# DEV-02 Auslagerung der Entwicklung

- Bereich: DEV – Beschaffung, Entwicklung und Änderung von Informationssystemen
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/dev-02/

## Basiskriterium

### DEV-02.01B

Im Fall der ausgelagerten Entwicklung des Cloud-Dienstes (oder einzelner Systemkomponenten) werden Spezifikationen zu den folgenden Aspekten zwischen dem Cloud-Anbieter und der Service-Organisation vertraglich vereinbart:

1. Sicherheit in der Softwareentwicklung (Anforderungen, Design, Implementierung, Tests und Überprüfungen) gemäß anerkannten Standards und Methoden, wobei ein Sicherheitsniveau sichergestellt wird, das dem der internen Entwicklung des Cloud-Anbieters gleichwertig ist;
2. Abnahmeprüfung der Qualität der erbrachten Leistungen gemäß den vereinbarten funktionalen und nicht-funktionalen Anforderungen; und
3. Vorlage von Nachweisen, dass ausreichende Überprüfungen durchgeführt wurden, um das Vorhandensein bekannter Schwachstellen auszuschließen.

**Ergänzende Information (zu 01B, 02B):**

Ausgelagerte Entwicklung im Sinne des Basiskriteriums bezieht sich auf die Entwicklung von Systemkomponenten, die dediziert für den Cloud-Dienst verwendet werden, durch eine Service-Organisation des Cloud-Anbieters. Die Entwicklung erfolgt nach den Prozessen der Service-Organisation.

Die Risiken, die entstehen könnten und berücksichtigt werden sollten, können, müssen aber nicht, die folgenden umfassen:

1. Risiken, die daraus resultieren können, dass die Service-Organisation den Quellcode ohne angemessene Kontrollen verwaltet, einschließlich unbefugter Änderungen, unzureichender Versionskontrolle oder unzureichenden Schutzes vor Verlust oder Diebstahl geistigen Eigentums;
2. Risiken, die daraus resultieren können, dass die Service-Organisation dem Cloud-Anbieter oder Drittprüfern Zugang zum Quellcode gewährt, einschließlich unbefugter Offenlegung, Verlust der Vertraulichkeit oder unzureichender Kontrollen darüber, wie ein solcher Zugang verwaltet und beschränkt wird;
3. Risiken, die aus unzureichender Personalüberprüfung, unzureichenden Hintergrundprüfungen, mangelnder Schulung zum Sicherheitsbewusstsein oder hoher Personalfluktuation innerhalb der Service-Organisation resultieren können, einschließlich Insider-Bedrohungen oder unkontrolliertem Verlust sensiblen Wissens;
4. Risiken, die daraus resultieren können, dass der Service-Organisation Zugang zu internen Entwicklungs-, Test- oder Vorproduktionsumgebungen gewährt wird, einschließlich übermäßiger Berechtigungen, unzureichender Zugriffskontrollen oder unzureichender Protokollierung und Überwachung eines solchen Zugangs; und
5. Risiken, die daraus resultieren können, dass die Service-Organisation Teile der Leistung ohne angemessene Sicherheitskontrollen an Unterauftragnehmer vergibt, einschließlich unzureichender vertraglicher Sicherheitsanforderungen an Unterauftragnehmer oder mangelnder Transparenz hinsichtlich der Zusammensetzung der Lieferkette.

Der Erwerb von auf dem Markt verfügbarer Software sowie die Integration externen Personals in die Prozesse des Cloud-Anbieters stellen keine Auslagerung im Sinne dieses Basiskriteriums dar.

### DEV-02.02B

Bevor die Entwicklung des Cloud-Dienstes oder von dessen Komponenten ausgelagert wird, führt der Cloud-Anbieter eine Risikobeurteilung gemäß mindestens die folgenden Aspekte berücksichtigt:

1. Verwaltung des Quellcodes durch die Service-Organisation;
2. Zugänglichkeit des Quellcodes für den Cloud-Anbieter;
3. Von der Service-Organisation implementierte Personalverfahren;
4. Erforderlicher Zugang zu den Entwicklungs-, Test- und Vorproduktionsumgebungen des Cloud-Anbieters; und
5. Management von Unterauftragnehmern, die von der Service-Organisation eingesetzt werden.

## Zusatzkriterium

### DEV-02.01AC (Zusatz, erweiternd)

Der Cloud-Anbieter dokumentiert und implementiert ein Verfahren, das die Aufsicht und Kontrolle der ausgelagerten Entwicklungstätigkeit ermöglicht, um sicherzustellen, dass sie der Richtlinie des Cloud-Anbieters für sichere Entwicklung entspricht und dass das dadurch erreichte Sicherheitsniveau dem durch interne Entwicklung erreichten Sicherheitsniveau entspricht.

### DEV-02.02AC (Zusatz, erweiternd)

Wenn eine Änderung Arbeiten aus ausgelagerter Entwicklung enthält, führt das Personal des Cloud-Anbieters die Tests durch, die benötigt werden, um zu entscheiden, ob die Änderung bereitgestellt werden kann.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Extended requirement for security in software development by the demand that the security level of the external development should be equivalent to that of internal development.

Added requirement to perform a risk assessment before outsourcing of development, as well as aspects to be considered for the risk assessment.

Bullet points are now sorted to ease discussions about specific list items.

**Zusatzkriterium:**

Additional criterion newly included.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.