C5 Field Guideinoffiziell

GC · Rahmenbedingungen

GC-04 Angaben zum Ansatz zur Sicherstellung der Dienstverfügbarkeit

Getrennt von den Kriterien aufgeführt. Die Rahmenbedingungen (GC) beschreiben Angaben, die der Cloud-Anbieter in seiner Systembeschreibung und seinen vertraglichen Vereinbarungen macht.

Anforderung

Der Cloud-Anbieter stellt sachverständigem Personal von Cloud-Kunden verständliche und transparente Informationen über seinen Ansatz zur Sicherstellung der Dienstverfügbarkeit zur Verfügung, einschließlich relevanter Verfügbarkeitsmetriken und Prinzipien des Architekturdesigns sowohl für die Rechenzentrumsinfrastruktur als auch für Cloud-Dienste. Diese Informationen behandeln sowohl die physische Infrastrukturresilienz als auch die logische Dienstresilienz und ermöglichen es Cloud-Kunden, ihre eigene Business Impact Analyse wirksam durchzuführen und zu verstehen, wie der mehrschichtige Resilienzansatz des Cloud-Anbieters mit ihren eigenen Anforderungen an die Kontinuität des Geschäftsbetriebs sowohl auf Infrastruktur- als auch auf Dienstebene zusammenpasst.

Hinweis

Die Informationen können Resilienzfähigkeiten darstellen, wie z. B. regionale Bereitstellungsstrategien, Redundanzkonfigurationen von Rechenzentren, Zusagen auf Dienstebene, historische Leistungsdaten oder architektonische Resilienzmuster.

Eine branchenübliche Klassifizierung ist das Tier-Klassifikationssystem des Uptime Institute. Dieses sieht folgende Stufen (Tiers) für die Verfügbarkeiten und Ausfallzeiten bezogen auf ein Jahr vor:

  1. Tier I: 99.671 %; bis zu 28.8 Stunden kumulierte Ausfallzeit pro Jahr;
  2. Tier II: 99.741 %; bis zu 22.7 Stunden kumulierte Ausfallzeit pro Jahr;
  3. Tier III: 99.982 %; bis zu 1.6 Stunden kumulierte Ausfallzeit pro Jahr; und
  4. Tier IV: 99.995 %; bis zu 25 Minuten kumulierte Ausfallzeit pro Jahr.

Eine alternative Definition von Verfügbarkeitsklassen (AC) wird vom BSI im 'HV-Benchmark kompakt' bereitgestellt:

  1. VK 0: ohne Anforderungen an die Verfügbarkeit (~ 95 %); bis zu 438 Stunden kumulierte Ausfallzeit pro Jahr;
  2. VK 1: normale Verfügbarkeit (99 %); bis zu 88 Stunden kumulierte Ausfallzeit pro Jahr;
  3. VK 2: hohe Verfügbarkeit (99,9 %); bis zu 9 Stunden kumulierte Ausfallzeit pro Jahr;
  4. VK 3: sehr hohe Verfügbarkeit (99,99 %); bis zu 53 Minuten kumulierte Ausfallzeit pro Jahr;
  5. VK 4: höchste Verfügbarkeit (99,999 %); bis zu 6 Minuten kumulierte Ausfallzeit pro Jahr; und
  6. VK 5: Desaster-tolerant.

Die Systembeschreibung des für die Entwicklung und den Betrieb des Cloud-Dienstes relevanten internen Kontrollsystems des Cloud-Anbieters gibt an, wo diese Informationen zu finden sind. Neben der Information in der Systembeschreibung des Cloud-Anbieters können die Angaben selbst auch optionaler Bestandteil der Berichterstattung sein, z. B. in einem Abschnitt 'Sonstige vom Cloud-Anbieter bereitgestellte Informationen'. Im letzteren Fall unterliegen diese Informationen nicht den Prüfungshandlungen des Prüfers, und dementsprechend gibt der Prüfer hierzu kein Prüfungsurteil ab.

Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen