PS-02 Redundanzmodell
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified that the two locations should provide each other with resilience as well.
Modified requirement for checking the functionality to be for checking the effectiveness of the redundancy.
Zusatzkriterium
Removed requirement for checking the effectiveness of the redundancy, as this is, with the new way criteria are structure in C5:2026, already covered by the basic criterion.
Wortlaut in C5:2020
Basiskriterium
The cloud service is provided from two locations that are redundant to each other. The locations meet the security requirements of the Cloud Service Provider (cf. PS-01 Security Concept) and are located in an adequate distance to each other to achieve operational redundancy. Operational redundancy is designed in a way that ensures that the availability requirements specified in the service level agreement are met. The functionality of the redundancy is checked at least annually by suitable tests and exercises (cf. BCM-04 - Verification, updating and testing of business continuity).
Zusatzkriterium
The cloud service is provided from more than two locations that provide each other with redundancy. The locations are sufficiently far apart to achieve georedundancy. If two locations fail at the same time, at least one third location is still available to prevent a total service failure. The georedundancy is designed in a way that ensures that the availability requirements specified in the service level agreement are met.. The functionality of the redundancy is checked at least annually by suitable tests and exercises (cf. BCM-04 - Verification, updating and testing of business continuity).
Basiskriterium
Die Bereitstellung des Cloud-Dienstes erfolgt aus mindestens zwei Standorten. Die Standorte entsprechen den Sicherheitsanforderungen des Cloud-Anbieters (vgl. PS-01) und weisen einen hinreichenden Abstand zueinander auf, um Betriebsredundanz und -Resilienz zu erreichen.
Ergänzende Information
Gilt auch für 02B
Eine Betriebsredundanz der Standorte zueinander im Sinne dieses Kriteriums ist gegeben, wenn auf Basis der Bewertung elementarer Gefährdungen am Standort entsprechende Abstände der Räumlichkeiten und Gebäude zu diesen Gefahren eingehalten werden. Sehr großräumige Ereignisse, die aufgrund ihres Ausmaßes gleichzeitig oder zeitnah mehrere Standorte der gleichen Redundanzgruppe betreffen könnten (z. B. Hochwasser, Erdbeben), bleiben dabei unberücksichtigt.
Es gibt Cloud-Anbieter, die das Thema Ausfallsicherheit des Cloud-Dienstes auf physischer Ebene nicht mehr durch Redundanz aus zwei unabhängigen Standorten, sondern durch Resilienz adressieren. Hierbei wird der Cloud-Service simultan aus mehr als zwei Standorten erbracht. Die zugrundeliegende verteilte Rechenzentrums-Architektur stellt sicher, dass der Ausfall eines Standortes oder von Komponenten eines Standortes nicht die definierten Verfügbarkeitskriterien des Cloud-Dienstes verletzt. Eine solche Architektur kann eine alternative Erfüllung (vgl. Kapitel 3.4.12) des Kriteriums darstellen. Die im Kriterium geforderten Tests und Übungen zur Funktionsfähigkeit gelten sinngemäß auch für resiliente Architekturen.
Die Betriebsredundanz ist so ausgelegt, dass die in den Service Level-Vereinbarungen enthaltenen Verfügbarkeitsanforderungen eingehalten werden.
Ergänzende Information
Gilt auch für 01B
Eine Betriebsredundanz der Standorte zueinander im Sinne dieses Kriteriums ist gegeben, wenn auf Basis der Bewertung elementarer Gefährdungen am Standort entsprechende Abstände der Räumlichkeiten und Gebäude zu diesen Gefahren eingehalten werden. Sehr großräumige Ereignisse, die aufgrund ihres Ausmaßes gleichzeitig oder zeitnah mehrere Standorte der gleichen Redundanzgruppe betreffen könnten (z. B. Hochwasser, Erdbeben), bleiben dabei unberücksichtigt.
Es gibt Cloud-Anbieter, die das Thema Ausfallsicherheit des Cloud-Dienstes auf physischer Ebene nicht mehr durch Redundanz aus zwei unabhängigen Standorten, sondern durch Resilienz adressieren. Hierbei wird der Cloud-Service simultan aus mehr als zwei Standorten erbracht. Die zugrundeliegende verteilte Rechenzentrums-Architektur stellt sicher, dass der Ausfall eines Standortes oder von Komponenten eines Standortes nicht die definierten Verfügbarkeitskriterien des Cloud-Dienstes verletzt. Eine solche Architektur kann eine alternative Erfüllung (vgl. Kapitel 3.4.12) des Kriteriums darstellen. Die im Kriterium geforderten Tests und Übungen zur Funktionsfähigkeit gelten sinngemäß auch für resiliente Architekturen.
Die Wirksamkeit der Redundanz wird mindestens jährlich durch geeignete Tests und Übungen überprüft (vgl. BCM-04).
Zusatzkriterium
PS-02.01AS
Zusatz, verschärft01BDie Bereitstellung des Cloud-Dienstes erfolgt aus mehr als zwei Standorten. Die Standorte entsprechen den Sicherheitsanforderungen des Cloud-Anbieters (vgl. PS-01) und weisen einen hinreichenden Abstand zueinander auf, um Georedundanz und -Resilienz zu erreichen. Bei einem zeitgleichen Ausfall zweier Standorte steht mindestens ein dritter Standort weiterhin zur Verfügung, um einen Totalausfall zu verhindern.
Ergänzende Information
Gilt auch für 02AS
Eine Georedundanz der Standorte zueinander im Sinne dieses Kriteriums ist gegeben, wenn ein sehr großräumiges Ereignis an einem Standort keinesfalls gleichzeitig oder zeitnah mehrere Standorte der gleichen Redundanzgruppe trifft. Die BSI-Publikation 'Kriterien für die Standortwahl von Rechenzentren' gibt hierzu Empfehlungen.
PS-02.02AS
Zusatz, verschärft02BDie Georedundanz ist so ausgelegt, dass die in der Service Level-Vereinbarung enthaltenen Verfügbarkeitsanforderungen eingehalten werden.
Ergänzende Information
Gilt auch für 01AS
Eine Georedundanz der Standorte zueinander im Sinne dieses Kriteriums ist gegeben, wenn ein sehr großräumiges Ereignis an einem Standort keinesfalls gleichzeitig oder zeitnah mehrere Standorte der gleichen Redundanzgruppe trifft. Die BSI-Publikation 'Kriterien für die Standortwahl von Rechenzentren' gibt hierzu Empfehlungen.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass das vorliegende Redundanzmodell des Cloud-Anbieters und die Nachweise zur Überprüfung des Modells mit den eigenen Anforderungen zur Verfügbarkeit und Verlässlichkeit des Cloud-Dienstes konform sind.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen