BSI aktualisiert Kriterienkatalog für Cloud-Security

Das deutsche Bundesamt für Sicherheit in der Informationstechnologie, kurz BSI, hat seinen Cloud-Security-Katalog C5 aktualisiert. Dieser dient Cloud-Anbietern aller Grössenordnungen zum Nachweis der Sicherheit ihrer Systeme.

C5 steht für «Cloud Computing Compliance Criteria Catalogue». Die darin niedergeschriebenen Regeln sind zwar grundsätzlich nicht verbindlich, die meisten Cloud-Dienste halten sich jedoch daran oder nutzen den Katalog gar als Aushängeschild für ihr Angebot.

Erstmals veröffentlicht wurde der C5 im Jahr 2016. Nun wurde der Katalog grundlegend überarbeitet, wie das BSI mitteilt. Er berücksichtigt nun auch aktuelle Entwicklungen wie den 2019 in Kraft getretenen EU Cybersecurity Act.

Auf seiner Webseite schlüsselt das BSI die jeweiligen Änderungen des C5 detailliert auf. Unter anderem beinhaltet der Kriterienkatalog nun zwei völlig neu hinzugefügte Bereiche. Diese tragen die Titel «Produktsicherheit» und «Umgang mit Ermittlungsanfragen staatliche Stellen».

Von Grund auf überarbeitet wurden ausserdem bereits bestehende Sicherheitskriterien. Notwendig geworden sei dies laut dem BSI, um Themenfelder wie DevOps und dergleichen besser berücksichtigen zu können.

Die Überprüfung, ob ein Cloud-Angebot tatsächlich den C5-Regeln entspricht, war bisweilen eher umständlich. Unternehmen mussten für die Prüfung eine genaue Beschreibung des Systems eigenständig anfertigen und vorlegen. Das BSI unterstützt nun jedoch Cloud-Anbieter, die ihre vollständige Beschreibung noch nicht abgeschlossen oder nicht ausreichend detailliert dargestellt haben. Statt eines Vorabberichts wird nun direkt bei der Überprüfung automatisch ein vergleichbares Dokument erstellt.

Alle weiteren Änderungen sowie der vollständige C5 in der neuen Fassung stehen kostenfrei über die Webseite des BSI zur Verfügung.