# PSS-02 Identifikation von Schwachstellen des Cloud-Dienstes

- Bereich: PSS – Produktsicherheit
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/pss-02/

**Ergänzende Information:**

Bekannte Schwachstellen in extern bezogenen Systemkomponenten (z. B. Betriebssystemen), die für die Entwicklung und Bereitstellung des Cloud-Dienstes verwendet werden, aber nicht den Softwareentwicklungsprozess des Cloud-Anbieters durchlaufen, sind Gegenstand des Kriteriums OPS-25 (Management von Schwachstellen, Vorfällen und Fehlern - Schwachstellenscans).

## Basiskriterium

### PSS-02.01B

Der Cloud-Anbieter überprüft den Cloud-Dienst durch geeignete Verfahren auf Schwachstellen, die durch den Softwareentwicklungsprozess in den Cloud-Dienst einfließen können.

### PSS-02.02B

Die Verfahren zur Identifkation solcher Schwachstellen sind Teil des Softwareentwicklungsprozesses und umfassen in Abhängigkeit von einer Risikobeurteilung die folgenden Aktivitäten:

1. Statische Code-Analysen;
2. Dynamische Code-Analysen;
3. Code-Reviews durch sachverständiges Personal des Cloud-Anbieters;
4. Durchführung von Sicherheitsprüfungen auf Grundlage einer Liste von Softwarekomponenten oder einer Software Bill of Materials; und
5. Einholen von Information über bestätigte Schwachstellen in Software-Bibliotheken, die von Dritten bereitgestellt und im eigenen Cloud-Dienst genutzten werden.

### PSS-02.03B

Der Schweregrad identifizierter Schwachstellen wird nach definierten Kriterien beurteilt und Maßnahmen zur zeitnahen Behebung oder Mitigation eingeleitet.

## Zusatzkriterium

### PSS-02.01AC (Zusatz, erweiternd)

Die Verfahren zur Indentifikation solcher Schwachstellen umfassen außerdem jährliche Code-Reviews oder Sicherheits-Penetrationstests durch qualifizierte externe Dritte.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Extended the activities to be covered by the procedures by conducting security checks based on a list of software components or SBOM.

Bullet points are now sorted to ease discussions about specific list items.

**Zusatzkriterium:**

No change.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.