# AM-05 Richtlinie für die ordnungsgemäße und sichere Nutzung von Assets

- Bereich: AM – Asset Management
- Gegenüber C5:2020: geändert (vorher AM-02)
- Webseite: https://c5.patrickscheid.de/am-05/

## Basiskriterium

### AM-05.01B

Richtlinien und Verfahren für die ordnungsgemäße und sichere Nutzung mit Assets sind gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt und adressieren folgende Aspekte im Lebenszyklus von Assets, soweit diese für das Asset anwendbar sind:

1. Genehmigungsverfahren für Anschaffung, Inbetriebnahme, Instandhaltung, Außerbetriebnahme und Entsorgung durch autorisiertes Personal oder Systemkomponenten;
2. Klassifizierung und Kennzeichnung auf Basis des Schutzbedarfs der Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten sowie Maßnahmen zur ermittelten Sicherheitsniveau;
3. Sichere Konfiguration der Mechanismen für Fehlerbehandlung, Protokollierung, Verschlüsselung, Authentisierung und Autorisierung;
4. Anforderungen an Software- und Image-Versionen sowie Anwendung von Patches;
5. Umgang mit Software für die kein Support und keine Sicherheitsaktualisierungen mehr verfügbar sind;
6. Einschränkung von Software-Installationen oder Nutzung von Diensten;
7. Schutz vor Schadsoftware;
8. Remote-Deaktivierung, -Löschung oder -Sperrung;
9. Physische Übergabe und Transport;
10. Umgang mit Störungen und Schwachstellen;
11. Löschung von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten; und
12. Sichere Handhabung und Nutzung von Wechselmedien, z. B. durch Festlegung, welche Geräte mit Wechselmedien interagieren dürfen und welche Daten auf ihnen gespeichert werden können, oder durch Verbot der Wiederverwendung von Wechselmedien.

### AM-05.02B

Die Anwendbarkeit dieser Aspekte wird auf der Grundlage des Rahmenwerks für Asset Management des Cloud-Anbieters definiert (vgl. AM-01).

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Specified which data types the criterion applies to.

Removed inventory from the aspects to be addressed by the policies and instructions, and instead added secure handling and usage of removable media.

Modify requirement that complete and irrecoverable deletion is to be addressed by the policies and instructions to requiring that the deletion is adressed.

Bullet points are now sorted to ease discussions about specific list items.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.