# DEV-12 Trennung der Umgebungen

- Bereich: DEV – Beschaffung, Entwicklung und Änderung von Informationssystemen
- Gegenüber C5:2020: geändert (vorher DEV-10)
- Webseite: https://c5.patrickscheid.de/dev-12/

## Basiskriterium

### DEV-12.01B

Produktionsumgebungen sind von Test- oder Entwicklungsumgebungen physisch oder logisch getrennt, um unautorisierte Zugriffe auf Cloud-Kundendaten, die Ausbreitung von Schadprogrammen oder unbeabsichtigte Änderungen an Systemkomponenten zu verhindern. Cloud-Kundendaten aus Produktionsumgebungen werden nicht in Test- oder Entwicklungsumgebungen verwendet, es sei denn, dies wurde von den Cloud-Kunden ausdrücklich genehmigt, um deren Vertraulichkeit nicht zu gefährden.

### DEV-12.02B

Sofern dies nicht unvermeidbar ist, verwendet der Cloud-Anbieter die in Produktionsumgebungen verwendeten kryptographischen Geheimnisse und privaten Schlüssel sowie andere Geheimnisse nicht in anderen Nicht-Produktionsumgebungen wieder. Jede unvermeidbare Wiederverwendung kryptographischer Geheimnisse und privater Schlüssel zwischen Produktions- und Nicht-Produktionsumgebungen wird gemäß dem Prozess für die Behandlung von Ausnahmen (vgl. SP-03) und den Risikomanagementverfahren (vgl. OIS-07) dokumentiert und begründet.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Specified which data types the criterion applies to.

Added option for cloud service customers to explicitly approve the use of their data in test and development environments.

Added requirements regarding regulating the reuse of cryptographic secrets, private keys and other secrets.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.