# OPS-11 Protokollierung und Überwachung - Richtlinien und Verfahren für den Umgang mit abgeleiteten Cloud-Dienstdaten und Kontodaten

- Bereich: OPS – Regelbetrieb
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/ops-11/

## Basiskriterium

### OPS-11.01B

Richtlinien und Verfahren für den sicheren Umgang mit abgeleiteten Cloud-Dienstdaten und Kontodaten werden gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt, und zwar im Hinblick auf mindestens die folgenden Aspekte:

1. Abgeleitete Cloud-Dienstdaten und Kontodaten werden ausschließlich zur Verwaltung und zum Betrieb des Cloud-Dienstes erfasst und verwendet, einschließlich Zwecken im Zusammenhang mit der Implementierung von Sicherheitskontrollen.
2. Keine kommerzielle Nutzung über den oben genannten Zweck zur Verwaltung und zum Betrieb des Cloud-Dienstes hinaus;
3. Aufbewahrung für einen festgelegten Zeitraum, der im angemessenen Verhältnis zu den Zwecken der Erhebung steht;
4. Die Vertraulichkeit und Integrität der Protokolldaten wird durch geeignete Sicherheitskontrollen geschützt;
5. Soweit technisch möglich, werden anonymisierte, abgeleitete Cloud-Dienstdaten nur in einer Weise genutzt, dass keine Rückschlüsse auf das Nutzungsverhalten einzelner Nutzer des Cloud-Kunden möglich sind;
6. Abgeleitete Cloud-Dienstdaten, die vollständig anonymisiert sind und nicht auf einzelne Cloud-Kunden zurückgeführt werden können, dürfen weiterverarbeitet und aufbewahrt werden, sofern keine vertraglichen oder gesetzlichen Beschränkungen bestehen, andernfalls sofortige Löschung, wenn die Zwecke der Erhebung erfüllt sind und eine weitere Aufbewahrung nicht mehr erforderlich ist; und
7. Bereitstellung an Cloud-Kunden gemäß vertraglicher Vereinbarung.

**Ergänzende Information:**

Die Erhebung und Nutzung der abgeleiteten Cloud-Dienstdaten und Kontodaten für die Verwaltung und den Betrieb des Cloud-Dienstes umfasst auch die Auswertung der vorgenannten Daten zum Zweck der Verbesserung des bereitgestellten Cloud-Dienstes, es sei denn, diese Verbesserung dient ausschließlich wirtschaftlichen Interessen des Cloud-Anbieters.

Wenn der Cloud-Anbieter als Cloud-Vermittler fungiert, sollten die Richtlinien und Verfahren die Komplexität der Handhabung von abgeleiteten Cloud-Dienstdaten und Kontodaten im Rahmen dieser Rolle besonders berücksichtigen.

### OPS-11.02B

Der Cloud-Anbieter legt in den vertraglichen Vereinbarungen mit Cloud-Kunden alle Zwecke fest, für die abgeleitete Cloud-Dienstdaten erhoben und verwendet werden, mit Ausnahme derjenigen Zwecke, die dem allgemeinen Betrieb aller Cloud-Dienste innewohnen.

**Ergänzende Information:**

Mit dem allgemeinen Betrieb vieler Cloud-Dienste verbundene Zwecke sind:

1. Kapazitätsplanung und Ressourcenmanagement;
2. Sicherheitsüberwachung und Reaktion auf Vorfälle;
3. Einhaltung regulatorischer Anforderungen; und
4. Serviceleistung und Zuverlässigkeit.

## Zusatzkriterium

### OPS-11.01AC (Zusatz, erweiternd)

Personenbezogene Daten werden vor der Verarbeitung durch den Cloud-Anbieter automatisch aus den Protokolldaten entfernt, soweit dies technisch möglich ist. Die Entfernung erfolgt in einer Weise, die es dem Cloud-Anbieter ermöglicht, die Protokolldaten weiterhin für den Zweck zu verwenden, für den sie erfasst wurden.

### OPS-11.02AC (Zusatz, erweiternd)

Abgeleitete Cloud-Dienstdaten, insbesondere Protokolldaten, werden in die Bewertung der Einhaltung gesetzlicher Vorschriften einbezogen.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass ihre Verträge mit dem Cloud-Anbieter die zulässigen Nutzungen der abgeleiteten Cloud-Dienstdaten klar regeln. Cloud-Kunden vergewissern sich, dass die Datenverarbeitung den vertraglichen oder gesetzlichen Beschränkungen entspricht und nehmen zur Kenntnis, dass der Anbieter verpflichtet ist, Daten zu löschen, wenn sie für seine ursprünglichen Zwecke nicht mehr erforderlich sind, sofern nichts anderes vereinbart wurde.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Specified which data types the criterion applies to.

Linguistic adaptations and reordering of elements within the list.

Modified requirement regarding the allowed collection of cloud service derived data (formerly: metadata) to be restricted to administering and operating the cloud service

Removed aspect of immediately deleting cloud service derived data (formerly: metadata) upon the collection purpose being fulfilled.

Added aspect of protecting the confidentiality and integrity of the logs.

Extended the requirements regarding the use of anonymsed cloud service derived data.

Bullet points are now sorted to ease discussions about specific list items.

**Zusatzkriterium:**

Added requirement about taking data into consideration in regulatory compliance assessments.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.