PSS-09 Autorisierungsmechanismen
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Replaced previous requirements regarding vulnerabilities with the requirement that the procedures for identifying vulnerabilities are applied.
Zusatzkriterium
No change.
Wortlaut in C5:2020
Basiskriterium
Access to the functions provided by the cloud service is restricted by access controls (authorisation mechanisms) that verify whether users, IT components, or applications are authorised to perform certain actions.
The Cloud Service Provider validates the functionality of the authorisation mechanisms before new functions are made available to cloud users and in the event of changes to the authorisation mechanisms of existing functions (cf. DEV-06). The severity of identified vulnerabilities is assessed according to defined criteria based on industry standard metrics (e.g. Common Vulnerability Scoring System) and measures for timely resolution or mitigation are initiated. Vulnerabilities that have not been fixed are listed in the online register of known vulnerabilities (cf. PSS-02).
Zusatzkriterium
Access controls are attribute-based to enable granular and contextual checks against multiple attributes of a user, IT component, or application (e.g., role, location, authentication method).
Basiskriterium
Der Zugriff auf die vom Cloud-Dienst bereitgestellten Funktionen ist durch Zugriffskontrollen (Autorisierungsmechanismen) beschränkt, die überprüfen, ob Cloud-Nutzer, IT-Komponenten oder Anwendungen berechtigt sind, bestimmte Aktionen auszuführen.
Der Cloud-Anbieter validiert die Funktionalität der Autorisierungsmechanismen, bevor neue Funktionen für Cloud-Kunden verfügbar gemacht werden, sowie bei Änderungen an den Autorisierungsmechanismen bestehender Funktionen (vgl. DEV-07).
Falls Validierungsaktivitäten Schwachstellen offenlegen, werden die Verfahren zur Indentifikation von Schwachstellen (vgl. PSS-02) angewendet und Maßnahmen zur zeitnahen Behebung oder Risikomitigation eingeleitet.
Zusatzkriterium
PSS-09.01AC
Zusatz, erweiterndZugriffskontrollen sind attributbasiert, um granulare und kontextbezogene Prüfungen gegen mehrere Attribute eines Cloud-Nutzers, einer IT-Komponente oder einer Anwendung zu ermöglichen (z. B. Rolle, Standort, Authentisierungsmethode).
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass Systemkomponenten unter ihrer Verantwortung regelmäßig auf Schwachstellen überprüft und diese durch geeignete Maßnahmen mitigiert werden.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen