# AM-07 Außerbetriebnahme von Hardware

- Bereich: AM – Asset Management
- Gegenüber C5:2020: geändert (vorher AM-04)
- Webseite: https://c5.patrickscheid.de/am-07/

**Ergänzende Information:**

Dieses Kriterium ist nicht anwendbar auf Hardware-Komponenten, die keine Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten oder Kontodaten speichern (z. B. Monitore, Router oder Tastaturen).

## Basiskriterium

### AM-07.01B

Der Cloud-Anbieter definiert, dokumentiert und implementiert ein Verfahren für die Außerbetriebnahme von Hardware, die verwendet wird, um Systemkomponenten zu betreiben, die die Produktionsumgebung des Cloud-Dienstes unterstützen und in der Verantwortung des Cloud-Anbieters liegen. Im Rahmen dieses Verfahrens ist eine Genehmigung durch autorisiertes Personal des Cloud-Anbieters auf der Grundlage der anwendbaren Richtlinien erforderlich.

**Ergänzende Information:**

Das Verfahren zur Außerbetriebnahme umfasst typischerweise:

1. die Verifizierung, dass das Asset für den operativen Einsatz nicht mehr benötigt wird;
2. die Bewertung zugehöriger Risiken und Abhängigkeiten;
3. die Genehmigung durch autorisiertes Personal auf der Grundlage interner Richtlinien;
4. die Durchführung sicherer Datenlöschungs- oder Bereinigungsprozesse;
5. die Aktualisierung des Asset-Inventars, um den Status der Außerbetriebnahme widerzuspiegeln; und
6. die Entsorgung oder Umwidmung der Hardware in Übereinstimmung mit Umwelt- und Sicherheitsrichtlinien.

### AM-07.02B

Die Außerbetriebnahme umfasst entweder:

1. Die vollständige und unwiderrufliche Löschung aller Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten; oder
2. Die ordnungsgemäße Vernichtung der Datenträger.

Kontodaten müssen zumindest in Fällen gelöscht werden, in denen sich die Daten in der Produktionsumgebung für den Betrieb von Systemkomponenten befinden.

**Ergänzende Information (zu 02B, 01AC):**

Die Löschung von Daten bzw. physische Vernichtung von Datenträgern kann z. B. gemäß DIN 66399 oder BSI IT-Grundschutz-Baustein CON.6 erfolgen

## Zusatzkriterium

### AM-07.01AS (Zusatz, verschärft 01B)

Der Cloud-Anbieter definiert, dokumentiert und implementiert ein Verfahren für die Außerbetriebnahme von Hardware, die verwendet wird, um Systemkomponenten zu betreiben, die die Produktions-, Entwicklungs-, Test- oder Staging-Umgebung des Cloud-Dienstes unterstützen und in der Verantwortung des Cloud-Anbieters liegen. Im Rahmen dieses Verfahrens ist eine Genehmigung durch autorisiertes Personal des Cloud-Anbieters auf der Grundlage der anwendbaren Richtlinien erforderlich.

### AM-07.01AC (Zusatz, erweiternd)

Die Vernichtung von Daten auf Hardware-Komponenten erfolgt in einer solchen Weise, dass eine Datenwiederherstellung als unmöglich angesehen werden kann.

**Ergänzende Information:**

Dieser Genehmigungsprozess stellt sicher, dass außerhalb des Standorts durchgeführte Entsorgungsaktivitäten den Sicherheits-, Compliance- und Umweltrichtlinien der Organisation entsprechen. Er umfasst typischerweise:

1. die Verifizierung von Asset-Eigentum und Nutzungshistorie;
2. die Bewertung der Anforderungen an die Datenbereinigung;
3. die Auswahl genehmigter Entsorgungsdienstleister oder -methoden;
4. die Dokumentation der Entsorgungsmaßnahmen und Genehmigungen; und
5. die Bestätigung der sicheren Datenlöschung oder Vernichtung des Datenträgers.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Specified which data types the criterion applies to.

Slight linguistic adaptations, and restructured options for decommissioning as a list.

Further specified application of the criterion to account data.

**Zusatzkriterium:**

Additional criterion newly included.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.