# OPS-25 Umgang mit Schwachstellen, Vorfällen und Abstürzen - Schwachstellenscans

- Bereich: OPS – Regelbetrieb
- Gegenüber C5:2020: geändert (vorher OPS-22)
- Webseite: https://c5.patrickscheid.de/ops-25/

## Basiskriterium

### OPS-25.01B

Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters für die Bereitstellung des Cloud-Dienstes werden gemäß den Richtlinien zum Umgang mit Schwachstellen (vgl. OPS-18) mindestens monatlich einem Schwachstellenscan unterzogen. Diese Schwachstellenscans umfassen einen Vergleich von Softwarekomponentendaten mit aktuellen Schwachstellendatenbanken (z. B. CVE, EUVD usw.), um bekannte Schwachstellen zu identifizieren.

**Ergänzende Information (zu 01B, 01AS):**

Im Gegensatz zu Penetrationstests (vgl. OPS-22), die manuell und nach einem individuellen Schema durchgeführt werden, erfolgt die Prüfung auf offene Schwachstellen automatisch mithilfe sogenannter Schwachstellenscanner.

Definitionen der Begriffe 'CVE' und 'EUVD' sowie anderer Begriffe mit Bezug zu Schwachstellen befinden sich in den ergänzenden Informationen zum Kriterium OPS-18.01B.

Die Daten der Softwarekomponenten, die mit aktuellen Schwachstellendatenbanken abgeglichen werden sollen, können, müssen aber nicht, mithilfe einer Software Bill of Materials (SBOM) ermittelt werden.

### OPS-25.02B

Der Cloud-Anbieter beurteilt den Schweregrad von Schwachstellen anhand definierter Kriterien.

### OPS-25.03B

Maßnahmen zur zeitnahen Behebung oder Mitigation werden innerhalb definierter Zeitfenster eingeleitet.

### OPS-25.04B

Die Ergebnisse der Schwachstellenscans werden verwendet, um die SIEM-Systemregeln (vgl. OPS-13) des Cloud-Anbieters zu aktualisieren, sodass das System erkennen kann, wenn bekannte Schwachstellen aktiv ausgenutzt werden.

## Zusatzkriterium

### OPS-25.01AS (Zusatz, verschärft 01B)

Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters für die Bereitstellung des Cloud-Dienstes werden gemäß den Richtlinien zum Umgang mit Schwachstellen (vgl. OPS-18) mindestens täglich einem Schwachstellenscan unterzogen. Diese Schwachstellenscans umfassen einen Vergleich von Softwarekomponentendaten mit aktuellen Schwachstellendatenbanken (z. B. CVE, EUVD usw.), um bekannte Schwachstellen zu identifizieren.

### OPS-25.02AS (Zusatz, verschärft 02B)

Der Cloud-Anbieter beurteilt den Schweregrad von Schwachstellen anhand der zum Zeitpunkt der Bewertung aktuellsten Version des Common Vulnerability Scoring System (CVSS).

### OPS-25.01AC (Zusatz, erweiternd)

Zeitrahmen für die Einleitung von Behebungs- oder Minderungsbemühungen nach der Identifizierung einer Schwachstelle werden gemäß einem risikobasierten Klassifizierungsrahmenwerks definiert und überwacht. Dieses Rahmenwerk berücksichtigt unter anderem den CVSS-Schweregrad von Schwachstellen.

**Ergänzende Information:**

Ein Beispiel für ein Rahmenwerk zur risikobasierten Klassifizierung und Definition von Zeitrahmen kann sein:

1. Kritisch (CVSS = 9,0 - 10,0): 24 - 48 Stunden;
2. Hoch (CVSS = 7,0 - 8,9): 48 - 72 Stunden;
3. Mittel (CVSS = 4,0 - 6,9): 5 Tage; und
4. Niedrig (CVSS = 0,1 - 3,9): 1 Monat.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass in ihrem Verantwortungsbereich liegende Systemkomponenten regelmäßig auf Schwachstellen überprüft werden und sie diese durch geeignete Maßnahmen mitigieren. Wenn Cloud-Kunden virtuelle Maschinen oder Container mit dem Cloud-Dienst betreiben, umfasst dies auch die Durchführung von Schwachstellenscans, um sicherzustellen, dass sichere Images (sog. Golden Images) verwendet werden, die entweder vom Cloud-Anbieter oder vom Cloud-Kunden selbst bereitgestellt werden.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Reworded existing basic criterion to explicitly use the term "vulnerability scan".

Supplemented requirement regarding the performance of vulnerability scans with references to up-to-date vulenerability databases.

Added requirements regarding the assessment of severity and the remediation of vulnerabilities.

Linked this criterion to the use of the cloud service provider's SIEM.

**Zusatzkriterium:**

Sharpened time frame for the performance of vulnerability scans of the basic criterion from monthly to daily.

Supplemented requirement regarding the assessment of severity with references to CVSS.

Generalised the former additional criterion to allow cloud service providers to define reasonable remediation time frames based on a risk-based classification framework.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.