# AM-09 Klassifizierung und Kennzeichnung von Assets

- Bereich: AM – Asset Management
- Gegenüber C5:2020: geändert (vorher AM-06)
- Webseite: https://c5.patrickscheid.de/am-09/

## Basiskriterium

### AM-09.01B

Assets werden klassifiziert und, falls möglich, gekennzeichnet. Klassifizierung und Kennzeichnung eines Assets entsprechen dem Schutzbedarf der Kategorie von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten, die es verarbeitet, speichert oder übermittelt.

**Ergänzende Information (zu 01B, 02B, 03B, 04B):**

Sofern der Cloud-Anbieter keine spezifische Klassifizierung der Assets vornimmt, können alle Assets so behandelt werden, als würden sie das höchste Sicherheitsniveau erfordern.

### AM-09.02B

Klassifizierungsstufen werden mindestens jährlich und bei wesentlichen Änderungen am Cloud-Dienst überprüft. Auf der Grundlage der Überprüfung werden die Klassifizierungsstufen gegebenenfalls aktualisiert.

**Ergänzende Information:**

Wenn eine Überprüfung durch wesentliche Änderungen am Cloud-Dienst ausgelöst wird, müssen nur die von den Änderungen betroffenen Klassifizierungsstufen in die Überprüfung einbezogen werden.

### AM-09.03B

Der Schutzbedarf wird durch die für Assets zuständigen Personen oder Gruppen des Cloud-Anbieters nach einem einheitlichen und dokumentierten Klassifizierungsschema ermittelt.

### AM-09.04B

Das Klassifizierungsschema sieht Sicherheitsniveaus für die Schutzziele Vertraulichkeit, Integrität, Verfügbarkeit und Authentizität vor. Diese Schutzziele sind auf Liefer- und Wiederherstellungsziele abgestimmt, die in Geschäftsfortführungs- und Wiederherstellungsplänen festgelegt sind.

## Zusatzkriterium

### AM-09.01AC (Zusatz, erweiternd)

Die eindeutige Identifizierung physischer Geräte dient als zusätzliche Methode für die Verbindungsauthentifizierung.

**Ergänzende Information:**

Um sicherzustellen, dass alle physischen Assets eindeutig identifiziert werden, kann der Cloud-Anbieter Praktiken implementieren wie:

1. die Nutzung einer zentralisierten Geräteverwaltungsplattform zur Überwachung und Steuerung aller Geräte;
2. die Zuweisung eindeutiger Identifikatoren (z. B. MAC-Adressen, Seriennummern) zu allen Geräten; und
3. die Nutzung automatisierter Mechanismen zur Registrierung verbundener Geräte.

### AM-09.02AC (Zusatz, erweiternd)

Die Geräteidentifizierung ist in die Prozesse der Asset-Klassifizierung und -Kennzeichnung integriert.

**Ergänzende Information:**

Die Integration der Geräteidentifizierung stellt sicher, dass jedes Asset eindeutig erkannt und auf der Grundlage seines Schutzbedarfs angemessen klassifiziert wird. Dies ist besonders wichtig für mobile Geräte und Endgeräte, die sensible Daten enthalten oder als Zugangspunkte zu Cloud-Diensten dienen können. Eine ordnungsgemäße Kennzeichnung unterstützt die Rückverfolgbarkeit, die Risikobeurteilung und die Durchsetzung von Sicherheitskontrollen über den gesamten Asset-Lebenszyklus hinweg.

### AM-09.03AC (Zusatz, erweiternd)

Anwendungen zur Protokollierung und Überwachung berücksichtigen den Schutzbedarf der Assets, um bei Ereignissen, die zu einer Verletzung der Schutzziele führen können, das dafür zuständige Personal so zu informieren, dass erforderliche Maßnahmen mit einer geeigneten Priorität eingeleitet werden.

### AM-09.04AC (Zusatz, erweiternd)

Maßnahmen für Ereignisse bei Assets mit einem erhöhten Schutzbedarf haben Priorität vor Ereignissen bei Assets mit einem geringeren Schutzbedarf.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass der Schutzbedarf der Informationen, die mit dem Cloud-Dienst verarbeitet oder gespeichert werden können, angemessen bestimmt wird.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass der Schutzbedarf der Informationen, die mit dem Cloud-Dienst verarbeitet oder gespeichert werden dürfen, angemessen ermittelt wird.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die mit dem Cloud-Dienst verarbeiteten oder gespeicherten Informationen gemäß ihrem Schutzbedarf vor Manipulieren, Kopieren, Modifizieren, Umleiten oder Löschen geschützt sind.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Specified which data types the criterion applies to.

Added requirement regarding the review of classification levels.

Added requirement regarding the alignment of protection objectives with delivery and recovery objectives.

**Zusatzkriterium:**

Added additional requirement regarding physical devices being used for connection authentication.

Added additional requirement regarding device identifaction being integrated into labeling.

Removed requirement regarding the precedence of of events affecting assets with a higher level of protection.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.