# PSS-03 Information der Cloud-Kunden über bekannte Schwachstellen - Bereich: PSS – Produktsicherheit - Gegenüber C5:2020: geändert - Webseite: https://c5.patrickscheid.de/pss-03/ ## Basiskriterium ### PSS-03.01B Der Cloud-Anbieter stellt durch einen koordinierten Prozess sicher, dass Cloud-Kunden Zugang zu regelmäßig aktualisierten Informationen über bekannte Schwachstellen im Zusammenhang mit dem Cloud-Dienst haben, die die Informationssicherheit des Cloud-Kunden beeinträchtigen können. Dies umfasst: 1. Bekannte ausgenutzte Schwachstellen; 2. Bekannte Schwachstellen, für die ein Patch und/oder Maßnahmen zur Risikomitigation vom Cloud-Anbieter bereitgestellt werden (N-Day-Schwachstellen), mit geeigneten Verweisen auf den Patch/die Maßnahme; und 3. Bekannte Schwachstellen, für die ein Patch und/oder Maßnahmen zur Risikomitigation vom Cloud-Anbieter voraussichtlich nicht bereitgestellt werden (Forever-Day-Schwachstellen), zusammen mit einer Begründung, warum sie nicht bereitgestellt werden. Diese betreffen den bereitgestellten Cloud-Dienst und vom Cloud-Anbieter bereitgestellte Assets, die die Cloud-Kunden innerhalb ihres eigenen Verantwortungsbereichs installieren, bereitstellen oder betreiben müssen. **Ergänzende Information:** Dieses Kriterium unterstützt Transparenz im Management von Schwachstellen. Es verlangt vom Cloud-Anbieter, Cloud-Kunden proaktiv über Schwachstellen zu informieren, die aufgrund des Fehlens von Abhilfeoptionen ein Restrisiko darstellen können. Solche Offenlegungen helfen Cloud-Kunden, ihre Exponierung zu bewerten und bei Bedarf kompensierende Kontrollen umzusetzen. Informationen über bekannte ausgenutzte Schwachstellen und bekannte Schwachstellen können beispielsweise Informationen über Schwachstellen in Autorisierungsmechanismen umfassen, die aus dem im Rahmen von PSS-09 durchgeführten Validierungsprozess gewonnen wurden. ### PSS-03.02B Die den Cloud-Kunden bereitgestellten Informationen umfassen, soweit verfügbar, eine Beschreibung anwendbarer und geplanter Abhilfemaßnahmen oder mitigierender Maßnahmen für die identifizierten Schwachstellen. ### PSS-03.03B Diese Schwachstellen werden auch auf Grundlage von Daten aus einer Liste von Softwarekomponenten oder von Daten einer Software Bill of Materials identifiziert. **Ergänzende Information:** Obwohl der Cloud-Anbieter die Schwachstellen auf Grundlage von einer Liste von Softwarekomponenten oder SBOM-Daten identifizieren muss, um dieses Kriterium zu erfüllen, müssen diese Liste von Softwarekomponenten oder SBOM-Daten zur Erfüllung des Kriteriums nicht an den Cloud-Kunden übergeben werden. ### PSS-03.04B Die Schwachstellen werden mit Verweisen auf die Common Vulnerabilities and Exposures (CVE) dargestellt, und die Bewertungen basieren auf: 1. dem Common Vulnerability Scoring System (CVSS); und 2. dem Exploit Prediction Scoring System (EPSS), der Stakeholder-Specific Vulnerability Categorization (SSVC) oder anderen ähnlichen Bewertungsmetriken in der zum Zeitpunkt der Bewertung gültigen neuesten Version. Diese Informationen sind für alle Cloud-Kunden zugänglich und unterstützen deren Risikobeurteilung und Folgemaßnahmen, gegebenenfalls mit Verweisen auf schwachstellenspezifische Maßnahmen. **Ergänzende Information:** Schwachstellenspezifische Maßnahmen können beispielsweise im 'Vulnerability, Exploitability eXchange' (VEX) oder in den 'Common Security Advisory Frameworks' (CSAF) gefunden werden. Das Common Vulnerability Scoring System (CVSS) bewertet den Schweregrad identifizierter Schwachstellen (vgl. OPS-18). Das Exploit Prediction Scoring System (EPSS), die Stakeholder-Specific Vulnerability Categorization (SSVC) und andere ähnliche Bewertungsmetriken priorisieren Maßnahmen, die zur Behebung oder Risikomitigation identifizierter Schwachstellen umzusetzen sind. Beide Arten von Systemen sollten im Zusammenspiel verwendet werden. ### PSS-03.05B Der Cloud-Anbieter konsultiert mindestens täglich die Schwachstelleninformationen seiner Lieferanten und Service-Organisationen. Die veröffentlichten Schwachstellen werden hinsichtlich ihrer potenziellen Auswirkungen auf den Cloud-Dienst analysiert und gemäß dem Prozess zur Behandlung von Schwachstellen behandelt (vgl. OPS-18). Falls der Lieferant oder die Service-Organisation keine täglichen Informationen bereitstellt, wird das damit verbundene Risiko gemäß OIS-07 gesteuert. **Ergänzende Information:** Es kann verschiedene Wege geben, Informationen über Schwachstellen von Lieferanten und Service-Organisationen zu erhalten. Das Kriterium verlangt keinen bestimmten Weg zur Beschaffung dieser Informationen, sondern dass die Informationen mindestens täglich eingeholt werden. ## Zusatzkriterium ### PSS-03.01AC (Zusatz, erweiternd) Vom Cloud-Anbieter bereitgestellte Assets, die Cloud-Kunden in ihrem Verantwortungsbereichs selbst installieren, bereitstellen oder betreiben müssen, sind mit automatischen Aktualisierungsmechanismen ausgestattet. Nach einer Freigabe durch den jeweiligen Cloud-Kunden können Softwareaktualisierungen darüber durch den Cloud-Anbieter ausgerollt werden. **Ergänzende Information (zu 01AC, 02AC):** Vom Cloud-Anbieter bereitgestellte Assets, welche die Cloud-Kunden in ihrem Verantwortungsbereich selbst installieren, bereitstellen oder betreiben müssen, sind beispielsweise lokale Software-Clients und Apps sowie Werkzeuge zur Integration des Cloud-Dienstes. Falls der Cloud-Dienst auf andere Cloud-Dienste angewiesen ist, sollten diese Informationen die Schwachstellen dieser anderen Cloud-Dienste einbeziehen oder auf sie verweisen, damit dieses Kriterium erfüllt ist. ### PSS-03.02AC (Zusatz, erweiternd) Schwachstellen werden in Übereinstimmung mit dem Common Security Advisory Framework Version 2.0 oder höher und, wie in der Technischen Richtlinie TR-03191 des BSI festgelegt, offengelegt. ## Korrespondierende Kriterien für Kunden Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die erhaltenen Schwachstelleninformationen zeitnah in ihr eigenes Risikomanagement einfließen, bewertet und, falls erforderlich, im eigenen Verantwortungsbereich berücksichtigt werden. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Modified requirement for the daily update of the register with requirement for the regular update. Further specified the types of vulnerabilities to be included in the register and the information to be provided about them. Added requirement for the cloud service provider to at least daily consult vulnerability information of its suppliers and service organisations. **Zusatzkriterium:** Removed requirement for the ability to roll out software updates without human interaction. Added reference to CSAF and the BSI TRs. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.