ISO 27001:2022 · A.5.23 · A.5 Organisatorische Maßnahmen
Informationssicherheit bei Nutzung von Cloud-Diensten
Prozesse für Beschaffung, Nutzung, Verwaltung und Ausstieg von Cloud-Diensten müssen entsprechend den Informationssicherheitsanforderungen der Organisation festgelegt werden.
ISO 27001NIS2TISAXDORABSIDSGVO
Was fordert dieses Control?
Prozesse für Beschaffung, Nutzung, Verwaltung und Ausstieg von Cloud-Diensten müssen entsprechend den Informationssicherheitsanforderungen der Organisation festgelegt werden.
Warum ist das wichtig?
Cloud-Nutzung verlagert Verantwortung, aber nicht die Haftung. Klare Anforderungen, Konfiguration und Exit-Strategien verhindern Lock-in und Sicherheitslücken.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| NIS2 | § 30 Abs. 2 BSIG | Sicherheit von Cloud-Diensten | Direkt |
| TISAX | 6.1.1 | Cloud-Nutzung | Direkt |
| DORA | Art. 28 | Cloud-Auslagerung | Direkt |
| BSI | OPS.2.2 | Cloud-Nutzung | Direkt |
| DSGVO | Art. 28 / Kap. V | Cloud als Auftragsverarbeitung & Drittlandtransfer | Direkt |
Was der Auditor erwartet
- Anforderungen an Auswahl und Nutzung von Cloud-Diensten
- Klare Verantwortungsteilung (Shared Responsibility)
- Exit-Strategie und Datenrückgabe
Audit-Checkliste
Dokumente
Cloud-NutzungsrichtlinieAuswahl, Konfiguration, Betrieb und Ausstieg
Nachweise
Cloud-RisikobewertungenBewertung genutzter Dienste und ihrer Konfiguration
Verzeichnis genutzter Cloud-DiensteÜbersicht aller Dienste mit Bewertung, verhindert Schatten-IT
Exit-Regelungen im VertragVereinbarte Datenrückgabe und Ausstieg vor Vertragsschluss
Interviews
IT-VerantwortlicheVerständnis der geteilten Verantwortung
Technisch
Cloud-KonfigurationSichere Grundkonfiguration, z.B. Secure Score
Praxis-Tipps zur Umsetzung
Shared Responsibility klärenGenau festhalten, was der Anbieter und was Sie selbst absichern.
Exit mitdenkenDatenexport und Anbieterwechsel von Anfang an einplanen.
Konfiguration härtenStandardeinstellungen prüfen, MFA, Logging und Verschlüsselung aktivieren.
Häufige Fehler
FehlkonfigurationOffene Buckets oder fehlende MFA durch unsichere Defaults.
Kein Exit-PlanAbhängigkeit ohne Möglichkeit zur Datenrückführung.
Häufig gestellte Fragen
Was bedeutet Shared Responsibility?
Anbieter und Kunde teilen sich die Sicherheitsverantwortung. Was Sie selbst absichern müssen, hängt vom Servicemodell ab.
Brauchen wir eine Exit-Strategie?
Ja, geregelte Datenrückgabe und Anbieterwechsel sind ausdrücklich Teil des Controls.
Wie weist man sichere Cloud-Nutzung nach?
Über Risikobewertung, Konfigurationsnachweise (z.B. Secure Score) und vertragliche Regelungen.
So hilft CompliantDesk bei A.5.23
Über die M365-Integration belegen Sie sichere Cloud-Konfiguration per Secure Score und führen Cloud-Dienste als bewertete Lieferanten.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten