AM-05 Richtlinie für die ordnungsgemäße und sichere Nutzung von Assets
Geändert gegenüber C5:2020 · vorher AM-02
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Removed inventory from the aspects to be addressed by the policies and instructions, and instead added secure handling and usage of removable media.
Modify requirement that complete and irrecoverable deletion is to be addressed by the policies and instructions to requiring that the deletion is adressed.
Bullet points are now sorted to ease discussions about specific list items.
Wortlaut in C5:2020
Basiskriterium
Policies and instructions for acceptable use and safe handling of assets are documented, communicated and provided in accordance with SP-01 and address the following aspects of the asset lifecycle as applicable to the asset:
- Approval procedures for acquisition, commissioning, maintenance, decommissioning, and disposal by authorised personnel or system components;
- Inventory;
- Classification and labelling based on the need for protection of the information and measures for the level of protection identified;
- Secure configuration of mechanisms for error handling, logging, encryption, authentication and authorisation;
- Requirements for versions of software and images as well as application of patches;
- Handling of software for which support and security patches are not available anymore;
- Restriction of software installations or use of services;
- Protection against malware;
- Remote deactivation, deletion or blocking;
- Physical delivery and transport;
- dealing with incidents and vulnerabilities; and
- Complete and irrevocable deletion of the data upon decommissioning.
Basiskriterium
Richtlinien und Verfahren für die ordnungsgemäße und sichere Nutzung mit Assets sind gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt und adressieren folgende Aspekte im Lebenszyklus von Assets, soweit diese für das Asset anwendbar sind:
- Genehmigungsverfahren für Anschaffung, Inbetriebnahme, Instandhaltung, Außerbetriebnahme und Entsorgung durch autorisiertes Personal oder Systemkomponenten;
- Klassifizierung und Kennzeichnung auf Basis des Schutzbedarfs der Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten sowie Maßnahmen zur ermittelten Sicherheitsniveau;
- Sichere Konfiguration der Mechanismen für Fehlerbehandlung, Protokollierung, Verschlüsselung, Authentisierung und Autorisierung;
- Anforderungen an Software- und Image-Versionen sowie Anwendung von Patches;
- Umgang mit Software für die kein Support und keine Sicherheitsaktualisierungen mehr verfügbar sind;
- Einschränkung von Software-Installationen oder Nutzung von Diensten;
- Schutz vor Schadsoftware;
- Remote-Deaktivierung, -Löschung oder -Sperrung;
- Physische Übergabe und Transport;
- Umgang mit Störungen und Schwachstellen;
- Löschung von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten; und
- Sichere Handhabung und Nutzung von Wechselmedien, z. B. durch Festlegung, welche Geräte mit Wechselmedien interagieren dürfen und welche Daten auf ihnen gespeichert werden können, oder durch Verbot der Wiederverwendung von Wechselmedien.
Die Anwendbarkeit dieser Aspekte wird auf der Grundlage des Rahmenwerks für Asset Management des Cloud-Anbieters definiert (vgl. AM-01).
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen