CRY · Kryptographie und Schlüsselmanagement
CRY-03 Überprüfung kryptographischer Verfahren
Neu in C5:2026
Basiskriterium
Der Cloud-Anbieter stellt sicher, dass Verschlüsselungs-, Authentisierungs- und Schlüsselmanagementverfahrenn gemäß COM-02 und COM-03 regelmäßig auditiert werden, um potenzielle Schwachstellen zu identifizieren und zu beheben. Mindestens werden Überprüfungen jährlich und unmittelbar nach Sicherheitsvorfällen durchgeführt, an denen kryptographische Komponenten beteiligt sind.
Im Rahmen der Überprüfungen stellt der Cloud-Anbieter fest, ob die kryptographischen Verfahren mit dem Stand der Technik übereinstimmen, und aktualisiert sie bei Bedarf.
Ergänzende Information
Der Cloud-Anbieter sollte den kryptographischen Änderungsmanagementprozess (vgl. CRY-02) anwenden, wenn er die kryptographischen Verfahren aktualisiert, um sie an den Stand der Technik anzupassen.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen