DEV · Beschaffung, Entwicklung und Änderung von Informationssystemen
DEV-09 Versionskontrolle
Geändert gegenüber C5:2020 · vorher DEV-08
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Added further specfications about the required configuration of the version control system.
Added requirement for version control to enable attribution of changes to individual contributors.
Added requirement for version control to ensure integrity and availability of cloud service customer data after restores.
Zusatzkriterium
Added requirements to retain a history of software versions and define ist retention time.
Wortlaut in C5:2020
Basiskriterium
Version control procedures are set up to track dependencies of individual changes and to restore affected system components back to their previous state as a result of errors or identified vulnerabilities.
Zusatzkriterium
Version control procedures provide appropriate safeguards to ensure that the integrity and availability of cloud customer data is not compromised when system components are restored back to their previous state.
Basiskriterium
Der Cloud-Anbieter verwendet ein Versionskontrollsystem, das die Vertraulichkeit, Integrität und Authentizität des Quellcodes während aller Entwicklungsphasen angemessen sicherstellt.
Die Verfahren zur Versionskontrolle verfolgen Abhängigkeiten einzelner Änderungen nach und ordnen jede Änderung einzelnen Mitwirkenden zu. Die Verfahren zur Versionskontrolle sind in der Lage, betroffene Systemkomponenten in einen vorherigen Zustand zurückzuversetzen.
Die Versionskontrolle umfasst alle intern und extern entwickelten Softwarekomponenten, Konfigurationen und kommerziellen Produkte Dritter unter der Verantwortung des Cloud-Anbieters.
Zusatzkriterium
DEV-09.01AC
Zusatz, erweiterndDie Verfahren zur Versionskontrolle sehen geeignete Schutzmaßnahmen vor, um sicherzustellen, dass die Integrität und Verfügbarkeit von Cloud-Kundendaten nicht beeinträchtigt werden, wenn Systemkomponenten in ihren vorherigen Zustand zurückversetzt werden.
DEV-09.02AC
Zusatz, erweiterndDer Cloud-Anbieter führt Aufzeichnungen über alle bereitgestellten Softwareversionen und Systemkonfigurationen. Diese Aufzeichnung ermöglicht die Nachbildung einer zuvor umgesetzten Umgebung in einer Testumgebung.
Die Aufbewahrungszeit für diese Historie ist risikobasiert (vgl. OIS-07), in der Richtlinie für Versionskontrolle definiert und am Support-Lebenszyklus des Cloud-Dienstes ausgerichtet.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen