mindestinhalt 8 und zum Subdienstleisterinventar passen.
• Ausschlüsse benennen. Betreiben Sie Regionen oder Standorte, die nicht geprüft sind, nennen Sie sie mit dem Hinweis auf den Ausschluss (GC-01 Nr. 6).
• Zahlen mit Bezugszeitraum, auch null. Bei GC-05 geben Sie an, auf welchen Zeitraum sich die Zahl der Anfragen und Weitergaben bezieht. Gab es keine, schreiben Sie „keine“ statt den Punkt auszulassen.
• Nur gültige Nachweise mit vier Angaben. Bei GC-06 nur Zertifikate und Berichte, die im betrachteten Zeitraum gültig sind, jeweils mit Datum, Aussteller, Geltungsbereich und Gültigkeit. Ein C5-Testat ist ein Prüfbericht, kein Zertifikat; schreiben Sie nie „C5-zertifiziert“.
• Für Fachleute schreiben, nicht für den Vertrieb. Keine Werbeaussagen wie „höchste Verfügbarkeit“; jede Aussage muss sich an Vertrag, Architektur oder Nachweis festmachen lassen.

Beispiel-Formulierungen als Arbeitshilfe

Fiktives Beispiel, kein Kunde. Ein Anbieter betreibt eine Termin- und Abrechnungsplattform für Physiotherapiepraxen als SaaS auf der Infrastruktur eines großen Cloud-Anbieters in Deutschland. Die Formulierungen sind eigene Vorschläge, kein Katalogtext; Werte in eckigen Klammern ersetzen Sie durch Ihre eigenen. Den genauen Wortlaut stimmen Sie mit Ihrem Prüfer und, wo Vertrag und Recht berührt sind, mit Ihrer Rechtsberatung ab.

Die GC-05-Formulierung zeigt bewusst einen Anbieter, der entschlüsseln kann. Die Angabe muss den tatsächlichen Stand wiedergeben; eine günstigere Darstellung wäre eine Verfälschung, die die Systembeschreibung nach Abschnitt 3.4.5.1 nicht enthalten darf.

Mögliche Fehler und wie Sie sie vermeiden