# OPS-26 Umgang mit Schwachstellen, Vorfällen und Abstürzen - Systemhärtung

- Bereich: OPS – Regelbetrieb
- Gegenüber C5:2020: geändert (vorher OPS-23)
- Webseite: https://c5.patrickscheid.de/ops-26/

## Basiskriterium

### OPS-26.01B

Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters, die für die Bereitstellung des Cloud-Dienstes in der Produktionsumgebung verwendet werden, sind gemäß allgemein anerkannten Branchenstandards gehärtet.

**Ergänzende Information (zu 01B, 05B, 05AS):**

Systemkomponenten im Sinne des Kriteriums sind die für die Informationssicherheit des Cloud-Dienstes während der Erstellung, Verarbeitung, Speicherung, Übertragung, Löschung oder Zerstörung von Informationen benötigten Objekte im Verantwortungsbereich des Cloud-Anbieters, z.B. Firewalls, Loadbalancer, Webserver, Anwendungsserver und Datenbankserver. Diese Systemkomponenten bestehen wiederum aus Hardware- und Softwareobjekten. Dieses Kriterium beschränkt sich auf Softwareobjekte, z.B Hypervisor, Betriebssysteme, Datenbanken, Programmierschnittstellen (APIs), Images (z. B. für virtuelle Maschinen und Container) und Anwendungen zur Protokollierung und Überwachung sicherheitsrelevanter Ereignisse.

**Ergänzende Information:**

Allgemein anerkannte Branchenstandards sind beispielsweise der Security Configuration Benchmark des Center for Internet Security (CIS) oder die entsprechenden Module im BSI IT-Grundschutz-Kompendium.

### OPS-26.02B

Die je Systemkomponente anzuwendenden Vorgaben zur Härtung sind dokumentiert.

### OPS-26.03B

Soweit nicht veränderliche ('immutable') Images eingesetzt werden, wird die Einhaltung der Vorgaben zur Härtung in einem konsistenten Verfahren überprüft.

### OPS-26.04B

Konfigurations- und Protokolldaten (Cloud-Anbieterdaten) bezüglich der kontinuierlichen Bereitstellung dieser Images werden aufbewahrt.

**Ergänzende Information:**

Die Konfigurations- und Protokolldaten bezüglich nicht veränderlicher Images beinhalten beispielsweise:

1. Konfiguration der eingesetzten Images bezüglich umgesetzter Vorgaben zur Härtung;
2. Vorgaben inklusive Versionshistorie; und
3. Protokolldaten bezüglich der  Datei-Integritätsüberwachung der im produktiven Einsatz befindlichen Images.

### OPS-26.05B

Der Cloud-Anbieter implementiert Überwachungsmaßnahmen, um sicherzustellen, dass Systemkomponenten den Vorgaben zur Härtung entsprechen.

**Ergänzende Information (zu 05B, 05AS):**

Die Einhaltung der Vorgaben zur Härtung kann z.B. durch eine Datei-Integritätsüberwachung überwacht werden.

### OPS-26.06B

Erkannte Abweichungen von diesen Vorgaben werden zeitnah an die zuständigen Abteilungen gemeldet, damit diese umgehend beurteilt und Maßnahmen ergriffen werden können.

## Zusatzkriterium

### OPS-26.05AS (Zusatz, verschärft 05B)

Systemkomponenten im Verantwortungsbereich des Cloud-Anbieters werden automatisch auf Einhaltung der Vorgaben zur Härtung überwacht.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass jene Ebenen des Cloud-Dienstes, die unter ihrer Verantwortung stehen, gemäß allgemein etablierter und akzeptierter Branchenstandards zu härten. Die angewendeten Härtungsmaßnahmen resultieren aus einer Risikobeurteilung der geplanten Nutzung des Cloud-Dienstes.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Specified which data types the criterion applies to.

Added requirements for monitoring measures and reporting identified deviations.

**Zusatzkriterium:**

Additional criterion was moved to the basic criterion, however without the requirement of the monitoring or reporting occur automatically.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.