PSS-11 Images für virtuelle Maschinen und Container
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Extended aspects to be covered by the equipped functionalities by images being labelled with information about their origin.
Bullet points are now sorted to ease discussions about specific list items.
Wortlaut in C5:2020
Basiskriterium
If cloud customers operate virtual machines or containers with the cloud service, the Cloud Service Provider must ensure the following aspects:
- The cloud customer can restrict the selection of images of virtual machines or containers according to his specifications, so that users of this cloud customer can only launch the images or containers released according to these restrictions.
- If the Cloud Service Provider provides images of virtual machines or containers to the Cloud Customer, the Cloud Service Provider appropriately inform the Cloud Customer of the changes made to the previous version.
- In addition, these images provided by the Cloud Service Provider are hardened according to generally accepted industry standards.
Zusatzkriterium
At startup and runtime of virtual machine or container images, an integrity check is performed that detects image manipulations and reports them to the cloud customer.
Basiskriterium
Falls Cloud-Kunden virtuelle Maschinen oder Container mit dem Cloud-Dienst betreiben, ist der bereitgestellte Cloud-Dienst mit Funktionalitäten ausgestattet, die die folgenden Aspekte sicherstellen:
- Cloud-Kunden können die Auswahl von Images virtueller Maschinen oder Containern nach ihren Vorgaben einschränken, sodass Cloud-Nutzer des Cloud-Kunden nur die gemäß diesen Einschränkungen freigegebenen Images oder Container starten können;
- Falls der Cloud-Anbieter dem Cloud-Kunden Images virtueller Maschinen oder Container bereitstellt, informiert der Cloud-Anbieter den Cloud-Kunden in angemessener Weise über die gegenüber der vorherigen Version vorgenommenen Änderungen;
- Vom Cloud-Anbieter bereitgestellte Images sind mit Informationen zu ihrer Herkunft gekennzeichnet; und
- Die vom Cloud-Anbieter bereitgestellten Images sind nach allgemein akzeptierten Branchenstandards gehärtet.
Ergänzende Information
Dieses Kriterium ist für das Servicemodell SaaS typischerweise nicht anwendbar.
Allgemein akzeptierte Branchenstandards sind z. B. der Security Configuration Benchmark des Center for Internet Security (CIS) oder die entsprechenden Bausteine im BSI IT-Grundschutz-Kompendium.
Zusatzkriterium
PSS-11.01AC
Zusatz, erweiterndDer Cloud-Anbieter prüft beim Start die Integrität und Authentizität von virtuellen Maschinen oder Container-Images und informiert den Cloud-Kunden entsprechend über die Ergebnisse dieser Prüfungen.
Ergänzende Information
Typische Maßnahmen zur Prüfung von virtuellen Maschinen oder Container-Images hinsichtlich Integrität und Authentizität umfassen den Einsatz kryptographischer Signaturen.
PSS-11.02AC
Zusatz, erweiterndWährend der Laufzeit schützt der Cloud-Anbieter die virtuellen Maschinen oder Container-Images vor Manipulation und informiert den Cloud-Kunden entsprechend über den Status während der Laufzeit.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Images virtueller Maschinen oder Container, die sie mit dem Cloud-Dienst betreiben, ihren Anforderungen an das Informationssicherheitsmanagement entsprechen und dass die Ergebnisse der Integritätsprüfungen beim Start und während der Laufzeit gemäß diesen Anforderungen verarbeitet werden.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen