PI · Portabilität und Interoperabilität
PI-01 Sicherheit von Eingabe- und Ausgabeschnittstellen
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Moved requirement regarding the documentation of inbound and outbound interfaces to PSS-01 to focus this criterion on the implementation of the interfaces.
Extended requirements for the interfaces by the use of standardised data formats and common data processing standards, the implementation of mechanisms to validate data integrity and establish backup and recovery processes, and the provision of up-to-date information about the available communication protocols.
Added requirement regarding the provision of technical means for extracting cloud service customer data.
Zusatzkriterium
Additional criterion newly included.
Wortlaut in C5:2020
Basiskriterium
The cloud service can be accessed by other cloud services or IT systems of cloud customers through documented inbound and outbound interfaces. Further, the interfaces are clearly documented for subject matter experts on how they can be used to retrieve the data.
Communication takes place through standardised communication protocols that ensure the confidentiality and integrity of the transmitted information according to its protection requirements. Communication over untrusted networks is encrypted according to CRY-02.
The type and scope of the documentation on the interfaces is geared to the needs of the cloud customers' subject matter experts in order to enable the use of these interfaces. The information is maintained in such a way that it is applicable for the cloud service's version which is intended for productive use.
Ergänzende Information zu allen Unterkriterien
In diesem Kontext ist eine Schnittstelle ein Systemzugangspunkt oder eine Bibliotheksfunktion mit einer wohldefinierten Syntax. Sie umfasst dokumentierte Methoden, die es Cloud-Kunden ermöglichen, sicher auf den Cloud-Dienst zuzugreifen und mit ihm zu interagieren, wodurch der Austausch von Daten ermöglicht wird.
Diese Schnittstellen und ihre Dokumentation sollten ausreichende Informationen über den Cloud-Dienst enthalten, um die Entwicklung von Software zu ermöglichen, die zum Zweck der Datenportabilität und Interoperabilität mit ihm kommuniziert. Der Cloud-Anbieter ist jedoch nicht verpflichtet, zu diesem Zweck neue Technologien zu entwickeln oder Informationen weiterzugeben, die durch Rechte des geistigen Eigentums geschützt sind oder ein Geschäftsgeheimnis darstellen.
Während diese Schnittstellen die Mittel zur Kommunikation mit dem Cloud-Dienst bereitstellen, bedeuten sie nicht, dass Cloud-Kunden ihre kundenspezifischen Systeme direkt anschließen können, als wären diese nativ integriert. Stattdessen können Cloud-Kunden ihre Systeme konfigurieren, indem sie Methoden wie API-Aufrufe verwenden und die vom Cloud-Anbieter bereitgestellten festgelegten Protokolle und Datenformate einhalten.
Um eine nahtlose und sichere Kommunikation zwischen Schnittstellen sicherzustellen, verwendet der Cloud-Anbieter branchenübliche API-Protokolle und implementiert dem Stand der Technik entsprechende Transportschichtsicherheit. Der Cloud-Anbieter unterstützt plattformübergreifende Informationsverarbeitung durch den Einsatz von Containerisierungstechnologien und Cloud-Anbieter-agnostischen Entwicklungs-Frameworks. Infrastructure as Code Verfahren werden übernommen, um die Bereitstellung von Infrastruktur zu standardisieren. Gemeinsame Richtlinien zur Datennutzung werden definiert und durchgesetzt, um einen konsistenten und sicheren Zugriff auf Cloud-Kundendaten sowie deren Nutzung und Weitergabe sicherzustellen. Nach Vertragsbeendigung unterstützt der Cloud-Anbieter Cloud-Kunden beim Export und bei der Übertragung ihrer Cloud-Kundendaten, z. B. durch die Bereitstellung technischer Dokumentation und von Datenexportwerkzeugen.
Basiskriterium
Für die Eingabe- und Ausgabeschnittstellen, über die auf den Cloud-Dienst durch andere Cloud-Dienste oder IT-Systeme von Cloud-Kunden zugegriffen werden kann, entwirft, implementiert und pflegt der Cloud-Anbieter Kontrollen hinsichtlich der folgenden Aspekte:
- Die Verwendung standardisierter Kommunikationsprotokolle für Interaktionen zwischen verschiedenen Anwendungsschnittstellen, um die Vertraulichkeit und Integrität der übertragenen Informationen entsprechend ihrem Schutzbedarf sowie die angemessene Authentisierung des Nutzers sicherzustellen;
- Die Verwendung von Verschlüsselung gemäß CRY-02 bei Kommunikation über nicht vertrauenswürdige Netze;
- Die Verwendung standardisierter Datenformate und gemeinsamer Standards der Datenverarbeitung, um die Interoperabilität der Informationsverarbeitung zu erleichtern;
- Die Implementierung von Mechanismen zur Validierung der Datenintegrität und zur Etablierung von Sicherungs- und Wiederherstellungsprozessen, um Datensicherheit und Zuverlässigkeit während Austausch, Nutzung und Übertragung sicherzustellen; und
- Die Bereitstellung aktueller Informationen über die verfügbaren Kommunikationsprotokolle sowie die anwendbaren Datenformate und Standards der Datenverarbeitung.
Der Cloud-Anbieter stellt dem Cloud-Kunden geeignete technische Mittel zur Extraktion von Cloud-Kundendaten gemäß dem vorherigen Unterkriterium zur Verfügung. Soweit Datenvolumen, Format oder Architektur eine kundenseitige Extraktion nicht praktikabel machen, stellt der Cloud-Anbieter dem Cloud-Kunden angemessene Extraktionsdienste zur Verfügung.
Zusatzkriterium
PI-01.01AC
Zusatz, erweiterndDer Cloud-Anbieter richtet eine Anwendungs-Firewall ein, um die über öffentliche Netze erreichbaren Administrationsschnittstellen für Cloud-Kunden zu schützen.
PI-01.02AC
Zusatz, erweiterndDer Cloud-Dienst stellt Cloud-Kunden Schnittstellen für kundenspezifische Identitätsanbieter zur Verfügung, um die Authentisierungsinformationen von Nutzern unter der Verantwortung des Cloud-Kunden zu verwalten. Diese Schnittstellen werden von einem standardisierten Protokoll begleitet, um die Kommunikation zwischen dem Cloud-Dienst und dem externen Identitätsanbieter zu erleichtern.
PI-01.03AC
Zusatz, erweiterndDie Schnittstellen sind klar dokumentiert, um sachverständigem Personal des Cloud-Kunden die Integration ihres Identitätsanbieters mit dem Cloud-Dienst zu ermöglichen.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die bereitgestellten Schnittstellen (und deren Sicherheit) durch geeignete Prüfungen vor Beginn der Nutzung des Cloud-Dienstes und jedes Mal, wenn die Schnittstellen geändert werden, für ihren Schutzbedarf angemessen sind.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen