# DEV-13 Transparenz über Softwarekomponenten

- Bereich: DEV – Beschaffung, Entwicklung und Änderung von Informationssystemen
- Gegenüber C5:2020: neu in C5:2026
- Webseite: https://c5.patrickscheid.de/dev-13/

## Basiskriterium

### DEV-13.01B

Der Cloud-Anbieter stellt sicher, dass im Rahmen des Softwareentwicklungsprozesses für jede entwickelte oder integrierte Softwarekomponente eine Liste von Softwarekomponenten erstellt, gepflegt und aktuell gehalten wird.

**Ergänzende Information:**

Dieses Kriterium kann durch eine hinreichend detaillierte Liste von Softwarekomponenten erfüllt werden. Hinreichende Detaillierung bedeutet, dass die Liste dem Cloud-Anbieter ermöglicht, alle Cloud-Dienste zu identifizieren, die von einer gegebenen bekannten Schwachstelle betroffen sind. Dieses Kriterium kann auch durch eine Software Bill of Materials (SBOM) erfüllt werden. Der Stand der Technik hinsichtlich der Erstellung, Pflege und Nutzung von SBOMs, einschließlich ihrer Bestandteile und Formate, werden in der jeweils aktuellen Version der Technischen Richtlinie TR-03183-2 des BSI beschrieben. Automatisierte Werkzeuge zum Erzeugen, Pflegen und Validieren von Listen von Softwarekomponenten oder SBOMs werden empfohlen, um Genauigkeit und Integration in Sicherheits- und Schwachstellenmanagementprozesse sicherzustellen. Es ist möglicherweise nicht notwendig, jede Version der SBOM zu speichern - genau wie in den anderen Entwicklungsprozessen für Komponenten -, solange der Cloud-Anbieter in der Lage ist, die Änderungen nachzuverfolgen.

### DEV-13.02B

Der Cloud-Anbieter pflegt auch für integrierte Softwarekomponenten eine Liste von Softwarekomponenten, außer wenn solche Informationen nicht verfügbar sind und nicht mit vertretbarem Aufwand erstellt werden können. Das aus diesen Ausnahmen resultierende Risiko wird gemäß SP-03 behandelt.

**Ergänzende Information:**

Dieses Unterkriterium gilt nur für integrierte Softwarekomponenten. Falls integrierte Softwarekomponenten z. B. Open Source sind und dieses Kriterium über SBOMs erfüllt wird, kann es Fälle geben, in denen eine SBOM nicht verfügbar ist und nicht mit vertretbarem Aufwand erstellt werden kann. Vertretbar impliziert, dass der Austausch dieser Komponente gegen eine mit SBOM wirtschaftlich nicht machbar ist. Die Risiken aus diesen Ausnahmen werden jedoch innerhalb des Ausnahmeprozesses behandelt (vgl. SP-03).

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.