PS-01 Sicherheitsanforderungen für Gebäude und Räumlichkeiten
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Added requirements regarding the definition of security areas.
Specified which security objectives the security requirements are to be based on.
Extended the risks to be addressed by the security requirements by unauthorised drone access, lightning and overvoltage as well as failures and unavailable telecommunications. Further merged insufficient air-conditioning as well as air ventialtion and filtration into one list item, supplemented by insufficient heating.
Moved requirement regarding the maximum tolerable downtimes of utility facilities from the additional criterion to the basic criterion.
Extended requirement regarding the operation of the cloud service in data centres operated by service organisations.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
Increased requirement regarding self-sufficiency from 48 hours to 72 hours, or until successful transfer of all services.
Modified specification regarding security requirements for a self-sufficient operation during a heat period to be more goal-oriented.
Generalise requirement regarding water for air conditioning being taken from a river to water being taken from a body of water.
Move requirement regarding the maximum tolerable downtime to the basic criterion.
Wortlaut in C5:2020
Basiskriterium
Security requirements for premises and buildings related to the cloud service provided, are based on the security objectives of the information security policy, identified protection requirements for the cloud service and the assessment of risks to physical and environmental security. The security requirements are documented, communicated and provided in a policy or concept according to SP-01.
The security requirements for data centres are based on criteria which comply with established rules of technology. They are suitable for addressing the following risks in accordance with the applicable legal and contractual requirements:
- Faults in planning;
- Unauthorised access;
- Insufficient surveillance;
- Insufficient air-conditioning;
- Fire and smoke;
- Water;
- Power failure; and
- Air ventilation and filtration.
If the Cloud Service Provider uses premises or buildings operated by third parties to provide the Cloud Service, the document describes which security requirements the Cloud Service Provider places on these third parties.
The appropriate and effective verification of implementation is carried out in accordance with the criteria for controlling and monitoring subcontractors (cf. SSO-01, SSO-02).
Zusatzkriterium
The security requirements include time constraints for self-sufficient operation in the event of exceptional events (e.g. prolonged power outage, heat waves, low water in cold river water supply) and maximum tolerable utility downtime.
The time limits for self-sufficient operation provide for at least 48 hours in the event of a failure of the external power supply.
For a self-sufficient operation during a heat period, the highest outside temperatures measured to date within a radius of at least 50 km around the locations of the premises and buildings have been determined with a safety margin of 3 K. The security requirements stipulate that the permissible operating and environmental parameters of the cooling supply must also be observed on at least five consecutive days with these outside temperatures including the safety margin (cf. PS-06 Protection against failure of the supply facilities).
If water is taken from a river for air conditioning, it is determined at which water levels and water temperatures the air conditioning can be maintained for how long.
The maximum tolerable downtimes of utility facilities are suitable for meeting the availability requirements contained in the service level agreement.
Ergänzende Information zu allen Unterkriterien
Eine fehlerhafte Planung kann die Betriebssicherheit und Verfügbarkeit der Räumlichkeiten oder Gebäude gefährden. Dies kann insbesondere aus einer falschen Bewertung elementarer Gefährdungen am Standort (z. B. Luftverkehr, Erdbeben, Hochwasser, Gefahrstoffe) sowie einer fehlerhaften Konzeptionierung der Bandbreite oder Energieversorgung resultieren.
Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst umfassen Rechenzentren und Serverräume, die Systemkomponenten beherbergen, mit denen Cloud-Kundendatem verarbeitet werden (einschließlich Rechenzentren für Datensicherungs- oder Redundanzzwecke) sowie die für den Betrieb dieser Systemkomponenten benötigten technischen Versorgungseinrichtungen (z. B. Stromversorgung, Kälteversorgung, Löschtechnik, Telekommunikation, Sicherheitstechnik etc.).
Räumlichkeiten und Gebäude, in denen keine Cloud-Kundendaten verarbeitet oder gespeichert werden (z. B. Büros des Cloud-Anbieters, Serverräume mit Systemkomponenten für interne Entwicklungs- und Testsysteme), unterliegen Anforderungen, die speziell unter PS-08 behandelt werden.
Basiskriterium
Der Cloud-Anbieter definiert und dokumentiert mindestens zwei Sicherheitsbereiche, mit mindestens einem sensiblen Bereich und einem öffentlichen Bereich. Ein sensibler Bereich umfasst die Gebäude und Räumlichkeiten, in denen sensible Tätigkeiten stattfinden, wie etwa das Hosting der Systemkomponenten, die für die Bereitstellung des Cloud-Dienstes verwendet werden. Ein öffentlicher Bereich umfasst alle Gebäude und Räumlichkeiten, die nicht anderweitig durch einen Sicherheitsbereich abgedeckt sind.
Sicherheitsanforderungen für Gebäude und Räumlichkeiten mit Bezug zum bereitgestellten Cloud-Dienst sind aus den Sicherheitszielen der Informationssicherheitsrichtlinie, dem identifizierten Schutzbedarf für den Cloud-Dienst und einer Risikobeurteilung hinsichtlich der physischen und umgebungsbezogenen Sicherheit abgeleitet. Die Sicherheitsanforderungen sind in einer Richtlinie oder einem Rahmenwerk gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt.
Sicherheitsanforderungen für Rechenzentren basieren auf Kriterien in Übereinstimmung mit dem Stand der Technik und den Kriterien PS-02 bis PS-07. Sie sind geeignet, die folgenden Risiken im Einklang mit den anwendbaren gesetzlichen und vertraglichen Anforderungen zu adressieren:
- Fehlerhafte Planung;
- Unbrechtigter Zutritt (einschließlich Zutritt zum Gelände durch Drohnen);
- Unzureichende Überwachung;
- Blitze und Überspannung (im Einklang mit den internationalen Normen der IEC 62305);
- Feuer und Rauch;
- Unerwünschtes Wasser;
- Ausfälle und/oder nicht verfügbare Telekommunikation;
- Stromausfall; und
- Unzureichende Heizung, Belüftung, Klimatisierung (HVAC) und Luftfiltration.
Ergänzende Information
Der Stand der Technik ist in einschlägigen Normen definiert, z. B. EN 50600 (Einrichtungen und Infrastrukturen von Rechenzentren). Hinweis für zweisprachige Leser: Die deutsche Version des C5 verwendet den Begriff *Stand der Technik* während im Englischen *established rules of technology* verwendet wird, obwohl der deutsche Leser möglicherweise den Begriff *state of the art* erwarten könnte. *State of the art* definiert ein höheres Niveau als *Stand der Technik*, daher wird im Englischen *established rules of technology* und im Deutschen *Stand der Technik* verwendet.
Die maximal tolerierbaren Ausfallzeiten von Versorgungseinrichtungen sind geeignet, die in der Service Level-Vereinbarung enthaltenen Verfügbarkeitsanforderungen zu erfüllen.
Wenn der Cloud-Anbieter den Cloud-Dienst in von Service-Organisationen betriebenen Rechenzentren betreibt, beschreibt das Dokument:
- Die von den Service-Organisationen erwarteten komplementären Kontrollen der Subservice-Organisationen (CSOC); und
- Die Maßnahmen zur Überwachung der Ausgestaltung und des Betriebs von Kontrollen bei den Service-Organisationen in Bezug auf diese CSOC (vgl. SSO-05).
Ergänzende Information
Räumlichkeiten und Gebäude, die von Dritten betrieben werden sind z. B. Serverhousing, Colocation oder IaaS.
Wenn der Cloud-Anbieter den Cloud-Dienst in von Service-Organisationen betriebenen Rechenzentren betreibt, führt der Cloud-Anbieter eine Überprüfung der Implementierung geeigneter CSOC gemäß den Kriterien zur Steuerung und Überwachung von Service-Organisationen durch (vgl. SSO-05).
Zusatzkriterium
PS-01.01AC
Zusatz, erweiterndDie Sicherheitsanforderungen umfassen Zeitvorgaben für den autarken Betrieb beim Eintritt außergewöhnlicher Ereignisse (z. B. länger anhaltender Stromausfall, Hitzeperioden, Niedrigwasser bei Kälteversorgung mit Flusswasser) sowie maximal tolerierbare Ausfallzeiten von Versorgungseinrichtungen.
PS-01.02AC
Zusatz, erweiterndDie Sicherheitsanforderungen umfassen Zeitvorgaben, um bei einem Ausfall der externen Stromversorgung einen autarken Betrieb eines Standorts für mindestens 72 Stunden zu ermöglichen, oder bis alle Dienste auf einen anderen Standort übertragen sind.
Ergänzende Information
Der Zeitraum von 72 Stunden für einen autarken Betrieb steht im Einklang mit Leitlinien für Behörden, Unternehmen und Betreiber kritischer Anlagen (KRITIS) des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK).
PS-01.03AC
Zusatz, erweiterndDie Sicherheitsanforderungen für einen autarken Betrieb während einer Hitzeperiode basieren auf den höchsten Außentemperaturen, von denen vernünftigerweise geschätzt werden kann, dass sie an den Standorten der Räumlichkeiten und Gebäude innerhalb der Lebensdauer der Kühlungsversorgung auftreten können. Der Cloud-Anbieter bestimmt diese Temperaturen mit einem angemessenen Sicherheitsaufschlag.
Ergänzende Information
Eine vernünftige Schätzung der höchsten Außentemperaturen kann auf Informationen basieren, die von amtlichen Messstationen wie dem Deutschen Wetterdienst (DWD) oder anderen verlässlichen Quellen geliefert werden, wie z. B. der American Society of Heating, Refrigerating and Air-Conditioning Engineers (ASHRAE).
Diese Schätzungen sollten die Auswirkungen der globalen Erwärmung berücksichtigen.
Was einen angemessene Sicherheitsaufschlag ausmacht, hängt vom Standort der Räumlichkeiten und Gebäude ab. In Deutschland können 3 Kelvin im Allgemeinen als angemessen angesehen werden.
PS-01.04AC
Zusatz, erweiterndDie Sicherheitsanforderungen sehen vor, dass die zulässigen Betriebs- und Umgebungsparameter der Kälteversorgung auch an mindestens 5 unmittelbar aufeinander folgenden Tagen mit diesen Außentemperaturen einschließlich Sicherheitsaufschlag eingehalten werden müssen (vgl. PS-06).
PS-01.05AC
Zusatz, erweiterndDie Sicherheitsanforderungen berücksichtigen, dass, soweit zur Klimatisierung Wasser aus einem Gewässer (z. B. Fluss oder See) entnommen wird, ermittelt wird, bei welchen Wasserständen und Wassertemperaturen die Klimatisierung wie lange aufrechterhalten werden kann.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen