# DEV-08 Protokollierung von Änderungen

- Bereich: DEV – Beschaffung, Entwicklung und Änderung von Informationssystemen
- Gegenüber C5:2020: geändert (vorher DEV-07)
- Webseite: https://c5.patrickscheid.de/dev-08/

## Basiskriterium

### DEV-08.01B

Systemkomponenten für Versionskontrolle und Softwarebereitstellung, die verwendet werden, um Änderungen an Systemkomponenten des Cloud-Dienstes in der Produktionsumgebung zu verwalten, unterliegen einem Rollen- und Berechtigungsrahmenwerk gemäß IAM-01 und Autorisierungsmechanismen.

### DEV-08.02B

Die Konfiguration dieser Systemkomponenten stellt sicher, dass alle vom Cloud-Anbieter an Systemkomponenten in der Produktionsumgebung vorgenommenen Änderungen aufgezeichnet werden und auf die Personen oder Systemkomponenten zurückgeführt werden können, die zu ihrer Entwicklung, Bereitstellung oder Umsetzung beigetragen haben.

**Ergänzende Information:**

Wenn die Änderung einen externen Beitrag hat (z. B. die Verwendung von Drittprodukten oder Bibliotheken), ist eine Rückverfolgung einzelner Änderungen in der Entwicklung oft nicht möglich. In diesem Fall ist es ausreichend, den externen Beitrag in der Liste der Softwarekomponenten oder der Software Bill of Materials (SBOM, vgl. DEV-13.01B) zu erfassen. Darüber hinaus können abhängig von der Art des externen Beitrags das Kriterium für die Auslagerung der Entwicklung (vgl. DEV-02) und die Kriterien für Kontrolle und Überwachung von Dienstleistern und Lieferanten (SSO) Anwendung finden.

## Zusatzkriterium

### DEV-08.01AC (Zusatz, erweiternd)

Der Cloud-Anbieter setzt das Rollen- und Berechtigungsrahmenwerk durch, indem er die an Systemkomponenten des Cloud-Dienstes in der Produktionsumgebung vorgenommenen Änderungen überwacht. Zeitnahe und angemessene Abhilfemaßnahmen beheben alle bei der Überwachung identifizierten Abweichungen.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Linguistic adaptation without changes in content.

**Zusatzkriterium:**

Additional criterion newly included.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.