PSS-02 Identifikation von Schwachstellen des Cloud-Dienstes
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Extended the activities to be covered by the procedures by conducting security checks based on a list of software components or SBOM.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
No change.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider applies appropriate measures to check the cloud service for vulnerabilities which might have been integrated into the cloud service during the software development process.
The procedures for identifying such vulnerabilities are part of the software development process and, depending on a risk assessment, include the following activities:
- Static Application Security Testing;
- Dynamic Application Security Testing;
- Code reviews by the Cloud Service Provider's subject matter experts; and
- Obtaining information about confirmed vulnerabilities in software libraries provided by third parties and used in their own cloud service.
The severity of identified vulnerabilities is assessed according to defined criteria and measures are taken to immediately eliminate or mitigate them.
Zusatzkriterium
The procedures for identifying such vulnerabilities also include annual code reviews or security penetration tests by qualified external third parties.
Ergänzende Information zu allen Unterkriterien
Bekannte Schwachstellen in extern bezogenen Systemkomponenten (z. B. Betriebssystemen), die für die Entwicklung und Bereitstellung des Cloud-Dienstes verwendet werden, aber nicht den Softwareentwicklungsprozess des Cloud-Anbieters durchlaufen, sind Gegenstand des Kriteriums OPS-25 (Management von Schwachstellen, Vorfällen und Fehlern - Schwachstellenscans).
Basiskriterium
Der Cloud-Anbieter überprüft den Cloud-Dienst durch geeignete Verfahren auf Schwachstellen, die durch den Softwareentwicklungsprozess in den Cloud-Dienst einfließen können.
Die Verfahren zur Identifkation solcher Schwachstellen sind Teil des Softwareentwicklungsprozesses und umfassen in Abhängigkeit von einer Risikobeurteilung die folgenden Aktivitäten:
- Statische Code-Analysen;
- Dynamische Code-Analysen;
- Code-Reviews durch sachverständiges Personal des Cloud-Anbieters;
- Durchführung von Sicherheitsprüfungen auf Grundlage einer Liste von Softwarekomponenten oder einer Software Bill of Materials; und
- Einholen von Information über bestätigte Schwachstellen in Software-Bibliotheken, die von Dritten bereitgestellt und im eigenen Cloud-Dienst genutzten werden.
Der Schweregrad identifizierter Schwachstellen wird nach definierten Kriterien beurteilt und Maßnahmen zur zeitnahen Behebung oder Mitigation eingeleitet.
Zusatzkriterium
PSS-02.01AC
Zusatz, erweiterndDie Verfahren zur Indentifikation solcher Schwachstellen umfassen außerdem jährliche Code-Reviews oder Sicherheits-Penetrationstests durch qualifizierte externe Dritte.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen