OPS-25 Umgang mit Schwachstellen, Vorfällen und Abstürzen - Schwachstellenscans
Geändert gegenüber C5:2020 · vorher OPS-22
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Reworded existing basic criterion to explicitly use the term "vulnerability scan".
Supplemented requirement regarding the performance of vulnerability scans with references to up-to-date vulenerability databases.
Added requirements regarding the assessment of severity and the remediation of vulnerabilities.
Linked this criterion to the use of the cloud service provider's SIEM.
Zusatzkriterium
Sharpened time frame for the performance of vulnerability scans of the basic criterion from monthly to daily.
Supplemented requirement regarding the assessment of severity with references to CVSS.
Generalised the former additional criterion to allow cloud service providers to define reasonable remediation time frames based on a risk-based classification framework.
Wortlaut in C5:2020
Basiskriterium
System components in the area of responsibility of the Cloud Service Provider for the provision of the cloud service are automatically checked for known vulnerabilities at least once a month in accordance with the policies for handling vulnerabilities (cf. OPS-18), the severity is assessed in accordance with defined criteria and measures for timely remediation or mitigation are initiated within defined time windows.
Zusatzkriterium
Available security patches are applied depending on the severity of the vulnerabilities, as determined based on the latest version of the Common Vulnerability Scoring System (CVSS):
- Critical (CVSS = 9.0 - 10.0): 3 hours;
- High (CVSS = 7.0 - 8.9): 3 days;
- Average (CVSS = 4.0 - 6.9): 1 month;
- Low (CVSS = 0.1 - 3.9): 3 months.
Basiskriterium
Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters für die Bereitstellung des Cloud-Dienstes werden gemäß den Richtlinien zum Umgang mit Schwachstellen (vgl. OPS-18) mindestens monatlich einem Schwachstellenscan unterzogen. Diese Schwachstellenscans umfassen einen Vergleich von Softwarekomponentendaten mit aktuellen Schwachstellendatenbanken (z. B. CVE, EUVD usw.), um bekannte Schwachstellen zu identifizieren.
Ergänzende Information
Gilt auch für 01AS
Im Gegensatz zu Penetrationstests (vgl. OPS-22), die manuell und nach einem individuellen Schema durchgeführt werden, erfolgt die Prüfung auf offene Schwachstellen automatisch mithilfe sogenannter Schwachstellenscanner.
Definitionen der Begriffe 'CVE' und 'EUVD' sowie anderer Begriffe mit Bezug zu Schwachstellen befinden sich in den ergänzenden Informationen zum Kriterium OPS-18.01B.
Die Daten der Softwarekomponenten, die mit aktuellen Schwachstellendatenbanken abgeglichen werden sollen, können, müssen aber nicht, mithilfe einer Software Bill of Materials (SBOM) ermittelt werden.
Der Cloud-Anbieter beurteilt den Schweregrad von Schwachstellen anhand definierter Kriterien.
Maßnahmen zur zeitnahen Behebung oder Mitigation werden innerhalb definierter Zeitfenster eingeleitet.
Die Ergebnisse der Schwachstellenscans werden verwendet, um die SIEM-Systemregeln (vgl. OPS-13) des Cloud-Anbieters zu aktualisieren, sodass das System erkennen kann, wenn bekannte Schwachstellen aktiv ausgenutzt werden.
Zusatzkriterium
OPS-25.01AS
Zusatz, verschärft01BSystemkomponenten im Verantwortungsbereich des Cloud-Anbieters für die Bereitstellung des Cloud-Dienstes werden gemäß den Richtlinien zum Umgang mit Schwachstellen (vgl. OPS-18) mindestens täglich einem Schwachstellenscan unterzogen. Diese Schwachstellenscans umfassen einen Vergleich von Softwarekomponentendaten mit aktuellen Schwachstellendatenbanken (z. B. CVE, EUVD usw.), um bekannte Schwachstellen zu identifizieren.
Ergänzende Information
Gilt auch für 01B
Im Gegensatz zu Penetrationstests (vgl. OPS-22), die manuell und nach einem individuellen Schema durchgeführt werden, erfolgt die Prüfung auf offene Schwachstellen automatisch mithilfe sogenannter Schwachstellenscanner.
Definitionen der Begriffe 'CVE' und 'EUVD' sowie anderer Begriffe mit Bezug zu Schwachstellen befinden sich in den ergänzenden Informationen zum Kriterium OPS-18.01B.
Die Daten der Softwarekomponenten, die mit aktuellen Schwachstellendatenbanken abgeglichen werden sollen, können, müssen aber nicht, mithilfe einer Software Bill of Materials (SBOM) ermittelt werden.
OPS-25.02AS
Zusatz, verschärft02BDer Cloud-Anbieter beurteilt den Schweregrad von Schwachstellen anhand der zum Zeitpunkt der Bewertung aktuellsten Version des Common Vulnerability Scoring System (CVSS).
OPS-25.01AC
Zusatz, erweiterndZeitrahmen für die Einleitung von Behebungs- oder Minderungsbemühungen nach der Identifizierung einer Schwachstelle werden gemäß einem risikobasierten Klassifizierungsrahmenwerks definiert und überwacht. Dieses Rahmenwerk berücksichtigt unter anderem den CVSS-Schweregrad von Schwachstellen.
Ergänzende Information
Ein Beispiel für ein Rahmenwerk zur risikobasierten Klassifizierung und Definition von Zeitrahmen kann sein:
- Kritisch (CVSS = 9,0 - 10,0): 24 - 48 Stunden;
- Hoch (CVSS = 7,0 - 8,9): 48 - 72 Stunden;
- Mittel (CVSS = 4,0 - 6,9): 5 Tage; und
- Niedrig (CVSS = 0,1 - 3,9): 1 Monat.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass in ihrem Verantwortungsbereich liegende Systemkomponenten regelmäßig auf Schwachstellen überprüft werden und sie diese durch geeignete Maßnahmen mitigieren. Wenn Cloud-Kunden virtuelle Maschinen oder Container mit dem Cloud-Dienst betreiben, umfasst dies auch die Durchführung von Schwachstellenscans, um sicherzustellen, dass sichere Images (sog. Golden Images) verwendet werden, die entweder vom Cloud-Anbieter oder vom Cloud-Kunden selbst bereitgestellt werden.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen