# DEV-03 Richtlinien für Änderungen an Systemkomponenten

- Bereich: DEV – Beschaffung, Entwicklung und Änderung von Informationssystemen
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/dev-03/

## Basiskriterium

### DEV-03.01B

Richtlinien und Verfahren mit technischen und organisatorischen Maßnahmen für das Änderungsmanagement von Systemkomponenten des Cloud-Dienstes im Rahmen der Software-Bereitstellung sind hinsichtlich der folgenden Aspekte gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt:

1. Kriterien zur Risikobeurteilung, Kategorisierung und Priorisierung von Änderungen und damit verbundene Anforderungen an Art und Umfang durchzuführender Tests sowie erforderliche Freigaben für die Entwicklung/Implementierung der Änderung sowie der Freigaben zur Bereitstellung in der Produktionsumgebung durch autorisiertes Personal oder Systemkomponenten;
2. Anforderungen an die Durchführung und Dokumentation von Tests;
3. Anforderungen an die Funktionstrennung während Entwicklung, Test und Freigabe von Änderungen;
4. Anforderungen zur sachgerechten Information der Cloud-Kunden über Art und Umfang der Änderung sowie daraus resultierende Mitwirkungspflichten gemäß den vertraglichen Vereinbarungen;
5. Anforderungen an die Dokumentation von Änderungen in der System-, Betriebs- und Benutzerdokumentation;
6. Anforderungen an die Umsetzung und Dokumentation von Notfalländerungen, sodass sie - soweit vernünftigerweise möglich - dem gleichen Sicherheitsniveau wie normale Änderungen entsprechen;
7. Anforderungen an den Umgang mit unerwarteten Auswirkungen dieser Änderungen, einschließlich Korrekturmaßnahmen;
8. Anforderungen an verstärkte Tests für die Entwicklung von Sicherheitsfunktionen, die technische Mechanismen und Schutzmaßnahmen implementieren; und
9. Anforderungen an die Handhabung von Ausnahmen, einschließlich Notfalländerungen, um sicherzustellen, dass damit verbundene Risiken angemessen gemindert werden.

**Ergänzende Information:**

Änderungen im Sinne des Basiskriteriums sind solche, die zu Änderungen an der Konfiguration, Funktionalität oder Sicherheit von Systemkomponenten des Cloud-Dienstes in der Produktionsumgebung führen können. Dies umfasst sowohl Änderungen an der Infrastruktur als auch am Quellcode.

Soweit einzelne Änderungen zur Software-Bereitstellung in einem neuen Release, Update, Patch oder einem vergleichbaren Softwareobjekt zusammengefasst werden, gilt dieses Softwareobjekt als Änderung im Sinne des Basiskriteriums, nicht aber die einzelnen darin enthaltenen Änderungen.

Änderungen an der bestehenden Netzkonfiguration fallen ebenfalls unter dieses Kriterium und sollten ebenfalls ein festgelegtes Verfahren durchlaufen, da sie für eine wirksame Trennung der Cloud-Kunden erforderlich sind.

Änderungen an den Containerumgebungen, einschließlich des Managements von Container-Images und -Versionen, sollten ebenfalls einen geregelten Prozess durchlaufen.

Personal oder Systemkomponenten werden gemäß den Vorgaben für Zugangs- und Zugriffsberechtigungen (vgl. IAM-01) im Rahmen eines geregelten Verfahrens (vgl. IAM-02) für Genehmigungen und Freigaben autorisiert.

Die Mitwirkungspflichten des Cloud-Kunden können festlegen, dass z. B. der Cloud-Kunde bestimmte Tests durchführen muss.

Ein zentralisierter Änderungsmanagementprozess ist nicht verpflichtend. Der Cloud-Anbieter hat die Flexibilität, Änderungsmanagementverfahren anzuwenden, die am besten zu seinen betrieblichen Anforderungen passen, einschließlich agiler Methoden, solange sie die Verfahren und technischen Schutzmaßnahmen einhalten.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Extended aspects to be addressed by the policies by requirements for handling unexpected effects of changes, requirements for the development of security features, and requirements for managing exceptions.

Bullet points are now sorted to ease discussions about specific list items.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.