PSS-03 Information der Cloud-Kunden über bekannte Schwachstellen
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Modified requirement for the daily update of the register with requirement for the regular update.
Further specified the types of vulnerabilities to be included in the register and the information to be provided about them.
Added requirement for the cloud service provider to at least daily consult vulnerability information of its suppliers and service organisations.
Zusatzkriterium
Removed requirement for the ability to roll out software updates without human interaction.
Added reference to CSAF and the BSI TRs.
Wortlaut in C5:2020
Basiskriterium
The Cloud Service Provider operates or refers to a daily updated online register of known vulnerabilities that affect the Cloud Service Provider and assets provided by the Cloud Service Provider that the cloud customers have to install, provide or operate themselves under the customers responsibility.
The presentation of the vulnerabilities follows the Common Vulnerability Scoring System (CVSS).
The online register is easily accessible to any cloud customer. The information contained therein forms a suitable basis for risk assessment and possible follow-up measures on the part of cloud users.
For each vulnerability, it is indicated whether software updates (e.g. patch, update) are available, when they will be rolled out and whether they will be deployed by the Cloud Service Provider, the cloud customer or both of them together.
Zusatzkriterium
Assets provided by the Cloud Service Provider, which must be installed, provided or operated by cloud users within their area of responsibility, are equipped with automatic update mechanisms. After approval by the respective cloud user, software updates can be rolled out in such a way that they can be distributed to all affected users without human interaction.
Basiskriterium
Der Cloud-Anbieter stellt durch einen koordinierten Prozess sicher, dass Cloud-Kunden Zugang zu regelmäßig aktualisierten Informationen über bekannte Schwachstellen im Zusammenhang mit dem Cloud-Dienst haben, die die Informationssicherheit des Cloud-Kunden beeinträchtigen können. Dies umfasst:
- Bekannte ausgenutzte Schwachstellen;
- Bekannte Schwachstellen, für die ein Patch und/oder Maßnahmen zur Risikomitigation vom Cloud-Anbieter bereitgestellt werden (N-Day-Schwachstellen), mit geeigneten Verweisen auf den Patch/die Maßnahme; und
- Bekannte Schwachstellen, für die ein Patch und/oder Maßnahmen zur Risikomitigation vom Cloud-Anbieter voraussichtlich nicht bereitgestellt werden (Forever-Day-Schwachstellen), zusammen mit einer Begründung, warum sie nicht bereitgestellt werden.
Diese betreffen den bereitgestellten Cloud-Dienst und vom Cloud-Anbieter bereitgestellte Assets, die die Cloud-Kunden innerhalb ihres eigenen Verantwortungsbereichs installieren, bereitstellen oder betreiben müssen.
Ergänzende Information
Dieses Kriterium unterstützt Transparenz im Management von Schwachstellen. Es verlangt vom Cloud-Anbieter, Cloud-Kunden proaktiv über Schwachstellen zu informieren, die aufgrund des Fehlens von Abhilfeoptionen ein Restrisiko darstellen können. Solche Offenlegungen helfen Cloud-Kunden, ihre Exponierung zu bewerten und bei Bedarf kompensierende Kontrollen umzusetzen.
Informationen über bekannte ausgenutzte Schwachstellen und bekannte Schwachstellen können beispielsweise Informationen über Schwachstellen in Autorisierungsmechanismen umfassen, die aus dem im Rahmen von PSS-09 durchgeführten Validierungsprozess gewonnen wurden.
Die den Cloud-Kunden bereitgestellten Informationen umfassen, soweit verfügbar, eine Beschreibung anwendbarer und geplanter Abhilfemaßnahmen oder mitigierender Maßnahmen für die identifizierten Schwachstellen.
Diese Schwachstellen werden auch auf Grundlage von Daten aus einer Liste von Softwarekomponenten oder von Daten einer Software Bill of Materials identifiziert.
Ergänzende Information
Obwohl der Cloud-Anbieter die Schwachstellen auf Grundlage von einer Liste von Softwarekomponenten oder SBOM-Daten identifizieren muss, um dieses Kriterium zu erfüllen, müssen diese Liste von Softwarekomponenten oder SBOM-Daten zur Erfüllung des Kriteriums nicht an den Cloud-Kunden übergeben werden.
Die Schwachstellen werden mit Verweisen auf die Common Vulnerabilities and Exposures (CVE) dargestellt, und die Bewertungen basieren auf:
- dem Common Vulnerability Scoring System (CVSS); und
- dem Exploit Prediction Scoring System (EPSS), der Stakeholder-Specific Vulnerability Categorization (SSVC) oder anderen ähnlichen Bewertungsmetriken
in der zum Zeitpunkt der Bewertung gültigen neuesten Version.
Diese Informationen sind für alle Cloud-Kunden zugänglich und unterstützen deren Risikobeurteilung und Folgemaßnahmen, gegebenenfalls mit Verweisen auf schwachstellenspezifische Maßnahmen.
Ergänzende Information
Schwachstellenspezifische Maßnahmen können beispielsweise im 'Vulnerability, Exploitability eXchange' (VEX) oder in den 'Common Security Advisory Frameworks' (CSAF) gefunden werden.
Das Common Vulnerability Scoring System (CVSS) bewertet den Schweregrad identifizierter Schwachstellen (vgl. OPS-18). Das Exploit Prediction Scoring System (EPSS), die Stakeholder-Specific Vulnerability Categorization (SSVC) und andere ähnliche Bewertungsmetriken priorisieren Maßnahmen, die zur Behebung oder Risikomitigation identifizierter Schwachstellen umzusetzen sind. Beide Arten von Systemen sollten im Zusammenspiel verwendet werden.
Der Cloud-Anbieter konsultiert mindestens täglich die Schwachstelleninformationen seiner Lieferanten und Service-Organisationen. Die veröffentlichten Schwachstellen werden hinsichtlich ihrer potenziellen Auswirkungen auf den Cloud-Dienst analysiert und gemäß dem Prozess zur Behandlung von Schwachstellen behandelt (vgl. OPS-18). Falls der Lieferant oder die Service-Organisation keine täglichen Informationen bereitstellt, wird das damit verbundene Risiko gemäß OIS-07 gesteuert.
Ergänzende Information
Es kann verschiedene Wege geben, Informationen über Schwachstellen von Lieferanten und Service-Organisationen zu erhalten. Das Kriterium verlangt keinen bestimmten Weg zur Beschaffung dieser Informationen, sondern dass die Informationen mindestens täglich eingeholt werden.
Zusatzkriterium
PSS-03.01AC
Zusatz, erweiterndVom Cloud-Anbieter bereitgestellte Assets, die Cloud-Kunden in ihrem Verantwortungsbereichs selbst installieren, bereitstellen oder betreiben müssen, sind mit automatischen Aktualisierungsmechanismen ausgestattet. Nach einer Freigabe durch den jeweiligen Cloud-Kunden können Softwareaktualisierungen darüber durch den Cloud-Anbieter ausgerollt werden.
Ergänzende Information
Gilt auch für 02AC
Vom Cloud-Anbieter bereitgestellte Assets, welche die Cloud-Kunden in ihrem Verantwortungsbereich selbst installieren, bereitstellen oder betreiben müssen, sind beispielsweise lokale Software-Clients und Apps sowie Werkzeuge zur Integration des Cloud-Dienstes.
Falls der Cloud-Dienst auf andere Cloud-Dienste angewiesen ist, sollten diese Informationen die Schwachstellen dieser anderen Cloud-Dienste einbeziehen oder auf sie verweisen, damit dieses Kriterium erfüllt ist.
PSS-03.02AC
Zusatz, erweiterndSchwachstellen werden in Übereinstimmung mit dem Common Security Advisory Framework Version 2.0 oder höher und, wie in der Technischen Richtlinie TR-03191 des BSI festgelegt, offengelegt.
Ergänzende Information
Gilt auch für 01AC
Vom Cloud-Anbieter bereitgestellte Assets, welche die Cloud-Kunden in ihrem Verantwortungsbereich selbst installieren, bereitstellen oder betreiben müssen, sind beispielsweise lokale Software-Clients und Apps sowie Werkzeuge zur Integration des Cloud-Dienstes.
Falls der Cloud-Dienst auf andere Cloud-Dienste angewiesen ist, sollten diese Informationen die Schwachstellen dieser anderen Cloud-Dienste einbeziehen oder auf sie verweisen, damit dieses Kriterium erfüllt ist.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die erhaltenen Schwachstelleninformationen zeitnah in ihr eigenes Risikomanagement einfließen, bewertet und, falls erforderlich, im eigenen Verantwortungsbereich berücksichtigt werden.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen