# CRY-18 Nutzung externer Schlüsselmanagementsysteme

- Bereich: CRY – Kryptographie und Schlüsselmanagement
- Gegenüber C5:2020: neu in C5:2026
- Webseite: https://c5.patrickscheid.de/cry-18/

## Basiskriterium

### CRY-18.01B

Für den Fall, dass externe Schlüsselmanagementsysteme (KMS) als Option im Cloud-Dienst vorgesehen sind, stellt der Cloud-Anbieter sicher, dass Verfahren und technische Sicherheitsmaßnahmen für die Nutzung externer KMS eingerichtet sind. Dabei werden die folgenden Aspekte berücksichtigt:

1. Die externen KMS verfügen über anerkannte Sicherheitszertifizierungen, die den Stand der Technik widerspiegeln, um rechtliche, regulatorische und vertragliche Anforderungen einzuhalten;
2. Die Integration der externen KMS in die Cloud-Infrastruktur ist sicher, um die Vertraulichkeit, Integrität und Verfügbarkeit der Schlüssel zu gewährleisten;
3. Strenge Zugriffskontrollen werden umgesetzt, um sicherzustellen, dass nur autorisierte Nutzer und Systeme Zugriff auf die Schlüssel haben (vgl. IAM-01);
4. Verfahren für die regelmäßige Rotation und Erneuerung von Schlüsseln werden definiert und umgesetzt, um die Sicherheit der Schlüssel zu gewährleisten (vgl. CRY-07);
5. Alle Zugriffe und Operationen auf die externen KMS werden protokolliert und überwacht, um verdächtige Aktivitäten zu erkennen und darauf zu reagieren; und
6. Der Cloud-Anbieter stellt sicher, dass die externen KMS regelmäßig auf Schwachstellen geprüft (vgl. OPS-25) und aktualisiert (vgl. OPS-28) werden, um aktuellen Bedrohungen und technologischen Entwicklungen zu begegnen.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen sicher, dass ihre eigenen Schlüsselmanagementverfahren mit den Anforderungen des externen KMS kompatibel sind und dass sie geeignete Kontrollen umsetzen, um die Sicherheit ihrer Schlüssel zu gewährleisten.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.