# DEV-07 Testen von Änderungen

- Bereich: DEV – Beschaffung, Entwicklung und Änderung von Informationssystemen
- Gegenüber C5:2020: geändert (vorher DEV-06)
- Webseite: https://c5.patrickscheid.de/dev-07/

## Basiskriterium

### DEV-07.01B

Änderungen am Cloud-Dienst werden während der Software-Entwicklung und -Bereitstellung gemäß dokumentierten Testverfahren angemessenen Tests unterzogen.

**Ergänzende Information (zu 01B, 01AC):**

Es sollten Tests verwendet werden, die sowohl zur Qualitätssicherung der Softwareentwicklung als auch zur Sicherheit des Cloud-Dienstes beitragen.

Die in Tests identifizierten Fehler und Schwachstellen können beispielsweise nach dem Common Vulnerability Scoring System (CVSS) bewertet werden.

**Ergänzende Information:**

Testverfahren für Software-Assets können statisch (SAST), dynamisch (DAST) oder interaktiv (IAST) sein.

### DEV-07.02B

Art und Umfang der Tests entsprechen der Risikobeurteilung. Die Tests werden von angemessen qualifiziertem Personal des Cloud-Anbieters oder durch automatisierte Testverfahren durchgeführt, die dem Stand der Technik entsprechen. Cloud-Kunden werden gemäß den vertraglichen Anforderungen in die Tests einbezogen.

### DEV-07.03B

Bevor Cloud-Kundendaten für Tests verwendet werden, holt der Cloud-Anbieter zunächst die Genehmigung dieses Cloud-Kunden ein und anonymisiert die Cloud-Kundendaten. Der Cloud-Anbieter stellt die Vertraulichkeit der Cloud-Kundendaten während des gesamten Prozesses sicher.

### DEV-07.04B

Die Sicherheitsfunktionen des Cloud-Dienstes werden Tests unterzogen, die die Spezifikation der Sicherheitsfunktionen (vgl. DEV-05), einschließlich aller spezifizierten Fehlerbedingungen, vollständig abdecken. Die Dokumentation dieser Tests umfasst mindestens die folgenden Aspekte:

1. Eine Beschreibung des Tests;
2. Die Ausgangsbedingungen;
3. Das erwartete Ergebnis; und
4. Verfahren zur Durchführung des Tests.

### DEV-07.05B

Der Schweregrad der in den Tests identifizierten Fehlern und Schwachstellen, welche für die Abnahme relevant sind, wird nach definierten Kriterien beurteilt und Maßnahmen zur zeitnahen Behebung oder Mitigation eingeleitet.

## Zusatzkriterium

### DEV-07.01AC (Zusatz, erweiternd)

Pre-Launch-Tests werden während der Testphase des Cloud-Dienstes gemäß dem Penetrationstest-Rahmenwerk (vgl. OPS-22 Zusatzkriterium) durchgeführt. Der Schweregrad identifizierter Schwachstellen wird nach definierten Kriterien bewertet, und Maßnahmen zur zeitnahen Behebung oder Minderung werden eingeleitet.

## Korrespondierende Kriterien für Kunden

Soweit Änderungen gemäß den vertraglichen Vereinbarungen vor der Bereitstellung in der Produktionsumgebung von den Cloud-Kunden getestet werden sollen, stellen die Cloud-Kunden mit geeigneten Kontrollen sicher, dass die Tests angemessen durchgeführt werden, um Fehler zu identifizieren. Dies umfasst insbesondere die zeitnahe Durchführung der Tests durch qualifiziertes Personal gemäß den vom Cloud-Anbieter festgelegten Bedingungen.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Specified the testing during software development and deployment to follow documented test procedures.

Specified automated test procedures to comply with established rules of technology, rather than the state of the art.

Added requirement regarding the use of cloud service customer data for tests.

Added requirement regarding the documentation of the performed tests.

**Zusatzkriterium:**

Additional criterion newly included.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.