DEV · Beschaffung, Entwicklung und Änderung von Informationssystemen
DEV-07 Testen von Änderungen
Geändert gegenüber C5:2020 · vorher DEV-06
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified the testing during software development and deployment to follow documented test procedures.
Specified automated test procedures to comply with established rules of technology, rather than the state of the art.
Added requirement regarding the use of cloud service customer data for tests.
Added requirement regarding the documentation of the performed tests.
Zusatzkriterium
Additional criterion newly included.
Wortlaut in C5:2020
Basiskriterium
Changes to the cloud service are subject to appropriate testing during software development and deployment.
The type and scope of the tests correspond to the risk assessment. The tests are carried out by appropriately qualified personnel of the Cloud Service Provider or by automated test procedures that comply with the state-of-the-art. Cloud customers are involved into the tests in accordance with the contractual requirements.
The severity of the errors and vulnerabilities identified in the tests, which are relevant for the deployment decision, is determined according to defined criteria and actions for timely remediation or mitigation are initiated.
Basiskriterium
Änderungen am Cloud-Dienst werden während der Software-Entwicklung und -Bereitstellung gemäß dokumentierten Testverfahren angemessenen Tests unterzogen.
Ergänzende Information
Gilt auch für 01AC
Es sollten Tests verwendet werden, die sowohl zur Qualitätssicherung der Softwareentwicklung als auch zur Sicherheit des Cloud-Dienstes beitragen.
Die in Tests identifizierten Fehler und Schwachstellen können beispielsweise nach dem Common Vulnerability Scoring System (CVSS) bewertet werden.
Ergänzende Information
Testverfahren für Software-Assets können statisch (SAST), dynamisch (DAST) oder interaktiv (IAST) sein.
Art und Umfang der Tests entsprechen der Risikobeurteilung. Die Tests werden von angemessen qualifiziertem Personal des Cloud-Anbieters oder durch automatisierte Testverfahren durchgeführt, die dem Stand der Technik entsprechen. Cloud-Kunden werden gemäß den vertraglichen Anforderungen in die Tests einbezogen.
Bevor Cloud-Kundendaten für Tests verwendet werden, holt der Cloud-Anbieter zunächst die Genehmigung dieses Cloud-Kunden ein und anonymisiert die Cloud-Kundendaten. Der Cloud-Anbieter stellt die Vertraulichkeit der Cloud-Kundendaten während des gesamten Prozesses sicher.
Die Sicherheitsfunktionen des Cloud-Dienstes werden Tests unterzogen, die die Spezifikation der Sicherheitsfunktionen (vgl. DEV-05), einschließlich aller spezifizierten Fehlerbedingungen, vollständig abdecken. Die Dokumentation dieser Tests umfasst mindestens die folgenden Aspekte:
- Eine Beschreibung des Tests;
- Die Ausgangsbedingungen;
- Das erwartete Ergebnis; und
- Verfahren zur Durchführung des Tests.
Der Schweregrad der in den Tests identifizierten Fehlern und Schwachstellen, welche für die Abnahme relevant sind, wird nach definierten Kriterien beurteilt und Maßnahmen zur zeitnahen Behebung oder Mitigation eingeleitet.
Zusatzkriterium
DEV-07.01AC
Zusatz, erweiterndPre-Launch-Tests werden während der Testphase des Cloud-Dienstes gemäß dem Penetrationstest-Rahmenwerk (vgl. OPS-22 Zusatzkriterium) durchgeführt. Der Schweregrad identifizierter Schwachstellen wird nach definierten Kriterien bewertet, und Maßnahmen zur zeitnahen Behebung oder Minderung werden eingeleitet.
Ergänzende Information
Gilt auch für 01B
Es sollten Tests verwendet werden, die sowohl zur Qualitätssicherung der Softwareentwicklung als auch zur Sicherheit des Cloud-Dienstes beitragen.
Die in Tests identifizierten Fehler und Schwachstellen können beispielsweise nach dem Common Vulnerability Scoring System (CVSS) bewertet werden.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Soweit Änderungen gemäß den vertraglichen Vereinbarungen vor der Bereitstellung in der Produktionsumgebung von den Cloud-Kunden getestet werden sollen, stellen die Cloud-Kunden mit geeigneten Kontrollen sicher, dass die Tests angemessen durchgeführt werden, um Fehler zu identifizieren. Dies umfasst insbesondere die zeitnahe Durchführung der Tests durch qualifiziertes Personal gemäß den vom Cloud-Anbieter festgelegten Bedingungen.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen