# OPS-23 Umgang mit Schwachstellen, Vorfällen und Abstürzen - Messungen, Analysen und Bewertungen von Abläufen

- Bereich: OPS – Regelbetrieb
- Gegenüber C5:2020: unverändert (vorher OPS-20)
- Webseite: https://c5.patrickscheid.de/ops-23/

## Basiskriterium

### OPS-23.01B

Der Cloud-Anbieter misst, analysiert und beurteilt regelmäßig die Verfahren, mit denen Schwachstellen und Vorfälle behandelt werden, um deren fortdauernde Eignung, Angemessenheit und Wirksamkeit zu überprüfen.

**Ergänzende Information:**

Die Beurteilung der Eignung, Angemessenheit und Wirksamkeit von Verfahren zur Behandlung von Schwachstellen und Vorfällen kann auf folgenden Informationen basieren:

1. Regelmäßige Berichterstattung über KPIs (Key Performance Indicators), die volumen-, zeit- oder auflösungs-/qualitätsbasiert sind;
2. Cloud-Kundenbeschwerden oder Ergebnisse von Cloud-Kundenbefragungen über deren Zufriedenheit mit den Verfahren; und
3. Ergebnisse interner oder externer Audits.

Zu den KPIs für Schwachstellen zählen beispielsweise:

1. Mean Time to Detect (MTTD, durchschnittliche Zeit, die benötigt wird, um eine Schwachstelle von ihrer Offenlegung oder Entstehung zu entdecken);
2. Mean Time to Remediate (MTTR, durchschnittliche Zeit, die zum Beheben oder Patchen einer Schwachstelle benötigt wird, nachdem diese erkannt wurde);
3. Anzahl offener Schwachstellen je Schweregrad; und
4. Prozentsatz der Schwachstellen, die innerhalb eines festgelegten Zeitraums behoben wurden.

Zu den KPIs für Vorfälle zählen beispielsweise:

1. Anzahl der über einen bestimmten Zeitraum gemeldeten Vorfälle und wie sich diese im Laufe der Zeit entwickelt haben;
2. Durchschnittliche Reaktions- und Lösungszeit;
3. Prozentsatz der Vorfälle, die im Rahmen der vereinbarten Service Level-Vereinbarung gelöst wurden; und
4. Prozentsatz der Vorfälle, die beim ersten Lösungsversuch gelöst wurden.

### OPS-23.02B

Ergebnisse werden mindestens quartalsweise von verantwortlichen Personen oder Gruppen des Cloud-Anbieters in dokumentierter Form beurteilt, um Maßnahmen zur fortlaufenden Verbesserung zu initiieren oder deren Wirksamkeit zu überprüfen.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.