AM-09 Klassifizierung und Kennzeichnung von Assets
Geändert gegenüber C5:2020 · vorher AM-06
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Added requirement regarding the review of classification levels.
Added requirement regarding the alignment of protection objectives with delivery and recovery objectives.
Zusatzkriterium
Added additional requirement regarding physical devices being used for connection authentication.
Added additional requirement regarding device identifaction being integrated into labeling.
Removed requirement regarding the precedence of of events affecting assets with a higher level of protection.
Wortlaut in C5:2020
Basiskriterium
Assets are classified and, if possible, labelled. Classification and labelling of an asset reflects the protection needs of the information it processes, stores, or transmits.
The need for protection is determined by the individuals or groups responsible for the assets of the Cloud Service Provider according to a uniform schema. The schema provides levels of protection for the confidentiality, integrity, availability, and authenticity protection objectives.
Zusatzkriterium
Logging and monitoring applications take the asset protection needs into account in order to inform the responsible stakeholder of events that could lead to a violation of the protection goals, so that the necessary measures are taken with an appropriate priority. Actions for events on assets with a higher level of protection take precedence over events on assets with a lower need for protection.
Basiskriterium
Assets werden klassifiziert und, falls möglich, gekennzeichnet. Klassifizierung und Kennzeichnung eines Assets entsprechen dem Schutzbedarf der Kategorie von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten, die es verarbeitet, speichert oder übermittelt.
Klassifizierungsstufen werden mindestens jährlich und bei wesentlichen Änderungen am Cloud-Dienst überprüft. Auf der Grundlage der Überprüfung werden die Klassifizierungsstufen gegebenenfalls aktualisiert.
Ergänzende Information
Ergänzende Information
Wenn eine Überprüfung durch wesentliche Änderungen am Cloud-Dienst ausgelöst wird, müssen nur die von den Änderungen betroffenen Klassifizierungsstufen in die Überprüfung einbezogen werden.
Der Schutzbedarf wird durch die für Assets zuständigen Personen oder Gruppen des Cloud-Anbieters nach einem einheitlichen und dokumentierten Klassifizierungsschema ermittelt.
Das Klassifizierungsschema sieht Sicherheitsniveaus für die Schutzziele Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität vor. Diese Schutzziele sind auf Liefer- und Wiederherstellungsziele abgestimmt, die in Geschäftsfortführungs- und Wiederherstellungsplänen festgelegt sind.
Zusatzkriterium
AM-09.01AC
Zusatz, erweiterndDie eindeutige Identifizierung physischer Geräte dient als zusätzliche Methode für die Verbindungsauthentifizierung.
Ergänzende Information
Um sicherzustellen, dass alle physischen Assets eindeutig identifiziert werden, kann der Cloud-Anbieter Praktiken implementieren wie:
- die Nutzung einer zentralisierten Geräteverwaltungsplattform zur Überwachung und Steuerung aller Geräte;
- die Zuweisung eindeutiger Identifikatoren (z. B. MAC-Adressen, Seriennummern) zu allen Geräten; und
- die Nutzung automatisierter Mechanismen zur Registrierung verbundener Geräte.
AM-09.02AC
Zusatz, erweiterndDie Geräteidentifizierung ist in die Prozesse der Asset-Klassifizierung und -Kennzeichnung integriert.
Ergänzende Information
Die Integration der Geräteidentifizierung stellt sicher, dass jedes Asset eindeutig erkannt und auf der Grundlage seines Schutzbedarfs angemessen klassifiziert wird. Dies ist besonders wichtig für mobile Geräte und Endgeräte, die sensible Daten enthalten oder als Zugangspunkte zu Cloud-Diensten dienen können. Eine ordnungsgemäße Kennzeichnung unterstützt die Rückverfolgbarkeit, die Risikobeurteilung und die Durchsetzung von Sicherheitskontrollen über den gesamten Asset-Lebenszyklus hinweg.
AM-09.03AC
Zusatz, erweiterndAnwendungen zur Protokollierung und Überwachung berücksichtigen den Schutzbedarf der Assets, um bei Ereignissen, die zu einer Verletzung der Schutzziele führen können, das dafür zuständige Personal so zu informieren, dass erforderliche Maßnahmen mit einer geeigneten Priorität eingeleitet werden.
AM-09.04AC
Zusatz, erweiterndMaßnahmen für Ereignisse bei Assets mit einem erhöhten Schutzbedarf haben Priorität vor Ereignissen bei Assets mit einem geringeren Schutzbedarf.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass der Schutzbedarf der Informationen, die mit dem Cloud-Dienst verarbeitet oder gespeichert werden können, angemessen bestimmt wird.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass der Schutzbedarf der Informationen, die mit dem Cloud-Dienst verarbeitet oder gespeichert werden dürfen, angemessen ermittelt wird.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die mit dem Cloud-Dienst verarbeiteten oder gespeicherten Informationen gemäß ihrem Schutzbedarf vor Manipulieren, Kopieren, Modifizieren, Umleiten oder Löschen geschützt sind.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen