DEV · Beschaffung, Entwicklung und Änderung von Informationssystemen
DEV-08 Protokollierung von Änderungen
Geändert gegenüber C5:2020 · vorher DEV-07
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Linguistic adaptation without changes in content.
Zusatzkriterium
Additional criterion newly included.
Wortlaut in C5:2020
Basiskriterium
System components and tools for source code management and software deployment that are used to make changes to system components of the cloud service in the production environment are subject to a role and rights concept according to IDM-01 and authorisation mechanisms. They must be configured in such a way that all changes are logged and can therefore be traced back to the individuals or system components executing them.
Basiskriterium
Systemkomponenten für Versionskontrolle und Softwarebereitstellung, die verwendet werden, um Änderungen an Systemkomponenten des Cloud-Dienstes in der Produktionsumgebung zu verwalten, unterliegen einem Rollen- und Berechtigungsrahmenwerk gemäß IAM-01 und Autorisierungsmechanismen.
Die Konfiguration dieser Systemkomponenten stellt sicher, dass alle vom Cloud-Anbieter an Systemkomponenten in der Produktionsumgebung vorgenommenen Änderungen aufgezeichnet werden und auf die Personen oder Systemkomponenten zurückgeführt werden können, die zu ihrer Entwicklung, Bereitstellung oder Umsetzung beigetragen haben.
Ergänzende Information
Wenn die Änderung einen externen Beitrag hat (z. B. die Verwendung von Drittprodukten oder Bibliotheken), ist eine Rückverfolgung einzelner Änderungen in der Entwicklung oft nicht möglich. In diesem Fall ist es ausreichend, den externen Beitrag in der Liste der Softwarekomponenten oder der Software Bill of Materials (SBOM, vgl. DEV-13.01B) zu erfassen. Darüber hinaus können abhängig von der Art des externen Beitrags das Kriterium für die Auslagerung der Entwicklung (vgl. DEV-02) und die Kriterien für Kontrolle und Überwachung von Dienstleistern und Lieferanten (SSO) Anwendung finden.
Zusatzkriterium
DEV-08.01AC
Zusatz, erweiterndDer Cloud-Anbieter setzt das Rollen- und Berechtigungsrahmenwerk durch, indem er die an Systemkomponenten des Cloud-Dienstes in der Produktionsumgebung vorgenommenen Änderungen überwacht. Zeitnahe und angemessene Abhilfemaßnahmen beheben alle bei der Überwachung identifizierten Abweichungen.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen