# PS-01 Sicherheitsanforderungen für Gebäude und Räumlichkeiten - Bereich: PS – Physische Sicherheit - Gegenüber C5:2020: geändert - Webseite: https://c5.patrickscheid.de/ps-01/ **Ergänzende Information:** Eine fehlerhafte Planung kann die Betriebssicherheit und Verfügbarkeit der Räumlichkeiten oder Gebäude gefährden. Dies kann insbesondere aus einer falschen Bewertung elementarer Gefährdungen am Standort (z. B. Luftverkehr, Erdbeben, Hochwasser, Gefahrstoffe) sowie einer fehlerhaften Konzeptionierung der Bandbreite oder Energieversorgung resultieren. Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst umfassen Rechenzentren und Serverräume, die Systemkomponenten beherbergen, mit denen Cloud-Kundendatem verarbeitet werden (einschließlich Rechenzentren für Datensicherungs- oder Redundanzzwecke) sowie die für den Betrieb dieser Systemkomponenten benötigten technischen Versorgungseinrichtungen (z. B. Stromversorgung, Kälteversorgung, Löschtechnik, Telekommunikation, Sicherheitstechnik etc.). Räumlichkeiten und Gebäude, in denen keine Cloud-Kundendaten verarbeitet oder gespeichert werden (z. B. Büros des Cloud-Anbieters, Serverräume mit Systemkomponenten für interne Entwicklungs- und Testsysteme), unterliegen Anforderungen, die speziell unter PS-08 behandelt werden. ## Basiskriterium ### PS-01.01B Der Cloud-Anbieter definiert und dokumentiert mindestens zwei Sicherheitsbereiche, mit mindestens einem sensiblen Bereich und einem öffentlichen Bereich. Ein sensibler Bereich umfasst die Gebäude und Räumlichkeiten, in denen sensible Tätigkeiten stattfinden, wie etwa das Hosting der Systemkomponenten, die für die Bereitstellung des Cloud-Dienstes verwendet werden. Ein öffentlicher Bereich umfasst alle Gebäude und Räumlichkeiten, die nicht anderweitig durch einen Sicherheitsbereich abgedeckt sind. ### PS-01.02B Sicherheitsanforderungen für Gebäude und Räumlichkeiten mit Bezug zum bereitgestellten Cloud-Dienst sind aus den Sicherheitszielen der Informationssicherheitsrichtlinie, dem identifizierten Schutzbedarf für den Cloud-Dienst und einer Risikobeurteilung hinsichtlich der physischen und umgebungsbezogenen Sicherheit abgeleitet. Die Sicherheitsanforderungen sind in einer Richtlinie oder einem Rahmenwerk gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt. ### PS-01.03B Sicherheitsanforderungen für Rechenzentren basieren auf Kriterien in Übereinstimmung mit dem Stand der Technik und den Kriterien PS-02 bis PS-07. Sie sind geeignet, die folgenden Risiken im Einklang mit den anwendbaren gesetzlichen und vertraglichen Anforderungen zu adressieren: 1. Fehlerhafte Planung; 2. Unbrechtigter Zutritt (einschließlich Zutritt zum Gelände durch Drohnen); 3. Unzureichende Überwachung; 4. Blitze und Überspannung (im Einklang mit den internationalen Normen der IEC 62305); 5. Feuer und Rauch; 6. Unerwünschtes Wasser; 7. Ausfälle und/oder nicht verfügbare Telekommunikation; 8. Stromausfall; und 9. Unzureichende Heizung, Belüftung, Klimatisierung (HVAC) und Luftfiltration. **Ergänzende Information:** Der Stand der Technik ist in einschlägigen Normen definiert, z. B. EN 50600 (Einrichtungen und Infrastrukturen von Rechenzentren). Hinweis für zweisprachige Leser: Die deutsche Version des C5 verwendet den Begriff *Stand der Technik* während im Englischen *established rules of technology* verwendet wird, obwohl der deutsche Leser möglicherweise den Begriff *state of the art* erwarten könnte. *State of the art* definiert ein höheres Niveau als *Stand der Technik*, daher wird im Englischen *established rules of technology* und im Deutschen *Stand der Technik* verwendet. ### PS-01.04B Die maximal tolerierbaren Ausfallzeiten von Versorgungseinrichtungen sind geeignet, die in der Service Level-Vereinbarung enthaltenen Verfügbarkeitsanforderungen zu erfüllen. ### PS-01.05B Wenn der Cloud-Anbieter den Cloud-Dienst in von Service-Organisationen betriebenen Rechenzentren betreibt, beschreibt das Dokument: 1. Die von den Service-Organisationen erwarteten komplementären Kontrollen der Subservice-Organisationen (CSOC); und 2. Die Maßnahmen zur Überwachung der Ausgestaltung und des Betriebs von Kontrollen bei den Service-Organisationen in Bezug auf diese CSOC (vgl. SSO-05). **Ergänzende Information:** Räumlichkeiten und Gebäude, die von Dritten betrieben werden sind z. B. Serverhousing, Colocation oder IaaS. ### PS-01.06B Wenn der Cloud-Anbieter den Cloud-Dienst in von Service-Organisationen betriebenen Rechenzentren betreibt, führt der Cloud-Anbieter eine Überprüfung der Implementierung geeigneter CSOC gemäß den Kriterien zur Steuerung und Überwachung von Service-Organisationen durch (vgl. SSO-05). ## Zusatzkriterium ### PS-01.01AC (Zusatz, erweiternd) Die Sicherheitsanforderungen umfassen Zeitvorgaben für den autarken Betrieb beim Eintritt außergewöhnlicher Ereignisse (z. B. länger anhaltender Stromausfall, Hitzeperioden, Niedrigwasser bei Kälteversorgung mit Flusswasser) sowie maximal tolerierbare Ausfallzeiten von Versorgungseinrichtungen. **Ergänzende Information:** Zeitvorgaben für den autarken Betrieb sowie maximal tolerierbare Ausfallzeiten von Versorgungseinrichtungen werden typischerweise im Rahmen der Business Impact Analyse erhoben (vgl. BCM-02, BCM-03). ### PS-01.02AC (Zusatz, erweiternd) Die Sicherheitsanforderungen umfassen Zeitvorgaben, um bei einem Ausfall der externen Stromversorgung einen autarken Betrieb eines Standorts für mindestens 72 Stunden zu ermöglichen, oder bis alle Dienste auf einen anderen Standort übertragen sind. **Ergänzende Information:** Der Zeitraum von 72 Stunden für einen autarken Betrieb steht im Einklang mit Leitlinien für Behörden, Unternehmen und Betreiber kritischer Anlagen (KRITIS) des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK). ### PS-01.03AC (Zusatz, erweiternd) Die Sicherheitsanforderungen für einen autarken Betrieb während einer Hitzeperiode basieren auf den höchsten Außentemperaturen, von denen vernünftigerweise geschätzt werden kann, dass sie an den Standorten der Räumlichkeiten und Gebäude innerhalb der Lebensdauer der Kühlungsversorgung auftreten können. Der Cloud-Anbieter bestimmt diese Temperaturen mit einem angemessenen Sicherheitsaufschlag. **Ergänzende Information:** Eine vernünftige Schätzung der höchsten Außentemperaturen kann auf Informationen basieren, die von amtlichen Messstationen wie dem Deutschen Wetterdienst (DWD) oder anderen verlässlichen Quellen geliefert werden, wie z. B. der American Society of Heating, Refrigerating and Air-Conditioning Engineers (ASHRAE). Diese Schätzungen sollten die Auswirkungen der globalen Erwärmung berücksichtigen. Was einen angemessene Sicherheitsaufschlag ausmacht, hängt vom Standort der Räumlichkeiten und Gebäude ab. In Deutschland können 3 Kelvin im Allgemeinen als angemessen angesehen werden. ### PS-01.04AC (Zusatz, erweiternd) Die Sicherheitsanforderungen sehen vor, dass die zulässigen Betriebs- und Umgebungsparameter der Kälteversorgung auch an mindestens 5 unmittelbar aufeinander folgenden Tagen mit diesen Außentemperaturen einschließlich Sicherheitsaufschlag eingehalten werden müssen (vgl. PS-06). ### PS-01.05AC (Zusatz, erweiternd) Die Sicherheitsanforderungen berücksichtigen, dass, soweit zur Klimatisierung Wasser aus einem Gewässer (z. B. Fluss oder See) entnommen wird, ermittelt wird, bei welchen Wasserständen und Wassertemperaturen die Klimatisierung wie lange aufrechterhalten werden kann. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Added requirements regarding the definition of security areas. Specified which security objectives the security requirements are to be based on. Extended the risks to be addressed by the security requirements by unauthorised drone access, lightning and overvoltage as well as failures and unavailable telecommunications. Further merged insufficient air-conditioning as well as air ventialtion and filtration into one list item, supplemented by insufficient heating. Moved requirement regarding the maximum tolerable downtimes of utility facilities from the additional criterion to the basic criterion. Extended requirement regarding the operation of the cloud service in data centres operated by service organisations. Bullet points are now sorted to ease discussions about specific list items. **Zusatzkriterium:** Increased requirement regarding self-sufficiency from 48 hours to 72 hours, or until successful transfer of all services. Modified specification regarding security requirements for a self-sufficient operation during a heat period to be more goal-oriented. Generalise requirement regarding water for air conditioning being taken from a river to water being taken from a body of water. Move requirement regarding the maximum tolerable downtime to the basic criterion. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.