# OPS-27 Umgang mit Schwachstellen - Richtlinien und Verfahren zum Patch-Management

- Bereich: OPS – Regelbetrieb
- Gegenüber C5:2020: neu in C5:2026
- Webseite: https://c5.patrickscheid.de/ops-27/

**Ergänzende Information:**

Unter Patches versteht man Software-Updates für Systemkomponenten mit dem Ziel, die Sicherheit durch Behebung von Problemen, Schwachstellen oder Exploits zu erhöhen.

## Basiskriterium

### OPS-27.01B

Richtlinien und Verfahren mit technischen und organisatorischen Maßnahmen werden gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt, um sicherzustellen, dass Systemkomponenten, die in der Verantwortung des Cloud-Anbieters liegen, innerhalb eines angemessenen Zeitrahmens gepatcht werden, abhängig von vertraglichen Vereinbarungen und identifizierten Schwachstellen oder Exploits. Diese Richtlinien und Verfahren enthalten Vorgaben zu folgenden Aspekten:

1. Die Software wird auf dem neuesten Stand gehalten, einschließlich der zeitnahen Bereitstellung von Sicherheitspatches.
2. Patches werden gegebenenfalls innerhalb der Wartungsfenster geplant, um Dienstunterbrechungen zu minimieren; und
3. Patches werden in Nicht-Produktionsumgebungen getestet, bevor sie in der Produktionsumgebung bereitgestellt werden, vorausgesetzt, der Test war erfolgreich. Es sind Mechanismen vorhanden, um bei unerwarteten Problemen auf frühere Softwareversionen zurückgreifen zu können.

**Ergänzende Information:**

Was als zeitnah im Sinne dieses Unterkriteriums gilt, hängt von der Kritikalität des gepatchten Problems, der Schwachstelle oder des Exploits ab.

### OPS-27.02B

Patch-Management-Verfahren sind mit dem gesamten Software-Change-Management-Prozess des Cloud-Anbieters abgestimmt (vgl. DEV-03).

### OPS-27.03B

Gemäß den Maßnahmen und Verfahren des gesamten Änderungsmanagement werden von Dritten bereitgestellte Patches identifiziert, getestet und bereitgestellt.

### OPS-27.04B

Systeme werden nach der Anwendung von Patches gescannt, um sicherzustellen, dass Schwachstellen und Exploits behoben werden und keine bekannten oder nicht behobenen Schwachstellen oder Exploits eingesetzt werden.

**Ergänzende Information:**

Die nach der Anwendung eines Patches durchgeführten Scans können, müssen aber nicht, auf die Systemkomponenten beschränkt sein, auf die der Patch angewendet wurde.

## Zusatzkriterium

### OPS-27.03AS (Zusatz, verschärft 03B)

Gemäß den Maßnahmen und Verfahren des gesamten Änderungsmanagements werden von Dritten bereitgestellte Patches identifiziert, getestet und automatisiert bereitgestellt. Für Patches, bei denen ein manueller Eingriff erforderlich ist, wird ein Ausnahmebehandlungsprozess für manuelles Patchen definiert.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.