DEV · Beschaffung, Entwicklung und Änderung von Informationssystemen
DEV-12 Trennung der Umgebungen
Geändert gegenüber C5:2020 · vorher DEV-10
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Added option for cloud service customers to explicitly approve the use of their data in test and development environments.
Added requirements regarding regulating the reuse of cryptographic secrets, private keys and other secrets.
Wortlaut in C5:2020
Basiskriterium
Production environments are physically or logically separated from test or development environments to prevent unauthorised access to cloud customer data, the spread of malware, or changes to system components. Data contained in the production environments is not used in test or development environments in order not to compromise their confidentiality.
Basiskriterium
Produktionsumgebungen sind von Test- oder Entwicklungsumgebungen physisch oder logisch getrennt, um unautorisierte Zugriffe auf Cloud-Kundendaten, die Ausbreitung von Schadprogrammen oder unbeabsichtigte Änderungen an Systemkomponenten zu verhindern. Cloud-Kundendaten aus Produktionsumgebungen werden nicht in Test- oder Entwicklungsumgebungen verwendet, es sei denn, dies wurde von den Cloud-Kunden ausdrücklich genehmigt, um deren Vertraulichkeit nicht zu gefährden.
Sofern dies nicht unvermeidbar ist, verwendet der Cloud-Anbieter die in Produktionsumgebungen verwendeten kryptographischen Geheimnisse und privaten Schlüssel sowie andere Geheimnisse nicht in anderen Nicht-Produktionsumgebungen wieder. Jede unvermeidbare Wiederverwendung kryptographischer Geheimnisse und privater Schlüssel zwischen Produktions- und Nicht-Produktionsumgebungen wird gemäß dem Prozess für die Behandlung von Ausnahmen (vgl. SP-03) und den Risikomanagementverfahren (vgl. OIS-07) dokumentiert und begründet.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen