DEV · Beschaffung, Entwicklung und Änderung von Informationssystemen
DEV-06 Risikobeurteilung, Kategorisierung und Priorisierung von Änderungen
Geändert gegenüber C5:2020 · vorher DEV-05
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Extended requirement for the risk assessment of changes to consider cumulative effects and dependencies.
Added requirement regarding the handling of planned changes with a high risk.
Zusatzkriterium
Slight linguistic adaptation.
Added specification that changes without an effect on service usage or security posture are excluded from the scope of the criterion.
Wortlaut in C5:2020
Basiskriterium
In accordance with the applicable policies (cf. DEV-03), changes are subjected to a risk assessment with regard to potential effects on the system components concerned and are categorised and prioritised accordingly.
Zusatzkriterium
In accordance with the contractual agreements, meaningful information about the occasion, time, duration, type and scope of the change is submitted to authorised bodies of the cloud customer so that they can carry out their own risk assessment before the change is made available in the production environment. Regardless of the contractual agreements, this is done for changes that have the highest risk category based on their risk assessment.
Basiskriterium
Gemäß den anwendbaren Richtlinien werden Änderungen einer Risikobeurteilung unterzogen, die ihre potenziellen Auswirkungen auf den gesamten im Geltungsbereich befindlichen Cloud-Dienst bewertet. Darüber hinaus werden, wenn mehrere Änderungen gleichzeitig umgesetzt werden, auch ihre wechselseitigen Interaktionen und kumulativen Auswirkungen der Risikobeurteilung unterzogen, um potenzielle Konflikte oder Abhängigkeiten zu identifizieren. Alle identifizierten Risiken und Abhängigkeiten werden entsprechend kategorisiert und priorisiert.
Wenn das mit einer geplanten Änderung verbundene Risiko hoch ist, werden geeignete Minderungsmaßnahmen ergriffen, bevor die Änderung in der Produktionsumgebung des Cloud-Dienstes bereitgestellt wird.
Zusatzkriterium
DEV-06.01AC
Zusatz, erweiterndGemäß den vertraglichen Vereinbarungen werden aussagekräftige Informationen über Anlass, Zeitpunkt, Dauer, Art und Umfang der Änderung an autorisierte Stellen des Cloud-Kunden übermittelt, damit diese ihre eigene Risikobeurteilung durchführen können, bevor die Änderung in der Produktionsumgebung verfügbar gemacht wird. Unabhängig von den vertraglichen Vereinbarungen erfolgt dies bei Änderungen, die auf Grundlage ihrer Risikobeurteilung die höchste Risikokategorie haben. Dies schließt Änderungen ohne Auswirkung auf die Cloud-Dienstnutzung oder die Sicherheitslage des Cloud-Dienstes nicht ein.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen