# OPS-18 Umgang mit Schwachstellen - Richtlinien und Verfahren - Bereich: OPS – Regelbetrieb - Gegenüber C5:2020: geändert - Webseite: https://c5.patrickscheid.de/ops-18/ ## Basiskriterium ### OPS-18.01B Richtlinien und Verfahren mit technischen und organisatorischen Maßnahmen sind gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt, um das zeitnahe Identifizieren und Adressieren von Schwachstellen der Systemkomponenten, die für die Bereitstellung des Cloud-Dienstes verwendet werden, zu regeln. Diese Richtlinien und Verfahren enthalten Vorgaben zu folgenden Aspekten: 1. Regelmäßige (proaktive) Identifizierung von Schwachstellen durch geeignete Maßnahmen, einschließlich Schwachstellenscans und Penetrationstests, unter Berücksichtigung typischer Schwachstellenklassen und gemeinsamer Schwachstellen (Common Weaknesses, CWEs); 2. Beurteilung des Schweregrads identifizierter Schwachstellen mithilfe des Common Vulnerability Scoring System (CVSS); 3. Priorisierung und Umsetzung von Maßnahmen unter Berücksichtigung bestehender Standards zur zeitnahen Behebung und/oder Mitigation identifizierter Schwachstellen basierend auf dem Schweregrad gemäß definierter Zeitrahmen und unter Bezugnahme auf häufig verwendete Bewertungssysteme wie das Exploit Prediction Scoring System (EPSS) und die Stakeholder-Specific Vulnerability Categorization (SSVC); 4. Bereitstellung von Sicherheitspatches; 5. Umgang mit Systemkomponenten, für die basierend auf einer Risikobeurteilung keine Maßnahmen zur zeitnahen Behebung oder Mitigation der Schwachstellen eingeleitet werden; 6. Schnittstellen zum Vorfallsmanagement für den Fall, dass Schwachstellen zu Vorfällen werden; 7. Sofern KI-basierte Tools zur Durchführung von Schwachstellenscans oder Penetrationstests eingesetzt werden, Anforderungen an die verständliche (nachvollziehbare, transparente) Dokumentation des Einsatzes dieser Tools und dass diese Tools zur Unterstützung der Fachexperten des Cloud-Anbieters eingesetzt werden und nicht als deren Ersatz; und 8. Bereitstellung von Informationen über die Konfiguration von Systemkomponenten und Cloud-Diensten, die bestehenden Schwachstellen und die verfügbaren Patches und/oder Maßnahmen zur Behebung unter Verwendung weit verbreiteter, vorzugsweise automatisierter Formate. **Ergänzende Information:** Geeignete Maßnahmen zur Identifizierung von Schwachstellen umfassen die Implementierung von RFC 9116 in Verbindung mit einer CVD-Richtlinie (Coordinated Vulnerability Disclosure) gemäß etablierten Richtlinien wie ISO/IEC TR 5895:2022 und ISO/IEC 29147:2018 sowie Community-Standards wie der Project Zero Vulnerability Disclosure Policy von Google. Das Common Vulnerability Scoring System (CVSS) ist ein technischer Standard, der zur Bewertung des Schweregrads identifizierter Schwachstellen verwendet werden kann. Die Bewertungen werden auf der Grundlage einer Formel mit mehreren Metriken berechnet, die die Leichtigkeit und Auswirkung eines Exploits abschätzen. In CVSS Version 4.0 können die Scores wie folgt auf qualitative Bewertungen abgebildet werden: 1. Niedrig: 0,1 - 3,9; 2. Mittel: 4,0 - 6,9; 3. Hoch: 7,0 - 8,9; und 4. Kritisch: 9,0 - 10,0. Zu den weit verbreiteten Formaten zur Konfiguration von Systemkomponenten und Cloud-Diensten, den bestehenden Schwachstellen und den verfügbaren Patches und/oder Mitigationsmaßnahmen gehören unter anderem: 1. Software Bill of Materials (SBOM), 2. Common Vulnerabilities and Exposures (CVE) oder European Vulnerability Database (EUVD), 3. Vulnerability, Exploitability eXchange (VEX); und 4. Common Security Advisory Frameworks (CSAF). **Ergänzende Information (zu 01B, 02B, 03B):** ISO/IEC 30111:2019 stellt Anforderungen und Empfehlungen für die Priorisierung und Umsetzung von Maßnahmen bereit, um die zeitnahe Behebung oder Minderung identifizierter Schwachstellen sicherzustellen. ### OPS-18.02B Die Richtlinien und Verfahren für die zeitnahe Identifizierung und Behebung von Schwachstellen legen fest, dass bei als 'kritisch' eingestuften Schwachstellen zeitnah nach der Identifizierung mit dem Umgang mit diesen begonnen werden muss, auch wenn dies außerhalb der regulären Arbeitszeiten geschieht. Sie definieren auch, wie mit einer solchen Sicherheitslücke umgegangen wird. ### OPS-18.03B In den Richtlinien und Verfahren zur zeitnahen Identifizierung und Behebung von Schwachstellen ist außerdem festgelegt, dass bei als 'hoch' eingestuften Schwachstellen der Umgang mit diesen innerhalb eines Arbeitstags nach ihrer Identifizierung beginnen muss. Sie definieren auch, wie mit einer solchen Sicherheitslücke umgegangen wird. ### OPS-18.04B Der Umgang mit einer Schwachstelle gemäß den Richtlinien und Verfahren zur zeitnahen Identifizierung und Behebung von Schwachstellen umfasst die regelmäßige Nachverfolgung der Schwachstelle bis zu ihrer Behebung. ### OPS-18.05B Basierend auf einer Risikobeurteilung (vgl. OIS-07) kann der Cloud-Anbieter entscheiden, identifizierte Schwachstellen nicht zu beheben oder zu mitigieren. Eine solche Risikobeurteilung und die kompensierenden oder mitigierende Maßnahmen werden regelmäßig und bei wesentlichen Änderungen des Cloud-Dienstes überprüft. ## Korrespondierende Kriterien für Kunden Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie Systemkomponenten in ihrem Verantwortungsbereich regelmäßig auf Schwachstellen überprüfen und diese durch geeignete Maßnahmen adressieren. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Extended aspects to be addressed by the guidelines and instructions by the deployment of security patches, interfaces to incident management, requirements for the use of AI-based tools and information on the configuration of system components. Supplemented aspects to be addressed by the guidelines and instructions with references to commonly used systems such as CWE and CVSS. Added requirements regarding the engagement with identified vulnerabilities, including the decision not to remediate them. Bullet points are now sorted to ease discussions about specific list items --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.