# CRY-13 Umgang mit kompromittierten Schlüsseln

- Bereich: CRY – Kryptographie und Schlüsselmanagement
- Gegenüber C5:2020: geändert (vorher CRY-04)
- Webseite: https://c5.patrickscheid.de/cry-13/

## Basiskriterium

### CRY-13.01B

Der Cloud-Anbieter steuert die Nutzung kompromittierter kryptographischer Schlüssel, um sicherzustellen, dass sie nur unter kontrollierten Umständen und ausschließlich zur Entschlüsselung oder Verifikation (im Fall von Signaturschlüsseln) verwendet werden, unter Einhaltung rechtlicher  und regulatorischer Anforderungen.

### CRY-13.02B

Der Cloud-Anbieter benachrichtigt betroffene Cloud-Kunden unverzüglich darüber, dass ihre Schlüssel kompromittiert wurden und nicht länger für Verschlüsselung oder Signaturen verwendet werden.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Dissolved the former key management criterion and moved handling of compromised keys into its own criterion with extended requirements.

**Zusatzkriterium:**

Additional criterion removed. Instead, the basic criterion requires that compromised keys should no longer be used (outside of controlled environments).

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.