# DEV-09 Versionskontrolle

- Bereich: DEV – Beschaffung, Entwicklung und Änderung von Informationssystemen
- Gegenüber C5:2020: geändert (vorher DEV-08)
- Webseite: https://c5.patrickscheid.de/dev-09/

## Basiskriterium

### DEV-09.01B

Der Cloud-Anbieter verwendet ein Versionskontrollsystem, das die Vertraulichkeit, Integrität und Authentizität des Quellcodes während aller Entwicklungsphasen angemessen sicherstellt.

### DEV-09.02B

Die Verfahren zur Versionskontrolle verfolgen Abhängigkeiten einzelner Änderungen nach und ordnen jede Änderung einzelnen Mitwirkenden zu. Die Verfahren zur Versionskontrolle sind in der Lage, betroffene Systemkomponenten in einen vorherigen Zustand zurückzuversetzen.

### DEV-09.03B

Die Versionskontrolle umfasst alle intern und extern entwickelten Softwarekomponenten, Konfigurationen und kommerziellen Produkte Dritter unter der Verantwortung des Cloud-Anbieters.

## Zusatzkriterium

### DEV-09.01AC (Zusatz, erweiternd)

Die Verfahren zur Versionskontrolle sehen geeignete Schutzmaßnahmen vor, um sicherzustellen, dass die Integrität und Verfügbarkeit von Cloud-Kundendaten nicht beeinträchtigt werden, wenn Systemkomponenten in ihren vorherigen Zustand zurückversetzt werden.

### DEV-09.02AC (Zusatz, erweiternd)

Der Cloud-Anbieter führt Aufzeichnungen über alle bereitgestellten Softwareversionen und Systemkonfigurationen. Diese Aufzeichnung ermöglicht die Nachbildung einer zuvor umgesetzten Umgebung in einer Testumgebung.

Die Aufbewahrungszeit für diese Historie ist risikobasiert (vgl. OIS-07), in der Richtlinie für Versionskontrolle definiert und am Support-Lebenszyklus des Cloud-Dienstes ausgerichtet.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Added further specfications about the required configuration of the  version control system.

Added requirement for version control to enable attribution of changes to individual contributors.

Added requirement for version control to ensure integrity and availability of cloud service customer data after restores.

**Zusatzkriterium:**

Added requirements to retain a history of software versions and define ist retention time.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.