S/4HANA Cloud der SAP erhält ein BSI C5-Testat

Nur noch Cloud-Lösungen mit BSI C5-Testat in öffentlichen Stellen erlaubt

Der Anforderungskatalog BSI C5 wurde von PwC für das Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelt und dient der Beurteilung der Informationssicherheit von Cloud-Diensten. Mit dem Anforderungskatalog liegt erstmals ein Regelwerk vor, das eine Leitlinie für Cloud Security formuliert. Durch die Einführung des zugehörigen BSI-Mindeststandards im April 2017 sind öffentliche Stellen inzwischen verpflichtet, nur noch BSI C5-auditierte Cloud-Lösungen einzusetzen. Der BSI C5-Anforderungskatalog stellt mittlerweile eine wichtige Referenz für den Öffentlichen Sektor als auch für Unternehmen dar – national wie international – und ist Ausdruck der hohen Anforderungen deutscher Behörden an die Informationssicherheit, so Michael Hermann, SAP S/4HANA Cloud Security Officer von SAP. Eine Prüfung nach BSI C5 ist darüber hinaus mit weiteren Compliance-Prüfschemen kombinierbar.

Überprüfbare Anforderungen für größtmögliche Transparenz

Die Unterteilung der insgesamt 114 Einzelanforderungen in einzelne Themenblöcke bietet dem Cloud-Anbieter wichtige Orientierungspunkte, um entsprechende Maßnahmen in der Aufbau- und Ablauforganisation seines Dienstes umzusetzen. Eine Besonderheit im Vergleich zu etablierten Sicherheitsstandards und Prüfschemen sind die sogenannten Umfeldparameter für Transparenz: Sie erfordern unter anderem, dass der Prüfbericht Informationen über den Ort der Datenspeicherung und den Gerichtsstand, vorhandene Zertifizierungen, eine Systembeschreibung sowie bestehende Offenbarungspflichten gegenüber staatlichen Stellen enthält.

Wenn es um das Auditieren von Cloud-Lösungen geht, arbeitet SAP bereits seit mehreren Jahren erfolgreich mit PwC zusammen. In SAP’s Compliance-Programm auditiert PwC zahlreiche, international aufgestellte Cloud-Lösungen nach weltweit etablierten und anerkannten Security-Standards.