# AM-01 Rahmenwerk für Asset Management

- Bereich: AM – Asset Management
- Gegenüber C5:2020: neu in C5:2026
- Webseite: https://c5.patrickscheid.de/am-01/

**Ergänzende Information:**

Assets im Sinne dieses Kriterienbereichs sind die für die Informationssicherheit des Cloud-Dienstes während der Erstellung, Verarbeitung, Speicherung, Übermittlung, Löschung oder Vernichtung von Informationen benötigten Objekte im Verantwortungsbereich des Cloud-Anbieters, z. B. Firewalls, Loadbalancer, Webserver, Anwendungsserver und Datenbankserver.

Diese Objekte bestehen wiederum aus Hardware- und Software-Objekten:

Hardware-Objekte sind:

1. Physische und virtuelle Infrastruktur-Ressourcen (z. B. Server, Speichersysteme, Netzkomponenten); und
2. Endgeräte, soweit der Cloud-Anbieter in einer Risikobeurteilung festgestellt hat, dass diese bei Verlust oder unautorisierten Zugriffen die Informationssicherheit des Cloud-Dienstes gefährden könnten (z. B. Mobilgeräte, die als Security-Token zur Authentifizierung genutzt werden).

Software-Objekte sind z. B. Hypervisor, Container, Betriebssysteme, Datenbanken, Microservices und Programmierschnittstellen (APIs).

Der Lebenszyklus eines Assets umfasst:

1. Anschaffung;
2. Inbetriebnahme;
3. Instandhaltung;
4. Außerbetriebnahme; und
5. Entsorgung.

## Basiskriterium

### AM-01.01B

Ein Rahmenwerk für Asset Management ist gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt, in dem die folgenden Aspekte beschrieben sind:

1. Identifizierung von Assets, die verwendet werden, um den Cloud-Dienst in der Produktionsumgebung bereitzustellen;
2. Definition eines Schemas zur Ermittlung des Schutzbedarfs auf der Grundlage der Informationen, die auf dem Asset verarbeitet, gespeichert oder übertragen werden;
3. Definition von Asset-Typen unter Berücksichtigung mindestens der Unterscheidung zwischen Hardware- und Software-Objekten;
4. Definition von Asset-Lebenszyklen auf der Grundlage des Asset-Typs; und
5. Definition von Verfahren für die Inventarisierung von Hardware- und Software-Assets.

## Zusatzkriterium

### AM-01.01AC (Zusatz, erweiternd)

Die über Assets gesammelten Informationen werden in Logging- und Monitoring-Anwendungen berücksichtigt, um:

1. die Auswirkungen auf Cloud-Dienste und -Funktionen im Falle von Ereignissen zu identifizieren, die zu einer Verletzung der Schutzziele führen könnten; und
2. Informationen zur Unterstützung betroffener Cloud-Kunden gemäß den vertraglichen Vereinbarungen bereitzustellen.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.