COS · Kommunikationssicherheit
COS-01 Technische Schutzmaßnahmen
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Added requirement to employ defence in depth.
Extended list of relevant network-based attacks by spoofing attacks, code injection attacks, DNS tunneling and IoT attacks.
Linked criterion to OPS-13, the criterion defining the use of a SIEM.
Zusatzkriterium
Removed specific example from additional criterion.
Wortlaut in C5:2020
Basiskriterium
Based on the results of a risk analysis carried out according to OIS-06, the Cloud Service Provider has implemented technical safeguards which are suitable to promptly detect and respond to network-based attacks on the basis of irregular incoming or outgoing traffic patterns and/or Distributed Denial- of-Service (DDoS) attacks. Data from corresponding technical protection measures implemented is fed into a comprehensive SIEM (Security Information and Event Management) system, so that (counter) measures regarding correlating events can be initiated. The safeguards are documented, communicated and provided in accordance with SP-01.
Zusatzkriterium
Technical measures ensure that no unknown (physical or virtual) devices join the Cloud Service Provider's (physical or virtual) network (e.g. MACSec according to IEEE 802.1X:2010).
Basiskriterium
Basierend auf den Ergebnissen einer gemäß OIS-07 durchgeführten Risikobeurteilung hat der Cloud-Anbieter technische Schutzmaßnahmen implementiert, die geeignet sind, netzbasierte Angriffe auf Systemkomponenten, die für die Bereitstellung des Cloud-Dienstes verwendet werden, zeitnah zu erkennen und darauf zu reagieren.
Für diese technischen Schutzmaßnahmen werden auf mehreren Ebenen Präventions- und Schutzmaßnahmen implementiert (Defense in Depth), um das Risiko eines Durchbrechens des eingesetzten Verteidigungssystems zu mindern. Dies schließt netzbasierte Cyberangriffe ein, wie zum Beispiel:
- Angriffe auf Basis anomaler Eingangs- oder Ausgangs-Traffic-Muster;
- Distributed-Denial-of-Service-(DDoS-)Angriffe;
- Spoofing-Angriffe;
- Code-Injection-Angriffe;
- DNS-Tunneling; und
- IoT-Angriffe, die auf Geräte innerhalb eines Netzes abzielen.
Ergänzende Information
Gilt auch für 01AC
Technische Schutzmaßnahmen, die Schutz und Prävention auf mehreren Ebenen bieten, sind z. B. eine spezielle Trennung im Identitäts- und Berechtigungsmanagement, eine separate Protokollierung für Schutzsysteme und Web Application Firewalls (WAFs) für den Zugriff auf Schutzsysteme.
Netzbasierte Angriffe können z. B. durch MAC-Spoofing und ARP-Poisoning-Angriffe erfolgen. Technische Maßnahmen zum Verhindern des Beitretens unbekannter physischer oder virtueller Geräte zu einem physischen oder virtuellen Netz können sich z. B. an MACSec gemäß IEEE 802.1X:2010 orientieren.
Aus entsprechend implementierten technischen Schutzmaßnahmen stammende Daten (Teil der Cloud-Anbieterdaten) werden in das SIEM-System des Cloud-Anbieters (vgl. OPS-13) eingespeist, sodass für miteinander korrelierte Ereignisse erforderliche (Gegen-) Maßnahmen initiiert werden können. Die Schutzmaßnahmen sind gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt.
Zusatzkriterium
COS-01.01AC
Zusatz, erweiterndDer Cloud-Anbieter stellt mit technischen Maßnahmen sicher, dass seinem (physischen oder virtuellen) Netz keine unbekannten (physischen oder virtuellen) Geräte beitreten.
Ergänzende Information
Gilt auch für 02B
Technische Schutzmaßnahmen, die Schutz und Prävention auf mehreren Ebenen bieten, sind z. B. eine spezielle Trennung im Identitäts- und Berechtigungsmanagement, eine separate Protokollierung für Schutzsysteme und Web Application Firewalls (WAFs) für den Zugriff auf Schutzsysteme.
Netzbasierte Angriffe können z. B. durch MAC-Spoofing und ARP-Poisoning-Angriffe erfolgen. Technische Maßnahmen zum Verhindern des Beitretens unbekannter physischer oder virtueller Geräte zu einem physischen oder virtuellen Netz können sich z. B. an MACSec gemäß IEEE 802.1X:2010 orientieren.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen für jene Teile des Cloud-Dienstes, die in ihrem Verantwortungsbereich liegen (z. B. virtuelle Maschinen innerhalb einer IaaS-Lösung), sicher, dass sie netzbasierte Angriffe auf Basis anomaler Eingangs- und Ausgangs-Traffic Muster (z. B. durch MAC-Spoofing und ARP-Poisoning-Angriffe) und/oder Distributed-Denial-of-Service (DDoS) Angriffe zeitnah erkennen und auf diese reagieren.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen