# COS-03 Überwachung von Verbindungen im Netz des Cloud-Anbieters

- Bereich: COS – Kommunikationssicherheit
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/cos-03/

## Basiskriterium

### COS-03.01B

Der Cloud-Anbieter unterscheidet zwischen vertrauenswürdigen und nicht vertrauenswürdigen Netzen. Auf Grundlage einer Risikobeurteilung gemäß OIS-07 werden diese in verschiedene Sicherheitszonen für interne und externe Netzbereiche (und DMZ, falls vorhanden) getrennt.

### COS-03.02B

Physische und virtualisierte Netzumgebungen werden so konzipiert und konfiguriert, dass die hergestellte Verbindung zu vertrauenswürdigen oder nicht vertrauenswürdigen Netzen gemäß den definierten Sicherheitsanforderungen eingeschränkt und überwacht wird (vgl. COS-02).

### COS-03.03B

Der Cloud-Anbieter stellt sicher, dass die Konfiguration der Netze den Sicherheitsanforderungen entspricht (vgl. COS-02). Der Cloud-Anbieter überprüft mindestens jährlich und im Falle wesentlicher Änderungen am Cloud-Dienst den Entwurf und die Umsetzung der Konfiguration der Verbindungen im Hinblick auf die definierten Sicherheitsanforderungen.

**Ergänzende Information (zu 03B, 04B, 05B):**

Die Überprüfung der Sicherheitsanforderungen hängt von den eingerichteten Maßnahmen zur Ausgestaltung der Netze ab und kann z. B. die Überwachung und Durchsicht von Firewall-Regeln oder Protokolldateien auf Auffälligkeiten sowie Sichtprüfungen physischer Netzkomponenten auf Veränderungen umfassen.

**Ergänzende Information:**

Wenn die Überprüfung durch wesentliche Änderungen am Cloud-Dienst verursacht wird, müssen nur der Entwurf und die Umsetzung der Konfiguration der von diesen Änderungen betroffenen Verbindungen in die Überprüfung einbezogen werden.

### COS-03.04B

Identifizierte Schwachstellen und Abweichungen werden gemäß dem Risikomanagementverfahren einer Risikobeurteilung unterzogen (vgl. OIS-07), und Folgemaßnahmen werden definiert und nachverfolgt (vgl. OPS-18).

### COS-03.05B

In festgelegten Abständen wird die geschäftliche Begründung für die Nutzung aller Dienste, Protokolle und Ports überprüft. Die Überprüfung umfasst auch die Begründungen für kompensierende Maßnahmen für die Nutzung von Protokollen, die als unsicher gelten.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die virtuellen Netze innerhalb des Cloud-Dienstes, für die sie verantwortlich sind, gemäß ihren Netzsicherheitsanforderungen konzipiert, konfiguriert und dokumentiert werden (z. B. logische Segmentierung der Organisationseinheiten des Cloud-Kunden).

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Rephrased the requirement for assessing the configuration of the connections. Removed requirement that the assessment is to be risk-oriented. Further added requirement regarding the review of the configutation.

Linked criterion to security requirements for connections in the cloud service provider's network.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.