# DEV-06 Risikobeurteilung, Kategorisierung und Priorisierung von Änderungen

- Bereich: DEV – Beschaffung, Entwicklung und Änderung von Informationssystemen
- Gegenüber C5:2020: geändert (vorher DEV-05)
- Webseite: https://c5.patrickscheid.de/dev-06/

## Basiskriterium

### DEV-06.01B

Gemäß den anwendbaren Richtlinien werden Änderungen einer Risikobeurteilung unterzogen, die ihre potenziellen Auswirkungen auf den gesamten im Geltungsbereich befindlichen Cloud-Dienst bewertet. Darüber hinaus werden, wenn mehrere Änderungen gleichzeitig umgesetzt werden, auch ihre wechselseitigen Interaktionen und kumulativen Auswirkungen der Risikobeurteilung unterzogen, um potenzielle Konflikte oder Abhängigkeiten zu identifizieren. Alle identifizierten Risiken und Abhängigkeiten werden entsprechend kategorisiert und priorisiert.

### DEV-06.02B

Wenn das mit einer geplanten Änderung verbundene Risiko hoch ist, werden geeignete Minderungsmaßnahmen ergriffen, bevor die Änderung in der Produktionsumgebung des Cloud-Dienstes bereitgestellt wird.

## Zusatzkriterium

### DEV-06.01AC (Zusatz, erweiternd)

Gemäß den vertraglichen Vereinbarungen werden aussagekräftige Informationen über Anlass, Zeitpunkt, Dauer, Art und Umfang der Änderung an autorisierte Stellen des Cloud-Kunden übermittelt, damit diese ihre eigene Risikobeurteilung durchführen können, bevor die Änderung in der Produktionsumgebung verfügbar gemacht wird. Unabhängig von den vertraglichen Vereinbarungen erfolgt dies bei Änderungen, die auf Grundlage ihrer Risikobeurteilung die höchste Risikokategorie haben. Dies schließt Änderungen ohne Auswirkung auf die Cloud-Dienstnutzung oder die Sicherheitslage des Cloud-Dienstes nicht ein.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Extended requirement for the risk assessment of changes to consider cumulative effects and dependencies.

Added requirement regarding the handling of planned changes with a  high risk.

**Zusatzkriterium:**

Slight linguistic adaptation.

Added specification that changes without an effect on service usage or security posture are excluded from the scope of the criterion.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.