DEV · Beschaffung, Entwicklung und Änderung von Informationssystemen
DEV-02 Auslagerung der Entwicklung
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Extended requirement for security in software development by the demand that the security level of the external development should be equivalent to that of internal development.
Added requirement to perform a risk assessment before outsourcing of development, as well as aspects to be considered for the risk assessment.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
Additional criterion newly included.
Wortlaut in C5:2020
Basiskriterium
In the case of outsourced development of the cloud service (or individual system components), specifications regarding the following aspects are contractually agreed between the Cloud Service Provider and the outsourced development contractor:
- Security in software development (requirements, design, implementation, tests and verifications) in accordance with recognised standards and methods;
- Acceptance testing of the quality of the services provided in accordance with the agreed functional and non-functional requirements; and
- Providing evidence that sufficient verifications have been carried out to rule out the existence of known vulnerabilities.
Basiskriterium
Im Fall der ausgelagerten Entwicklung des Cloud-Dienstes (oder einzelner Systemkomponenten) werden Spezifikationen zu den folgenden Aspekten zwischen dem Cloud-Anbieter und der Service-Organisation vertraglich vereinbart:
- Sicherheit in der Softwareentwicklung (Anforderungen, Design, Implementierung, Tests und Überprüfungen) gemäß anerkannten Standards und Methoden, wobei ein Sicherheitsniveau sichergestellt wird, das dem der internen Entwicklung des Cloud-Anbieters gleichwertig ist;
- Abnahmeprüfung der Qualität der erbrachten Leistungen gemäß den vereinbarten funktionalen und nicht-funktionalen Anforderungen; und
- Vorlage von Nachweisen, dass ausreichende Überprüfungen durchgeführt wurden, um das Vorhandensein bekannter Schwachstellen auszuschließen.
Ergänzende Information
Gilt auch für 02B
Ausgelagerte Entwicklung im Sinne des Basiskriteriums bezieht sich auf die Entwicklung von Systemkomponenten, die dediziert für den Cloud-Dienst verwendet werden, durch eine Service-Organisation des Cloud-Anbieters. Die Entwicklung erfolgt nach den Prozessen der Service-Organisation.
Die Risiken, die entstehen könnten und berücksichtigt werden sollten, können, müssen aber nicht, die folgenden umfassen:
- Risiken, die daraus resultieren können, dass die Service-Organisation den Quellcode ohne angemessene Kontrollen verwaltet, einschließlich unbefugter Änderungen, unzureichender Versionskontrolle oder unzureichenden Schutzes vor Verlust oder Diebstahl geistigen Eigentums;
- Risiken, die daraus resultieren können, dass die Service-Organisation dem Cloud-Anbieter oder Drittprüfern Zugang zum Quellcode gewährt, einschließlich unbefugter Offenlegung, Verlust der Vertraulichkeit oder unzureichender Kontrollen darüber, wie ein solcher Zugang verwaltet und beschränkt wird;
- Risiken, die aus unzureichender Personalüberprüfung, unzureichenden Hintergrundprüfungen, mangelnder Schulung zum Sicherheitsbewusstsein oder hoher Personalfluktuation innerhalb der Service-Organisation resultieren können, einschließlich Insider-Bedrohungen oder unkontrolliertem Verlust sensiblen Wissens;
- Risiken, die daraus resultieren können, dass der Service-Organisation Zugang zu internen Entwicklungs-, Test- oder Vorproduktionsumgebungen gewährt wird, einschließlich übermäßiger Berechtigungen, unzureichender Zugriffskontrollen oder unzureichender Protokollierung und Überwachung eines solchen Zugangs; und
- Risiken, die daraus resultieren können, dass die Service-Organisation Teile der Leistung ohne angemessene Sicherheitskontrollen an Unterauftragnehmer vergibt, einschließlich unzureichender vertraglicher Sicherheitsanforderungen an Unterauftragnehmer oder mangelnder Transparenz hinsichtlich der Zusammensetzung der Lieferkette.
Der Erwerb von auf dem Markt verfügbarer Software sowie die Integration externen Personals in die Prozesse des Cloud-Anbieters stellen keine Auslagerung im Sinne dieses Basiskriteriums dar.
Bevor die Entwicklung des Cloud-Dienstes oder von dessen Komponenten ausgelagert wird, führt der Cloud-Anbieter eine Risikobeurteilung gemäß mindestens die folgenden Aspekte berücksichtigt:
- Verwaltung des Quellcodes durch die Service-Organisation;
- Zugänglichkeit des Quellcodes für den Cloud-Anbieter;
- Von der Service-Organisation implementierte Personalverfahren;
- Erforderlicher Zugang zu den Entwicklungs-, Test- und Vorproduktionsumgebungen des Cloud-Anbieters; und
- Management von Unterauftragnehmern, die von der Service-Organisation eingesetzt werden.
Ergänzende Information
Gilt auch für 01B
Ausgelagerte Entwicklung im Sinne des Basiskriteriums bezieht sich auf die Entwicklung von Systemkomponenten, die dediziert für den Cloud-Dienst verwendet werden, durch eine Service-Organisation des Cloud-Anbieters. Die Entwicklung erfolgt nach den Prozessen der Service-Organisation.
Die Risiken, die entstehen könnten und berücksichtigt werden sollten, können, müssen aber nicht, die folgenden umfassen:
- Risiken, die daraus resultieren können, dass die Service-Organisation den Quellcode ohne angemessene Kontrollen verwaltet, einschließlich unbefugter Änderungen, unzureichender Versionskontrolle oder unzureichenden Schutzes vor Verlust oder Diebstahl geistigen Eigentums;
- Risiken, die daraus resultieren können, dass die Service-Organisation dem Cloud-Anbieter oder Drittprüfern Zugang zum Quellcode gewährt, einschließlich unbefugter Offenlegung, Verlust der Vertraulichkeit oder unzureichender Kontrollen darüber, wie ein solcher Zugang verwaltet und beschränkt wird;
- Risiken, die aus unzureichender Personalüberprüfung, unzureichenden Hintergrundprüfungen, mangelnder Schulung zum Sicherheitsbewusstsein oder hoher Personalfluktuation innerhalb der Service-Organisation resultieren können, einschließlich Insider-Bedrohungen oder unkontrolliertem Verlust sensiblen Wissens;
- Risiken, die daraus resultieren können, dass der Service-Organisation Zugang zu internen Entwicklungs-, Test- oder Vorproduktionsumgebungen gewährt wird, einschließlich übermäßiger Berechtigungen, unzureichender Zugriffskontrollen oder unzureichender Protokollierung und Überwachung eines solchen Zugangs; und
- Risiken, die daraus resultieren können, dass die Service-Organisation Teile der Leistung ohne angemessene Sicherheitskontrollen an Unterauftragnehmer vergibt, einschließlich unzureichender vertraglicher Sicherheitsanforderungen an Unterauftragnehmer oder mangelnder Transparenz hinsichtlich der Zusammensetzung der Lieferkette.
Der Erwerb von auf dem Markt verfügbarer Software sowie die Integration externen Personals in die Prozesse des Cloud-Anbieters stellen keine Auslagerung im Sinne dieses Basiskriteriums dar.
Zusatzkriterium
DEV-02.01AC
Zusatz, erweiterndDer Cloud-Anbieter dokumentiert und implementiert ein Verfahren, das die Aufsicht und Kontrolle der ausgelagerten Entwicklungstätigkeit ermöglicht, um sicherzustellen, dass sie der Richtlinie des Cloud-Anbieters für sichere Entwicklung entspricht und dass das dadurch erreichte Sicherheitsniveau dem durch interne Entwicklung erreichten Sicherheitsniveau entspricht.
DEV-02.02AC
Zusatz, erweiterndWenn eine Änderung Arbeiten aus ausgelagerter Entwicklung enthält, führt das Personal des Cloud-Anbieters die Tests durch, die benötigt werden, um zu entscheiden, ob die Änderung bereitgestellt werden kann.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen