Das C5-Subdienstleisterinventar ausfüllen und aktuell halten

Das Inventar ist ein Arbeitsprodukt, kein Katalogbegriff. Der Katalog verlangt ein Verzeichnis der Dienstleister (SSO-04) und in der Systembeschreibung Angaben zu den Subdienstleistern (Abschnitt 3.4.5.1 Nr. 8 und 3.4.6). Wir empfehlen, beides in einer Tabelle zu führen, weil die Subdienstleister eine Teilmenge der Dienstleister sind. Wie das Kontrollsystem für Dienstleister insgesamt funktioniert, erklärt die Seite Themengebiet SSO; eine leere Vorlage liegt auf der Seite C5-Vorlagen.

Welche Angaben gehören ins Subdienstleisterinventar?

Die Angaben aus zwei Stellen des Katalogs, ergänzt um die Felder, die Sie für die Überwachung brauchen. Die Spalte „Quelle“ zeigt, woher eine Angabe kommt; die Ausfüllhinweise sind unsere Empfehlung.

Die Vorlage auf der Seite C5-Vorlagen enthält alle diese Felder, auch die Angaben nach SSO-04. Ein einziges zentrales Verzeichnis verlangt der Katalog nicht (ergänzende Information zu SSO-04); Sie können einzelne Angaben auch in Ihrem Vertragsverzeichnis führen und von dort verweisen.

Schritt 1: alle Dienstleister finden

Ins Verzeichnis gehören alle Dienstleister, die Leistungen zur Erbringung des Cloud-Dienstes beitragen, auch kleine Werkzeuge. Eine Abfrage im Einkauf allein übersieht Werkzeuge, die Teams selbst bestellen. Unsere Empfehlung, aus welchen Quellen Sie die Liste zusammensetzen:

• Kreditorenliste und Kreditkartenabrechnungen der letzten zwölf Monate,
• Verträge zur Auftragsverarbeitung,
• Datenflussdiagramm und Architekturdokumentation, einschließlich Backup, Protokollierung, Monitoring und Versand,
• im Identitätsdienst angebundene Fremdanwendungen und Integrationen der Pipeline,
• ausgehende Verbindungen aus der Produktionsumgebung.

Nicht ins Verzeichnis gehören Dienstleister ohne Beitrag zu Entwicklung oder Betrieb des Dienstes, etwa die Lohnbuchhaltung.

Schritt 2: Ist ein Dienstleister ein Subdienstleister?

Ein Dienstleister ist Subdienstleister (Subservice-Organisation), wenn zwei Merkmale zusammen vorliegen; der Katalog sagt „kumulativ“ (Abschnitt 3.4.6):

1. Seine Leistung ist voraussichtlich relevant für das Verständnis Ihrer Kunden, wie der Dienst aufgebaut ist und wie Sie die Kriterien erfüllen; das ist etwa der Fall, wenn er zu Systemkomponenten beiträgt oder Zugriff darauf hat, vertrauliche Informationen einsehen kann oder Informationen mit dem Dienst austauscht.
2. Sie brauchen Kontrollen bei ihm, die Complementary Subservice Organisation Controls (CSOC), um die Kriterien zusammen mit Ihren eigenen Kontrollen mit hinreichender Sicherheit zu erfüllen.

Merkmal 1 allein reicht also nicht. Erfüllen Ihre eigenen Kontrollen einschließlich der Überwachung des Dienstleisters die anwendbaren Kriterien mit hinreichender Sicherheit, ist er kein Subdienstleister, auch wenn er Kundendaten sieht. Für einige Fälle gibt der Katalog die Richtung vor:

• Rechenzentren, die Dritte betreiben: grundsätzlich Subdienstleister, insbesondere für die Kriterien zur physischen Sicherheit (PS).
• Infrastruktur oder Plattform eines anderen Cloud-Anbieters: ebenso, etwa für den Regelbetrieb (OPS).
• Reinigungsunternehmen, Werbeagenturen: in der Regel keine Subdienstleister.

Für alle übrigen Dienstleister entscheidet Ihre eigene Prüfung. Unsere Empfehlung für Merkmal 2: Notieren Sie je Dienstleister die betroffenen Kriterien und fragen Sie je Kriterium, ob Ihre eigenen Kontrollen es ohne Kontrolle beim Dienstleister erfüllen. Beispiele dafür sind Verschlüsselung mit Schlüsseln, die nur Sie verwalten, das technische Entfernen personenbezogener Inhalte vor der Übertragung oder befristete, protokollierte Testkonten. Bleibt eine Lücke, die nur der Dienstleister schließen kann, ist er Subdienstleister, und genau diese Kontrollen sind die CSOC. Halten Sie Ergebnis und Begründung im Inventar fest; der Prüfer muss die Einordnung nachvollziehen können.

Die Einordnung hat Folgen. Für jeden Subdienstleister enthält die Systembeschreibung die Angaben nach Mindestinhalt 8, und Sie wählen Carve-out oder Inclusive; die Abwägung steht auf der Seite C5-Scope. Überwachen müssen Sie nach SSO-05 alle Dienstleister, und auch beim Carve-out bleiben Sie dafür verantwortlich, dass Ihr Dienst die anwendbaren Kriterien erfüllt (Abschnitt 3.4.6). Wie das Kontrollsystem für Dienstleister insgesamt aufgebaut ist, erklärt die Seite Themengebiet SSO.

Ein ausgefülltes Beispiel

Fiktives Beispiel, kein Kunde; alle Firmennamen sind erfunden. Ein Anbieter betreibt ein Bewerbermanagement als SaaS für mittelständische Unternehmen. Bewerbungsunterlagen, Lebensläufe und Kommunikation mit Bewerbenden liegen im Dienst. Das Verzeichnis enthält sechs Einträge.

Teil A: Verzeichnis und Einstufung

Teil B: Angaben zu den Subdienstleistern

Was aus Teil A und Teil B in die Systembeschreibung kommt, regelt Mindestinhalt 8: für jeden Subdienstleister die Art der Leistung mit Vertragspartner, Ort, Abhängigkeit und Verfügbarkeit von C5-Berichten, dazu die erwarteten Kontrollen und Ihre Überwachungskontrollen. Die übrigen Dienstleister bleiben im internen Verzeichnis. Wie die Abschnitte der Beschreibung aufgebaut sind, zeigt die Seite Systembeschreibung.

Wie werten Sie die Prüfberichte Ihrer Subdienstleister aus?

Mit einem festen Prüfschema und einem Protokoll je Bericht. Ein uneingeschränktes Prüfungsurteil heißt nach der BSI-FAQ nicht, dass es keine Abweichungen gibt; erst die Auswertung zeigt, was der Bericht für Ihren Dienst abdeckt. Die ergänzenden Informationen zu SSO-05 nennen Prüfpunkte, unter anderem Geltungsbereich und Zeitraum, Modifikationen des Prüfungsurteils und Abweichungen, die korrespondierenden Kundenkontrollen (CUEC) des Dienstleisters, offengelegte Subdienstleister und angegebene Sicherheitsvorfälle. Unser Prüfschema baut darauf auf:

Für die strukturierte Auswertung von C5-Berichten nennt der Katalog einen Excel-basierten Auswertungsleitfaden des BSI. Die BSI-FAQ verweist dafür derzeit auf Dokumente zu C5:2020, deren Aktualisierung für C5:2026 angekündigt ist (Abruf 1. November 2026). Den Bericht selbst erhalten Sie vom Dienstleister; laut BSI-FAQ bestimmt der Anbieter als Eigentümer, unter welchen Bedingungen er ihn weitergibt. Kunden lesen einen C5-Bericht mit einem anderen Ziel, nämlich für ihre eigene Risikoentscheidung; hier geht es um Ihre Überwachung nach SSO-05.

Ein Auswertungsprotokoll für den Plattformbericht im Beispiel könnte so aussehen (fiktive Werte): Dienste Rechenleistung, Datenbank und Objektspeicher enthalten, Region enthalten; Berichtszeitraum endet drei Monate vor Ende des eigenen Prüfungszeitraums, schriftliche Bestätigung angefordert; eine Abweichung bei der Datenträgerentsorgung mit Stellungnahme und Korrektur im Folgemonat, Bewertung: kein Einfluss auf eigene Kriterien, weil Daten verschlüsselt gespeichert werden; 14 CUEC im Bericht, zwölf eigenen Kontrollen zugeordnet, zwei offen und als Maßnahmen mit Frist erfasst.

Wie halten Sie das Inventar aktuell?

Mit festen Terminen und Anlässen, die der Katalog teils vorgibt. Die Turnusse in der rechten Spalte, die über die Katalogvorgaben hinausgehen, sind unsere Empfehlung.

Für einen Typ-2-Bericht braucht der Prüfer Belege, dass diese Schritte im ganzen Zeitraum liefen: datierte Auswertungsprotokolle, Prüfvermerke zum Verzeichnis und erledigte Maßnahmen. Neue Subdienstleister im Zeitraum können außerdem eine wesentliche Änderung sein, die in die Systembeschreibung gehört, siehe Wesentliche Änderungen und Ereignisse.

Typische Fehler im Inventar