# PSS-04 Fehlerbehandlungs- und Protokollierungsmechanismen - Bereich: PSS – Produktsicherheit - Gegenüber C5:2020: geändert - Webseite: https://c5.patrickscheid.de/pss-04/ **Ergänzende Information:** Im Gegensatz zum Zusatz-Kriterium von OPS-15, das sowohl Systemkomponenten unter der Verantwortung des Cloud-Anbieters als auch Systemkomponenten unter der Verantwortung des Cloud-Kunden abdeckt, ist der Geltungsbereich dieses Kriteriums strikt auf Systemkomponenten beschränkt, die nur unter der Verantwortung des Cloud-Kunden stehen. Der Umfang der Protokollierung hängt vom Cloud-Dienst ab. Daher kann es Cloud-Dienste geben, wie SaaS-Dienste, bei denen die Anzahl der Systemkomponenten unter der Verantwortung des Cloud-Kunden sehr begrenzt ist und auf die dieses Kriterium nicht anwendbar ist. ## Basiskriterium ### PSS-04.01B Der bereitgestellte Cloud-Dienst ist mit Fehlerbehandlungs- und Protokollierungsmechanismen für Systemkomponenten ausgestattet, die in den Verantwortungsbereich des Cloud-Kunden fallen. Diese ermöglichen es Cloud-Kunden, sicherheitsrelevante Informationen über den Sicherheitsstatus des Cloud-Dienstes sowie die von ihm bereitgestellten Daten, Dienste oder Funktionen zu erhalten. ### PSS-04.02B Diese Mechanismen sind so gestaltet, dass sie identifizierte Sicherheitsrisiken im Zusammenhang mit der Nutzung des Cloud-Dienstes adressieren. Der Cloud-Anbieter identifiziert und dokumentiert diese Risiken im Voraus und stellt sicher, dass die implementierten Protokollierungsmechanismen relevante Ereignisse und Aktivitäten erfassen. ### PSS-04.03B Die Informationen sind so detailliert, dass Cloud-Kunden damit die folgenden Aspekte prüfen können, soweit sie auf den Cloud-Dienst anwendbar sind: 1. Auf welche Cloud-Kundendaten und abgeleitete Cloud-Dienstdaten, Dienste oder Funktionen, die dem Cloud-Kunden innerhalb des Cloud-Dienstes zur Verfügung stehen, von wem, wann und von wo zugegriffen wurde (Audit Logs); 2. Störungen beim Verarbeiten von automatischen oder manuellen Aktionen; und 3. Änderungen an sicherheitsrelevanten Konfigurationsparametern, Fehlerbehandlungs- und Protokollierungsmechanismen, Cloud-Nutzerauthentisierung, Aktionsautorisierung, Kryptographie und Kommunikationssicherheit. ### PSS-04.04B Die protokollierten Informationen sind vor unautorisierten Zugriffen und unautorisierten Änderungen geschützt und können vom Cloud-Kunden gelöscht werden. **Ergänzende Information:** Die Löschung der protokollierten Informationen durch den Cloud-Kunden kann beispielsweise dadurch umgesetzt werden, dass dem Cloud-Kunden ein Prozess zur Beantragung dieser Löschung bereitgestellt wird. ### PSS-04.05B Soweit anwendbar, kann der Cloud-Kunde die Protokollierung aktivieren oder deaktivieren und den Umfang sowie den Detaillierungsgrad der Protokollierung steuern, die der Cloud-Dienst bereitstellt. ### PSS-04.06B Die Protokollierung von Aktionen der Management-Ebene durch die Cloud-Kunden deckt alle relevanten Systeme und Systemkomponenten ab. ## Zusatzkriterium ### PSS-04.01AC (Zusatz, erweiternd) Cloud-Kunden können sicherheitsrelevante Informationen über dokumentierte Schnittstellen abrufen, die für die Weiterverarbeitung dieser Informationen im Rahmen ihres Security Information and Event Management (SIEM) geeignet sind. ## Korrespondierende Kriterien für Kunden Falls der Cloud-Dienst mit Fehlerbehandlungs- und Protokollierungsmechanismen ausgestattet ist, müssen Cloud-Kunden diese aktivieren und entsprechend festgelegten Anforderungen konfigurieren. Der Cloud-Kunde muss hierfür sein eigenes Informationssicherheitsmanagement einbeziehen. ## Änderungen gegenüber C5:2020 Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht. **Basiskriterium:** Specified which data types the criterion applies to. Added requirement for error handling and logging mechanisms to address identified security risks. Rephrased requirement for the cloud service customer being able to activate the logging and configure its type and scope. Added requirement regarding the scope of the management plane action logging. Bullet points are now sorted to ease discussions about specific list items. **Zusatzkriterium:** No change. --- Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.