IAM · Identitäts- und Berechtigungsmanagement
IAM-02 Vergabe und Änderung von Identitäten und Zugriffsberechtigungen
Geändert gegenüber C5:2020 · vorher IDM-02
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified further requirments regarding the specified provedures for granting and modifying identities and acces rights.
Added requirement regarding the use of breakglass accounts.
Zusatzkriterium
Additional criterion removed.
Wortlaut in C5:2020
Basiskriterium
Specified procedures for granting and modifying user accounts and access rights for internal and external employees of the Cloud Service Provider as well as for system components involved in automated authorisation processes of the Cloud Service Provider ensure compliance with the role and rights concept as well as the policy for managing user accounts and access rights.
Zusatzkriterium
The Cloud Service Provider offers cloud customers a self-service with which they can independently assign and change user accounts and access rights.
Basiskriterium
Geregelte Verfahren für die Vergabe und Änderung von Identitäten und Zugriffsberechtigungen für internes und externes Personal des Cloud-Anbieters sowie für Systemkomponenten, die eine Rolle in automatisierten Autorisierungsprozessen des Cloud-Anbieters innehaben, stellen die Einhaltung der Rollen- und Rechterichtlinien sowie der Richtlinie zur Verwaltung von Identitäten und Zugriffsberechtigungen sicher.
Ergänzende Information
Dieses Kriterium gilt für Identitäten, die sich auf einzelne, mehrere oder nicht-menschliche Entitäten beziehen.
Die vorgenannten Verfahren umfassen unter anderem:
- Prozesse und technische Kontrollen, um den Zugriff auf die Daten und Systemfunktionen des Cloud-Anbieters auf autorisiertes Personal zu beschränken; und
- Prozesse und technische Kontrollen zur Verwaltung und Überprüfung von Zugriffsberechtigungen innerhalb der Systeme des Cloud-Anbieters.
Falls der Cloud-Anbieter Notfallkonten für den Fall einer Nichtverfügbarkeit des Hauptverfahrens zur Authentisierung definiert, werden spezifische Anforderungen und Verfahren für die sichere Nutzung dieser Konten definiert und umgesetzt.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen