OPS-15 Protokollierung und Überwachung - Zurechenbarkeit
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Added further description of the information included in the logs.
Modify requirement regarding forensic analyses to focus on supporting such analyses and retaining a chain of evidence.
Zusatzkriterium
Added further requirements on the preservation of the integrity and reliability of logs.
Wortlaut in C5:2020
Basiskriterium
The log data generated allows an unambiguous identification of user accesses at tenant level to support (forensic) analysis in the event of a security incident.
Interfaces are available to conduct forensic analyses and perform backups of infrastructure components and their network communication.
Zusatzkriterium
On request of the Cloud customer, the Cloud Service Provider provides the logs relating to the cloud customer in an appropriate form and in a timely manner so that the cloud customer can investigate any incidents relating to them.
Basiskriterium
Die erstellten Protokolldaten - die sowohl abgeleitete Cloud-Dienstdaten als auch Cloud-Anbieterdaten umfassen - ermöglichen eine eindeutige Identifizierung des Benutzerzugriffs auf Mandantenebene und unterstützen so eine effektive forensische Analyse im Falle eines Sicherheitsvorfalls.
Jedes protokollierte Ereignis enthält einen Zeit-/Datumsstempel, um genaue und nachvollziehbare Aufzeichnungen zu gewährleisten.
Der Cloud-Anbieter ist in der Lage, die forensische Analyse von Vorfällen zu unterstützen und eine Beweiskette aufzubewahren. Dies bedeutet, dass der Cloud-Anbieter den Zustand von Hardwareobjekten und Netzkommunikation bei Sicherheitsereignissen erfasst.
Zusatzkriterium
OPS-15.01AC
Zusatz, erweiterndDer Cloud-Anbieter stellt auf Anfrage des Cloud-Kunden die ihn betreffenden Protokolldaten in angemessener Form und zeitnah zur Verfügung, damit dieser die ihn betreffenden Vorfälle selbst untersuchen kann.
Ergänzende Information
Das Zusatzkriterium bezieht sich auch auf Protokolldaten von Systemkomponenten, die im Verantwortungsbereich des Cloud-Anbieters liegen und auf die der Cloud-Kunde grundsätzlich keinen Zugriff hat, sofern diese Protokolldaten für die Analyse von Sicherheitsvorfällen und für die Identifizierung von Zugriffen auf Cloud-Kundendaten relevant sind (vgl. IAM-07 und INQ-03). Zur Protokollierung von Systemkomponenten im Verantwortungsbereich des Cloud-Kundens vgl. PSS-04.
OPS-15.02AC
Zusatz, erweiterndDie oben genannten Protokolldaten werden mithilfe von Kontrollen und Prozessen gesammelt und verwaltet, die ihre Integrität und Zuverlässigkeit für Sicherheitsüberwachungs- und Vorfalluntersuchungszwecke wahren. Dies impliziert, ist aber nicht beschränkt auf:
- Die Aufzeichnungen sind vollständig und wurden in keiner Weise manipuliert.
- Protokollierungssysteme sind taktsynchron, Protokolldaten enthalten genaue Zeitstempel;
- Kopien elektronischer Beweismittel sind nachweislich mit den Originalen identisch; und
- Jedes Informationssystem, aus dem Beweise gesammelt wurden, funktionierte zum Zeitpunkt der Beweisaufnahme ordnungsgemäß.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass eindeutige Benutzerkennungen vergeben werden, die im Falle eines Vorfalls eine entsprechende Analyse zulassen.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen