OPS-11 Protokollierung und Überwachung - Richtlinien und Verfahren für den Umgang mit abgeleiteten Cloud-Dienstdaten und Kontodaten
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Linguistic adaptations and reordering of elements within the list.
Modified requirement regarding the allowed collection of cloud service derived data (formerly: metadata) to be restricted to administering and operating the cloud service
Removed aspect of immediately deleting cloud service derived data (formerly: metadata) upon the collection purpose being fulfilled.
Added aspect of protecting the confidentiality and integrity of the logs.
Extended the requirements regarding the use of anonymsed cloud service derived data.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
Added requirement about taking data into consideration in regulatory compliance assessments.
Wortlaut in C5:2020
Basiskriterium
Policies and instructions for the secure handling of metadata (usage data) are documented, communicated and provided according to SP-01 with regard to the following aspects:
- Metadata is collected and used solely for billing, incident management and security incident management purposes;
- Exclusively anonymous metadata to deploy and enhance the cloud service so that no conclusions can be drawn about the cloud customer or user;
- No commercial use;
- Storage for a fixed period reasonably related to the purposes of the collection;
- Immediate deletion if the purposes of the collection are fulfilled and further storage is no longer necessary.
- Provision to cloud customers according to contractual agreements.
Zusatzkriterium
Personal data is automatically removed from the log data before the Cloud Service Provider processes it as far as technically possible. The removal is done in a way that allows the Cloud Service Provider to continue to use the log data for the purpose for which it was collected.
Basiskriterium
Richtlinien und Verfahren für den sicheren Umgang mit abgeleiteten Cloud-Dienstdaten und Kontodaten werden gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt, und zwar im Hinblick auf mindestens die folgenden Aspekte:
- Abgeleitete Cloud-Dienstdaten und Kontodaten werden ausschließlich zur Verwaltung und zum Betrieb des Cloud-Dienstes erfasst und verwendet, einschließlich Zwecken im Zusammenhang mit der Implementierung von Sicherheitskontrollen.
- Keine kommerzielle Nutzung über den oben genannten Zweck zur Verwaltung und zum Betrieb des Cloud-Dienstes hinaus;
- Aufbewahrung für einen festgelegten Zeitraum, der im angemessenen Verhältnis zu den Zwecken der Erhebung steht;
- Die Vertraulichkeit und Integrität der Protokolldaten wird durch geeignete Sicherheitskontrollen geschützt;
- Soweit technisch möglich, werden anonymisierte, abgeleitete Cloud-Dienstdaten nur in einer Weise genutzt, dass keine Rückschlüsse auf das Nutzungsverhalten einzelner Nutzer des Cloud-Kunden möglich sind;
- Abgeleitete Cloud-Dienstdaten, die vollständig anonymisiert sind und nicht auf einzelne Cloud-Kunden zurückgeführt werden können, dürfen weiterverarbeitet und aufbewahrt werden, sofern keine vertraglichen oder gesetzlichen Beschränkungen bestehen, andernfalls sofortige Löschung, wenn die Zwecke der Erhebung erfüllt sind und eine weitere Aufbewahrung nicht mehr erforderlich ist; und
- Bereitstellung an Cloud-Kunden gemäß vertraglicher Vereinbarung.
Ergänzende Information
Die Erhebung und Nutzung der abgeleiteten Cloud-Dienstdaten und Kontodaten für die Verwaltung und den Betrieb des Cloud-Dienstes umfasst auch die Auswertung der vorgenannten Daten zum Zweck der Verbesserung des bereitgestellten Cloud-Dienstes, es sei denn, diese Verbesserung dient ausschließlich wirtschaftlichen Interessen des Cloud-Anbieters.
Wenn der Cloud-Anbieter als Cloud-Vermittler fungiert, sollten die Richtlinien und Verfahren die Komplexität der Handhabung von abgeleiteten Cloud-Dienstdaten und Kontodaten im Rahmen dieser Rolle besonders berücksichtigen.
Der Cloud-Anbieter legt in den vertraglichen Vereinbarungen mit Cloud-Kunden alle Zwecke fest, für die abgeleitete Cloud-Dienstdaten erhoben und verwendet werden, mit Ausnahme derjenigen Zwecke, die dem allgemeinen Betrieb aller Cloud-Dienste innewohnen.
Ergänzende Information
Mit dem allgemeinen Betrieb vieler Cloud-Dienste verbundene Zwecke sind:
- Kapazitätsplanung und Ressourcenmanagement;
- Sicherheitsüberwachung und Reaktion auf Vorfälle;
- Einhaltung regulatorischer Anforderungen; und
- Serviceleistung und Zuverlässigkeit.
Zusatzkriterium
OPS-11.01AC
Zusatz, erweiterndPersonenbezogene Daten werden vor der Verarbeitung durch den Cloud-Anbieter automatisch aus den Protokolldaten entfernt, soweit dies technisch möglich ist. Die Entfernung erfolgt in einer Weise, die es dem Cloud-Anbieter ermöglicht, die Protokolldaten weiterhin für den Zweck zu verwenden, für den sie erfasst wurden.
OPS-11.02AC
Zusatz, erweiterndAbgeleitete Cloud-Dienstdaten, insbesondere Protokolldaten, werden in die Bewertung der Einhaltung gesetzlicher Vorschriften einbezogen.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass ihre Verträge mit dem Cloud-Anbieter die zulässigen Nutzungen der abgeleiteten Cloud-Dienstdaten klar regeln. Cloud-Kunden vergewissern sich, dass die Datenverarbeitung den vertraglichen oder gesetzlichen Beschränkungen entspricht und nehmen zur Kenntnis, dass der Anbieter verpflichtet ist, Daten zu löschen, wenn sie für seine ursprünglichen Zwecke nicht mehr erforderlich sind, sofern nichts anderes vereinbart wurde.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen