# CRY-02 Kryptographisches Änderungsmanagement

- Bereich: CRY – Kryptographie und Schlüsselmanagement
- Gegenüber C5:2020: neu in C5:2026
- Webseite: https://c5.patrickscheid.de/cry-02/

## Basiskriterium

### CRY-02.01B

Bei der Umsetzung von Änderungen an kryptographischen Systemen führt der Cloud-Anbieter eine Bewertung ihrer potenziellen Auswirkungen gemäß DEV-06 durch. Dieser Prozess umfasst eine Analyse der Cloud-Infrastruktur des Cloud-Dienstes sowie eine Analyse potenzieller Störungen von vom Cloud-Kunden verwalteten Workloads und die Bewertung von Restrisiken, Kostenauswirkungen und Integrationsvorteilen. Der Cloud-Anbieter informiert Cloud-Kunden über diese nachgelagerten Auswirkungen, um unvorhergesehene Ausfälle innerhalb der spezifischen kryptographischen Implementierungen des Cloud-Kunden zu verhindern.

**Ergänzende Information:**

Bei der Bewertung der potenziellen Auswirkungen von Änderungen sollte der Cloud-Anbieter die Komplexität der verteilten Architektur seines Cloud-Dienstes berücksichtigen.

### CRY-02.02B

Alle Änderungen und Anpassungen an kryptographischen Systemen sind dokumentiert und nachvollziehbar.

### CRY-02.03B

Das für kryptographische Systeme verantwortliche Personal wird regelmäßig geschult und über entsprechende Änderungen informiert.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie, falls sie vom Cloud-Anbieter über Änderungen an kryptographischen Systemen informiert werden, sich aktiv an einer gründlichen Bewertung der potenziellen Auswirkungen auf ihre Nutzung des Cloud-Dienstes beteiligen.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.