OPS-26 Umgang mit Schwachstellen, Vorfällen und Abstürzen - Systemhärtung
Geändert gegenüber C5:2020 · vorher OPS-23
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Added requirements for monitoring measures and reporting identified deviations.
Zusatzkriterium
Additional criterion was moved to the basic criterion, however without the requirement of the monitoring or reporting occur automatically.
Wortlaut in C5:2020
Basiskriterium
System components in the production environment used to provide the cloud service under the Cloud Service Provider's responsibility are hardened according to generally accepted industry standards. The hardening requirements for each system component are documented.
If non-modifiable ("immutable") images are used, compliance with the hardening specifications as defined in the hardening requirements is checked upon creation of the images. Configuration and log files regarding the continuous availability of the images are retained.
Zusatzkriterium
System components in the Cloud Service Provider's area of responsibility are automatically monitored for compliance with hardening specifications. Deviations from the specifications are automatically reported to the appropriate departments of the Cloud Service Provider for immediate assessment and action.
Basiskriterium
Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters, die für die Bereitstellung des Cloud-Dienstes in der Produktionsumgebung verwendet werden, sind gemäß allgemein anerkannten Branchenstandards gehärtet.
Ergänzende Information
Systemkomponenten im Sinne des Kriteriums sind die für die Informationssicherheit des Cloud-Dienstes während der Erstellung, Verarbeitung, Speicherung, Übertragung, Löschung oder Zerstörung von Informationen benötigten Objekte im Verantwortungsbereich des Cloud-Anbieters, z.B. Firewalls, Loadbalancer, Webserver, Anwendungsserver und Datenbankserver. Diese Systemkomponenten bestehen wiederum aus Hardware- und Softwareobjekten. Dieses Kriterium beschränkt sich auf Softwareobjekte, z.B Hypervisor, Betriebssysteme, Datenbanken, Programmierschnittstellen (APIs), Images (z. B. für virtuelle Maschinen und Container) und Anwendungen zur Protokollierung und Überwachung sicherheitsrelevanter Ereignisse.
Ergänzende Information
Allgemein anerkannte Branchenstandards sind beispielsweise der Security Configuration Benchmark des Center for Internet Security (CIS) oder die entsprechenden Module im BSI IT-Grundschutz-Kompendium.
Die je Systemkomponente anzuwendenden Vorgaben zur Härtung sind dokumentiert.
Soweit nicht veränderliche ('immutable') Images eingesetzt werden, wird die Einhaltung der Vorgaben zur Härtung in einem konsistenten Verfahren überprüft.
Konfigurations- und Protokolldaten (Cloud-Anbieterdaten) bezüglich der kontinuierlichen Bereitstellung dieser Images werden aufbewahrt.
Ergänzende Information
Die Konfigurations- und Protokolldaten bezüglich nicht veränderlicher Images beinhalten beispielsweise:
- Konfiguration der eingesetzten Images bezüglich umgesetzter Vorgaben zur Härtung;
- Vorgaben inklusive Versionshistorie; und
- Protokolldaten bezüglich der Datei-Integritätsüberwachung der im produktiven Einsatz befindlichen Images.
Der Cloud-Anbieter implementiert Überwachungsmaßnahmen, um sicherzustellen, dass Systemkomponenten den Vorgaben zur Härtung entsprechen.
Ergänzende Information
Systemkomponenten im Sinne des Kriteriums sind die für die Informationssicherheit des Cloud-Dienstes während der Erstellung, Verarbeitung, Speicherung, Übertragung, Löschung oder Zerstörung von Informationen benötigten Objekte im Verantwortungsbereich des Cloud-Anbieters, z.B. Firewalls, Loadbalancer, Webserver, Anwendungsserver und Datenbankserver. Diese Systemkomponenten bestehen wiederum aus Hardware- und Softwareobjekten. Dieses Kriterium beschränkt sich auf Softwareobjekte, z.B Hypervisor, Betriebssysteme, Datenbanken, Programmierschnittstellen (APIs), Images (z. B. für virtuelle Maschinen und Container) und Anwendungen zur Protokollierung und Überwachung sicherheitsrelevanter Ereignisse.
Ergänzende Information
Gilt auch für 05AS
Die Einhaltung der Vorgaben zur Härtung kann z.B. durch eine Datei-Integritätsüberwachung überwacht werden.
Erkannte Abweichungen von diesen Vorgaben werden zeitnah an die zuständigen Abteilungen gemeldet, damit diese umgehend beurteilt und Maßnahmen ergriffen werden können.
Zusatzkriterium
OPS-26.05AS
Zusatz, verschärft05BSystemkomponenten im Verantwortungsbereich des Cloud-Anbieters werden automatisch auf Einhaltung der Vorgaben zur Härtung überwacht.
Ergänzende Information
Systemkomponenten im Sinne des Kriteriums sind die für die Informationssicherheit des Cloud-Dienstes während der Erstellung, Verarbeitung, Speicherung, Übertragung, Löschung oder Zerstörung von Informationen benötigten Objekte im Verantwortungsbereich des Cloud-Anbieters, z.B. Firewalls, Loadbalancer, Webserver, Anwendungsserver und Datenbankserver. Diese Systemkomponenten bestehen wiederum aus Hardware- und Softwareobjekten. Dieses Kriterium beschränkt sich auf Softwareobjekte, z.B Hypervisor, Betriebssysteme, Datenbanken, Programmierschnittstellen (APIs), Images (z. B. für virtuelle Maschinen und Container) und Anwendungen zur Protokollierung und Überwachung sicherheitsrelevanter Ereignisse.
Ergänzende Information
Gilt auch für 05B
Die Einhaltung der Vorgaben zur Härtung kann z.B. durch eine Datei-Integritätsüberwachung überwacht werden.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass jene Ebenen des Cloud-Dienstes, die unter ihrer Verantwortung stehen, gemäß allgemein etablierter und akzeptierter Branchenstandards zu härten. Die angewendeten Härtungsmaßnahmen resultieren aus einer Risikobeurteilung der geplanten Nutzung des Cloud-Dienstes.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen