# PSS-11 Images für virtuelle Maschinen und Container

- Bereich: PSS – Produktsicherheit
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/pss-11/

## Basiskriterium

### PSS-11.01B

Falls Cloud-Kunden virtuelle Maschinen oder Container mit dem Cloud-Dienst betreiben, ist der bereitgestellte Cloud-Dienst mit Funktionalitäten ausgestattet, die die folgenden Aspekte sicherstellen:

1. Cloud-Kunden können die Auswahl von Images virtueller Maschinen oder Containern nach ihren Vorgaben einschränken, sodass Cloud-Nutzer des Cloud-Kunden nur die gemäß diesen Einschränkungen freigegebenen Images oder Container starten können;
2. Falls der Cloud-Anbieter dem Cloud-Kunden Images virtueller Maschinen oder Container bereitstellt, informiert der Cloud-Anbieter den Cloud-Kunden in angemessener Weise über die gegenüber der vorherigen Version vorgenommenen Änderungen;
3. Vom Cloud-Anbieter bereitgestellte Images sind mit Informationen zu ihrer Herkunft gekennzeichnet; und
4. Die vom Cloud-Anbieter bereitgestellten Images sind nach allgemein akzeptierten Branchenstandards gehärtet.

**Ergänzende Information:**

Dieses Kriterium ist für das Servicemodell SaaS typischerweise nicht anwendbar.

Allgemein akzeptierte Branchenstandards sind z. B. der Security Configuration Benchmark des Center for Internet Security (CIS) oder die entsprechenden Bausteine im BSI IT-Grundschutz-Kompendium.

## Zusatzkriterium

### PSS-11.01AC (Zusatz, erweiternd)

Der Cloud-Anbieter prüft beim Start die Integrität und Authentizität von virtuellen Maschinen oder Container-Images und informiert den Cloud-Kunden entsprechend über die Ergebnisse dieser Prüfungen.

**Ergänzende Information:**

Typische Maßnahmen zur Prüfung von virtuellen Maschinen oder Container-Images hinsichtlich Integrität und Authentizität umfassen den Einsatz kryptographischer Signaturen.

### PSS-11.02AC (Zusatz, erweiternd)

Während der Laufzeit schützt der Cloud-Anbieter die virtuellen Maschinen oder Container-Images vor Manipulation und informiert den Cloud-Kunden entsprechend über den Status während der Laufzeit.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Images virtueller Maschinen oder Container, die sie mit dem Cloud-Dienst betreiben, ihren Anforderungen an das Informationssicherheitsmanagement entsprechen und dass die Ergebnisse der Integritätsprüfungen beim Start und während der Laufzeit gemäß diesen Anforderungen verarbeitet werden.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Extended aspects to be covered by the equipped functionalities by images being labelled with information about their origin.

Bullet points are now sorted to ease discussions about specific list items.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.