Prüfung von Cloudanwendungen
BSI C5 und Cloud-Compliance
Cloud-Dienste bieten erhebliche Vorteile für die Modernisierung der IT-Infrastruktur: Skalierbarkeit, Kosteneffizienz, schnellere Innovationszyklen und höhere Resilienz. Gleichzeitig bringen sie neue regulatorische Anforderungen und Risiken mit sich, die systematisch bewertet und gemanagt werden müssen.
Wir prüfen Cloud-Dienste nach dem BSI C5-Kriterienkatalog und dem Prüfungshinweis IDW PH 9.860.3 und bewerten die Einhaltung der aufsichtsrechtlichen Anforderungen an Cloud-Auslagerungen, von der Risikoanalyse über die vertragliche Gestaltung bis zur laufenden Überwachung.
Unser Leistungsspektrum
- C5-Testate für Cloud-Dienstleister
Prüfung und Bestätigung der Einhaltung des BSI C5-Kriterienkatalogs nach IDW PH 9.860.3, als Angemessenheits- und Wirksamkeitsprüfung.
- Direkte Prüfung einzelner Cloud-Dienste
Kundenspezifische Prüfung eines konkret abgegrenzten Cloud-Dienstes, etwa vor Vertragsabschluss oder im laufenden Betrieb, individuell auf institutsspezifische Risiken ausgerichtet.
- Auswertung von Testaten und Prüfnachweisen
Kritische Beurteilung der Aussagekraft von Anbietertestaten, Zertifizierungen und Prüfberichten im Rahmen des Auslagerungsmanagements.
- Aufsichtsrechtliche Bewertung
Prüfung der Cloud-Nutzung auf Einhaltung von MaRisk, EBA-Guidelines und DORA, einschließlich Risikoanalyse, Wesentlichkeitsbewertung und Auslagerungsregister.
- Prüfung des Drittparteien-Risikomanagements
Bewertung von Konzentrationsrisiken, Subdienstleister-Steuerung und Exit-Strategien.
- Vertragsprüfung
Bewertung der vertraglichen Regelungen auf regulatorische Mindestinhalte, Prüfungsrechte und Kündigungsrechte.
Einsatzbereiche von Cloud-Diensten
Interne Einsatzbereiche
- Modernisierung der IT-Infrastruktur: Skalierbarkeit, Pay-per-Use, höhere Resilienz durch georedundante Rechenzentren.
- Anwendungsentwicklung und Betrieb: dynamische Testumgebungen, CI/CD, cloudnative Überwachung.
- Data Analytics und Business Intelligence: skalierbare Rechenkapazität, Machine-Learning- und KI-Dienste.
Externe Einsatzbereiche
- Kundenservices: Self-Service-Portale, Chatbots, Omnichannel-Kommunikation.
- Kooperationen und Plattformstrategien: Anbindung von Partnern und spezialisierten Dienstleistern über standardisierte Schnittstellen.
Unser Prüfungsvorgehen
- Prüfungsstrategie
Abstimmung von Prüfungsart (Prüfung der Anbietererklärung oder direkte Prüfung) und Prüfungsumfang (Angemessenheit, Wirksamkeit) auf das individuelle Risikoprofil.
- Verständnis des Kontrollumfelds
Beurteilung von Systembeschreibung, IKS und ISMS des Anbieters als Grundlage der risikoorientierten Prüfungsplanung.
- Prüfungshandlungen
Einsichtnahme in Richtlinien und Prozessbeschreibungen, Interviews mit Schlüsselpersonen, Stichproben protokollierter Vorgänge, Review von Logdaten und technischen Nachweisen.
- Subdienstleister
Berücksichtigung eingebundener Dritter in Prüfungsumfang und Feststellungen.
- Dokumentation und Bericht
Nachvollziehbare Dokumentation sämtlicher Feststellungen und ein Prüfungsbericht, der auch aufsichtsrechtlichen Anforderungen standhält. Bei direkten Prüfungen legen wir Ziele, Maßnahmen und Kontrollen individuell mit dem Auftraggeber fest und weisen bei Hyperscalern auf eingeschränkte Prüfungsrechte hin.
Erfolgsfaktoren und typische Stolpersteine
Erfolgsfaktoren
- Governance über hybride und Multi-Cloud-Architekturen hinweg einheitlich festlegen und regelmäßig an neue Produktzyklen anpassen.
- Exit-Strategien frühzeitig vertraglich sichern, bevor die Abhängigkeit vom Anbieter zunimmt.
- Nachvollziehbarkeit von Datenspeicherung und -verarbeitung trotz Lastverteilung und Skalierung sicherstellen.
- Subdienstleister des Cloud-Anbieters systematisch in Risikoanalyse und Überwachung einbeziehen.
Stolpersteine
- Fehlkonfigurierte Speicherdienste, zu weit gefasste API-Rechte und ungeschützte Administrationsschnittstellen als häufigste Ursache für Sicherheitsvorfälle.
- Vendor-Lock-in durch proprietäre Schnittstellen und Datenformate, der einen Anbieterwechsel praktisch unmöglich macht.
- Verträge ohne die regulatorischen Mindestinhalte, insbesondere Prüfungs- und Kündigungsrechte.
- Nutzungsabhängige Abrechnungsmodelle ohne aktive wirtschaftliche Steuerung über den Lebenszyklus.
Häufige Fragen zu Cloud-Prüfungen
Cloud-Compliance sicherstellen
Sie setzen Cloud-Dienste ein oder planen eine Cloud-Migration? Wir unterstützen Sie bei der regulatorischen Bewertung und Prüfung.
Jetzt unverbindlich sprechen