PSS-12 Region der Datenverarbeitung und -speicherung
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Specified that data being only stored and processed in the region chosen by the cloud service customer is supported not just by the cloud service architecture, but in particular the technical design of the infrastructure.
Added requirement for service organisations to adhere to the choice of region as well.
Added requiremnt regarding contractual agreements about the use of regions.
Added requirement for the cloud service provider to inform cloud service customers about changes to their region.
Zusatzkriterium
Additional criterion newly included.
Wortlaut in C5:2020
Basiskriterium
The cloud customer is able to specify the locations (location/country) of the data processing and storage including data backups according to the contractually available options.
This must be ensured by the cloud architecture.
Basiskriterium
Die Architektur des Cloud-Dienstes, einschließlich der technischen Ausgestaltung seiner Infrastruktur, stellt sicher, dass Cloud-Kundendaten und etwaige Datensicherungen davon nur in der in den vertraglichen Vereinbarungen mit dem Cloud-Anbieter festgelegten Region verarbeitet und gespeichert werden. Falls der Cloud-Kunde aus mehreren Regionen auswählen kann, ist die Verarbeitung und Speicherung der vorgenannten Daten auf die ausgewählten Regionen beschränkt.
Ergänzende Information
Gilt auch für 02B, 03B, 04B, 01AS, 01AC, 02AC
Dieses Kriterium ergänzt die Allgemeine Bedingung GC-01. Es verlangt nicht, dass der Cloud-Anbieter mehrere Regionen oder Partitionen anbietet. Falls der Cloud-Anbieter nur eine Partition für den/die im Geltungsbereich befindlichen Cloud-Dienst(e) anbietet, stellt dies keine Abweichung vom Kriterium dar.
Falls das Zusatz-Unterkriterium nur für ausgewählte Partitionen im Geltungsbereich eines Attestierungsauftrags gemäß diesem Katalog anwendbar ist, sollte dies in der Beschreibung seines internen Kontrollsystems für den Cloud-Dienst durch den Cloud-Anbieter dargestellt werden.
Dieses Kriterium ist eine Voraussetzung für technische Dienst-Souveränität.
Die Überwachung von Threat Intelligence Daten, die keine Cloud-Kundendaten und keine Kontodaten umfassen, sowie die Protokollierung erforderlicher Routing-Informationen wie IP-Adressen müssen nicht geografisch auf eine einzelne Partition beschränkt sein.
Die Verarbeitung und Speicherung von Cloud-Kundendaten innerhalb der Service-Organisationen des Cloud-Anbieters hält sich ebenfalls an die vom Cloud-Kunden ausgewählten Regionen.
Ergänzende Information
Gilt auch für 01B, 03B, 04B, 01AS, 01AC, 02AC
Dieses Kriterium ergänzt die Allgemeine Bedingung GC-01. Es verlangt nicht, dass der Cloud-Anbieter mehrere Regionen oder Partitionen anbietet. Falls der Cloud-Anbieter nur eine Partition für den/die im Geltungsbereich befindlichen Cloud-Dienst(e) anbietet, stellt dies keine Abweichung vom Kriterium dar.
Falls das Zusatz-Unterkriterium nur für ausgewählte Partitionen im Geltungsbereich eines Attestierungsauftrags gemäß diesem Katalog anwendbar ist, sollte dies in der Beschreibung seines internen Kontrollsystems für den Cloud-Dienst durch den Cloud-Anbieter dargestellt werden.
Dieses Kriterium ist eine Voraussetzung für technische Dienst-Souveränität.
Die Überwachung von Threat Intelligence Daten, die keine Cloud-Kundendaten und keine Kontodaten umfassen, sowie die Protokollierung erforderlicher Routing-Informationen wie IP-Adressen müssen nicht geografisch auf eine einzelne Partition beschränkt sein.
Die vertraglichen Vereinbarungen legen die Regionen fest, in denen die Verarbeitung und Speicherung von Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten und Kontodaten erfolgt, sowie die Umstände, unter denen Änderungen vorgenommen werden können.
Ergänzende Information
Dieses Kriterium bezieht sich auf die Architektur des Cloud-Dienstes und legt der vom Cloud-Kunden entworfenen Architektur keine Beschränkungen auf.
Wenn ein Cloud-Anbieter mehrere Regionen anbietet, die denselben Dienst bereitstellen, steht es dem Cloud-Kunden frei, den Dienst in unterschiedlichen Regionen zu nutzen (z. B. für mehr Resilienz).
Dieses Unterkriterium bezieht sich auf vertragliche Vereinbarungen, die die Zusage einschließen, dass Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten in der gewählten Region verbleiben. Es behandelt auch, wie vertragliche Vereinbarungen aktualisiert werden, und stellt eine transparente Kommunikation sowie den fortgesetzten Verbleib aller vier Datentypen in der/den vereinbarten Region(en) sicher.
Ergänzende Information
Gilt auch für 01B, 02B, 04B, 01AS, 01AC, 02AC
Dieses Kriterium ergänzt die Allgemeine Bedingung GC-01. Es verlangt nicht, dass der Cloud-Anbieter mehrere Regionen oder Partitionen anbietet. Falls der Cloud-Anbieter nur eine Partition für den/die im Geltungsbereich befindlichen Cloud-Dienst(e) anbietet, stellt dies keine Abweichung vom Kriterium dar.
Falls das Zusatz-Unterkriterium nur für ausgewählte Partitionen im Geltungsbereich eines Attestierungsauftrags gemäß diesem Katalog anwendbar ist, sollte dies in der Beschreibung seines internen Kontrollsystems für den Cloud-Dienst durch den Cloud-Anbieter dargestellt werden.
Dieses Kriterium ist eine Voraussetzung für technische Dienst-Souveränität.
Die Überwachung von Threat Intelligence Daten, die keine Cloud-Kundendaten und keine Kontodaten umfassen, sowie die Protokollierung erforderlicher Routing-Informationen wie IP-Adressen müssen nicht geografisch auf eine einzelne Partition beschränkt sein.
Cloud-Kunden werden im Voraus über Änderungen der Regionen informiert, in denen die vorgenannten Daten verarbeitet oder gespeichert werden. Falls dem Cloud-Anbieter hierfür keine vorherige allgemeine Autorisierung durch den Cloud-Kunden erteilt wurde, werden solche Berechtigungen gemäß den in den vertraglichen Vereinbarungen festgelegten Anforderungen eingeholt oder dem Cloud-Kunden die Ausübung von Kündigungsrechten ermöglicht.
Ergänzende Information
Gilt auch für 01B, 02B, 03B, 01AS, 01AC, 02AC
Dieses Kriterium ergänzt die Allgemeine Bedingung GC-01. Es verlangt nicht, dass der Cloud-Anbieter mehrere Regionen oder Partitionen anbietet. Falls der Cloud-Anbieter nur eine Partition für den/die im Geltungsbereich befindlichen Cloud-Dienst(e) anbietet, stellt dies keine Abweichung vom Kriterium dar.
Falls das Zusatz-Unterkriterium nur für ausgewählte Partitionen im Geltungsbereich eines Attestierungsauftrags gemäß diesem Katalog anwendbar ist, sollte dies in der Beschreibung seines internen Kontrollsystems für den Cloud-Dienst durch den Cloud-Anbieter dargestellt werden.
Dieses Kriterium ist eine Voraussetzung für technische Dienst-Souveränität.
Die Überwachung von Threat Intelligence Daten, die keine Cloud-Kundendaten und keine Kontodaten umfassen, sowie die Protokollierung erforderlicher Routing-Informationen wie IP-Adressen müssen nicht geografisch auf eine einzelne Partition beschränkt sein.
Zusatzkriterium
PSS-12.01AS
Zusatz, verschärft01BDie Architektur des Cloud-Dienstes, einschließlich der technischen Ausgestaltung seiner Infrastruktur, stellt sicher, dass die Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten und etwaige Datensicherungen davon nur in der in den vertraglichen Vereinbarungen mit dem Cloud-Anbieter festgelegten Region verarbeitet und gespeichert werden. Falls der Cloud-Kunde aus mehreren Regionen auswählen kann, ist die Verarbeitung und Speicherung der vorgenannten Daten auf die ausgewählten Regionen beschränkt.
Ergänzende Information
Gilt auch für 01B, 02B, 03B, 04B, 01AC, 02AC
Dieses Kriterium ergänzt die Allgemeine Bedingung GC-01. Es verlangt nicht, dass der Cloud-Anbieter mehrere Regionen oder Partitionen anbietet. Falls der Cloud-Anbieter nur eine Partition für den/die im Geltungsbereich befindlichen Cloud-Dienst(e) anbietet, stellt dies keine Abweichung vom Kriterium dar.
Falls das Zusatz-Unterkriterium nur für ausgewählte Partitionen im Geltungsbereich eines Attestierungsauftrags gemäß diesem Katalog anwendbar ist, sollte dies in der Beschreibung seines internen Kontrollsystems für den Cloud-Dienst durch den Cloud-Anbieter dargestellt werden.
Dieses Kriterium ist eine Voraussetzung für technische Dienst-Souveränität.
Die Überwachung von Threat Intelligence Daten, die keine Cloud-Kundendaten und keine Kontodaten umfassen, sowie die Protokollierung erforderlicher Routing-Informationen wie IP-Adressen müssen nicht geografisch auf eine einzelne Partition beschränkt sein.
PSS-12.02AS
Zusatz, verschärft02BDie Verarbeitung und Speicherung von Cloud-Kundendaten und abgeleiteten Cloud-Dienstdaten innerhalb der Service-Organisationen des Cloud-Anbieters hält sich ebenfalls an die vom Cloud-Kunden ausgewählten Regionen.
PSS-12.01AC
Zusatz, erweiterndDer Cloud-Anbieter bietet vom Cloud-Kunden auswählbare Partitionen an, in denen partitionsspezifisches Identitätsmanagement sowohl für Cloud-Kunden als auch für sämtliches Personal des Cloud-Anbieters erzwungen wird. Identitätsprüfung und Identitätsspeicherung sind auf die geografischen Grenzen der ausgewählten Partition beschränkt.
Ergänzende Information
Gilt auch für 01B, 02B, 03B, 04B, 01AS, 02AC
Dieses Kriterium ergänzt die Allgemeine Bedingung GC-01. Es verlangt nicht, dass der Cloud-Anbieter mehrere Regionen oder Partitionen anbietet. Falls der Cloud-Anbieter nur eine Partition für den/die im Geltungsbereich befindlichen Cloud-Dienst(e) anbietet, stellt dies keine Abweichung vom Kriterium dar.
Falls das Zusatz-Unterkriterium nur für ausgewählte Partitionen im Geltungsbereich eines Attestierungsauftrags gemäß diesem Katalog anwendbar ist, sollte dies in der Beschreibung seines internen Kontrollsystems für den Cloud-Dienst durch den Cloud-Anbieter dargestellt werden.
Dieses Kriterium ist eine Voraussetzung für technische Dienst-Souveränität.
Die Überwachung von Threat Intelligence Daten, die keine Cloud-Kundendaten und keine Kontodaten umfassen, sowie die Protokollierung erforderlicher Routing-Informationen wie IP-Adressen müssen nicht geografisch auf eine einzelne Partition beschränkt sein.
PSS-12.02AC
Zusatz, erweiterndInnerhalb dieser Partitionen sind die folgenden Operationen des Cloud-Anbieters darauf beschränkt, nur innerhalb der geografischen Grenzen der vom Cloud-Kunden ausgewählten Partitionen stattzufinden:
- Privilegierter Zugang zur Produktionsumgebung durch den Cloud-Anbieter, einschließlich potenziellen Zugriffs auf Cloud-Kundendaten und abgeleitete Cloud-Dienstdaten;
- Systemprotokollierung und Ereignisüberwachung durch den Cloud-Anbieter, ausgenommen die Verarbeitung von Ereignisprotokollen speziell für Threat Intelligence und die Verarbeitung von IP-Adressen zu Routing-Zwecken; und
- Verfahren zur Verwaltung und Speicherung kryptographischer Schlüssel, um sicherzustellen, dass Schlüssel innerhalb der Grenzen der Partition gehandhabt und gespeichert werden.
Diese Beschränkungen unter Berücksichtigung von Partitionen gelten auch für alle Service-Organisationen, die am Betrieb des Cloud-Dienstes beteiligt sind.
Ergänzende Information
Gilt auch für 01B, 02B, 03B, 04B, 01AS, 01AC
Dieses Kriterium ergänzt die Allgemeine Bedingung GC-01. Es verlangt nicht, dass der Cloud-Anbieter mehrere Regionen oder Partitionen anbietet. Falls der Cloud-Anbieter nur eine Partition für den/die im Geltungsbereich befindlichen Cloud-Dienst(e) anbietet, stellt dies keine Abweichung vom Kriterium dar.
Falls das Zusatz-Unterkriterium nur für ausgewählte Partitionen im Geltungsbereich eines Attestierungsauftrags gemäß diesem Katalog anwendbar ist, sollte dies in der Beschreibung seines internen Kontrollsystems für den Cloud-Dienst durch den Cloud-Anbieter dargestellt werden.
Dieses Kriterium ist eine Voraussetzung für technische Dienst-Souveränität.
Die Überwachung von Threat Intelligence Daten, die keine Cloud-Kundendaten und keine Kontodaten umfassen, sowie die Protokollierung erforderlicher Routing-Informationen wie IP-Adressen müssen nicht geografisch auf eine einzelne Partition beschränkt sein.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie bei der Auswahl von Cloud-Anbietern und der Konfiguration des Cloud-Dienstes über die verfügbaren Partitionen für Datenverarbeitung und -speicherung informiert sind und, falls eine Wahl zwischen verschiedenen Partitionen besteht, diejenigen auswählen, die ihren eigenen Anforderungen entsprechen.
Je nach Anwendungsfall und insbesondere bei der Nutzung von Diensten eines Cloud-Anbieters, der in einem anderen Land ansässig ist, berücksichtigen Cloud-Kunden bei ihrer Auswahl die für sie geltenden Gesetze ihrer eigenen Jurisdiktion (z. B. bei der Verarbeitung personenbezogener Daten; Einhaltung gesetzlicher Aufbewahrungspflichten für Geschäftsunterlagen usw.).
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen