# PSS-09 Autorisierungsmechanismen

- Bereich: PSS – Produktsicherheit
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/pss-09/

## Basiskriterium

### PSS-09.01B

Der Zugriff auf die vom Cloud-Dienst bereitgestellten Funktionen ist durch Zugriffskontrollen (Autorisierungsmechanismen) beschränkt, die überprüfen, ob Cloud-Nutzer, IT-Komponenten oder Anwendungen berechtigt sind, bestimmte Aktionen auszuführen.

### PSS-09.02B

Der Cloud-Anbieter validiert die Funktionalität der Autorisierungsmechanismen, bevor neue Funktionen für Cloud-Kunden verfügbar gemacht werden, sowie bei Änderungen an den Autorisierungsmechanismen bestehender Funktionen (vgl. DEV-07).

### PSS-09.03B

Falls Validierungsaktivitäten Schwachstellen offenlegen, werden die Verfahren zur Indentifikation von Schwachstellen (vgl. PSS-02) angewendet und Maßnahmen zur zeitnahen Behebung oder Risikomitigation eingeleitet.

## Zusatzkriterium

### PSS-09.01AC (Zusatz, erweiternd)

Zugriffskontrollen sind attributbasiert, um granulare und kontextbezogene Prüfungen gegen mehrere Attribute eines Cloud-Nutzers, einer IT-Komponente oder einer Anwendung zu ermöglichen (z. B. Rolle, Standort, Authentisierungsmethode).

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass Systemkomponenten unter ihrer Verantwortung regelmäßig auf Schwachstellen überprüft und diese durch geeignete Maßnahmen mitigiert werden.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Replaced previous requirements regarding vulnerabilities with the requirement that the procedures for identifying vulnerabilities are applied.

**Zusatzkriterium:**

No change.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.