AM-08 Verpflichtung zur ordnungsgemäßen Nutzung, sicheren Handhabung und Rückgabe von Assets
Geändert gegenüber C5:2020 · vorher AM-05
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Slight linguistic adaptations.
Added requirements regarding assets that cannot be returned prior to or on the day of the termination of employment.
Zusatzkriterium
Additional criterion removed. Managed endpoints are instead addressed by the additional criterion of AM-12.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider's internal and external employees are provably committed to the policies and instructions for acceptable use and safe handling of assets before they can be used if the Cloud Service Provider has determined in a risk assessment that loss or unauthorised access could compromise the information security of the Cloud Service.
Any assets handed over are provably returned upon termination of employment.
Zusatzkriterium
Physical assets of internal and external employees are managed centrally.
Central management enables software, data, and policy distribution, as well as remote deactivation, deletion, or locking.
Ergänzende Information zu allen Unterkriterien
Das Kriterium betrifft im Wesentlichen Mobilgeräte (z. B. Notebooks, Tablets, Smartphones, FIDO2-Sicherheitsschlüssel etc.), insbesondere, wenn auf diesen Geräten vertrauliche Informationen gespeichert sind, die bei unautorisierten Zugriffen dazu genutzt werden können, privilegierten Zugriff auf den Cloud-Dienst zu erhalten (z. B. wenn diese als Security-Token zur Authentifizierung genutzt werden).
Basiskriterium
Der Cloud-Anbieter stellt in einer Risikobeurteilung (vgl. OIS-07) fest, ob der Verlust von oder unautorisierte Zugriffe auf Assets die Informationssicherheit des Cloud-Dienstes gefährden könnten. Falls dies der Fall ist, wird das interne und externe Personal des Cloud-Anbieters nachweislich auf die Richtlinien und Verfahren für die ordnungsgemäße Nutzung und sichere Handhabung von Assets verpflichtet, bevor diese verwendet werden dürfen.
Ausgehändigte Assets werden bei Beendigung des Beschäftigungsverhältnisses nachweislich zurückgegeben.
Wenn Assets nicht vor oder am Tag der Beendigung zurückgegeben werden können, entfernt der Cloud-Anbieter die Zugriffsrechte des Personals spätestens zum Datum der Beendigung des Beschäftigungsverhältnisses.
Ergänzende Information
Die Entfernung der Zugriffsrechte von ausgeschiedenem Personal kann z. B. umgesetzt werden, indem die Identität des jeweiligen Personals auf dem Gerät deaktiviert wird.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen