C5-Themengebiet PSS: was Ihr Dienst den Kunden an Sicherheit bieten muss

Diese Seite behandelt das Themengebiet PSS (Produktsicherheit) des C5:2026, Abschnitt 5.17 des Katalogs. Wie Kriterien und Unterkriterien grundsätzlich aufgebaut sind, erklärt die Seite C5-Kriterienkatalog.

Worum geht es im Themengebiet PSS?

PSS richtet den Blick auf das, was der Dienst seinen Kunden liefert. Der Katalog nennt als Ziel, Kunden aktuelle Informationen zur sicheren Konfiguration und zu bekannten Schwachstellen bereitzustellen sowie geeignete Mechanismen zur Fehlerbehandlung und Protokollierung und zur Authentisierung und Autorisierung der Nutzer der Kunden (Abschnitt 5.17). Wie sich das Personal des Anbieters anmeldet und welche Rechte es hat, regelt dagegen das Gebiet IAM.

Das Gebiet umfasst zwölf Kriterien, PSS-01 bis PSS-12, mit 39 Basis-Unterkriterien, 2 verschärfenden und 11 erweiternden Zusatz-Unterkriterien. Alle zwölf gab es mit gleicher Nummer schon in C5:2020, mehrere sind aber deutlich verschärft. Nach der Änderungshistorie des BSI verlangt PSS-05 jetzt Mehr-Faktor-Authentisierung statt „starker“ Authentisierung, PSS-03 eine mindestens tägliche Abfrage der Schwachstelleninformationen von Lieferanten und PSS-12 auch von den Service-Organisationen des Anbieters die Einhaltung der gewählten Region.

Ausgangssituation: ein SaaS-Anbieter mit Web-Anwendung, Schnittstelle und App

Fiktives Beispiel, kein Kunde. Ein Anbieter betreibt ein Verwaltungsprogramm für Versicherungsmakler als SaaS: Kundenakten, Verträge, Schadensfälle und Provisionen. Dazu gehören eine Web-Anwendung, eine Programmierschnittstelle für Vergleichsrechner und eine Mobil-App, die die Makler selbst auf ihren Geräten installieren. Der Dienst läuft in einer deutschen Region eines großen Cloud-Anbieters.

So sieht es vor dem Projekt aus:

• Es gibt eine Hilfe-Seite mit Bedienungsanleitungen. Sicherheitshinweise, etwa zur Rollenvergabe oder zu den Pflichten der Kunden, stehen nicht darin.
• Schwachstellen in Bibliotheken findet ein Werkzeug in der Pipeline. Die Kunden erfahren davon nichts, auch nicht, wenn eine Schwachstelle in der App nicht behoben wird.
• Mehr-Faktor-Authentisierung können Nutzer selbst einschalten. Ein Maklerbüro kann sie für seine Mitarbeitenden nicht verpflichtend machen.
• Links zum Zurücksetzen des Passworts sind sieben Tage gültig.
• Die Datensicherungen liegen laut Plattform-Einstellung in einer zweiten Region im europäischen Ausland; der Vertrag nennt nur „Rechenzentren in Deutschland“.

Wer ist wofür verantwortlich: Anbieter, Plattform, Kunde?

PSS beschreibt Leistungen des Anbieters an seine Kunden; elf der zwölf Kriterien haben deshalb eine Kundenseite. Die Plattform ist im Beispiel ein Subdienstleister (Subservice-Organisation). Unsere Einordnung für das Beispiel:

Alle PSS-Kriterien außer PSS-02 enthalten korrespondierende Kriterien für Kunden. PSS-01.03B verlangt zusätzlich, dass die Nutzerdokumentation alle erforderlichen korrespondierenden Kontrollen der Kunden beschreibt. Dieselbe Liste gehört als korrespondierende Kundenkontrollen (CUEC) in die Systembeschreibung; wie Sie sie mit Kunden abstimmen, zeigt die Seite Korrespondierende Kriterien. Der Prüfer prüft diese Kontrollen nicht beim Kunden, nur ob sie sachgerecht dargestellt sind.

Welche PSS-Kriterien gelten für einen SaaS-Dienst?

Nicht jedes PSS-Kriterium passt zu jedem Servicemodell. Der Katalog sagt das in den ergänzenden Informationen selbst:

• PSS-10 Software-defined Networking und PSS-11 Images für virtuelle Maschinen und Container sind für SaaS „typischerweise nicht anwendbar“; sie betreffen Dienste, mit denen Kunden eigene Netze, Maschinen oder Container betreiben. Wie der Anbieter Kunden voneinander trennt, zeigt die Seite Mandantentrennung, wie er eine eigene Container-Plattform prüffähig betreibt, die Seite Container und Kubernetes.
• PSS-04 Fehlerbehandlungs- und Protokollierungsmechanismen gilt nur für Systemkomponenten in der Verantwortung des Kunden. Bei SaaS-Diensten kann deren Zahl so begrenzt sein, dass das Kriterium nicht anwendbar ist.
• PSS-12 Region verlangt nicht, mehrere Regionen oder Partitionen anzubieten; wer nur eine Partition anbietet, weicht damit nicht vom Kriterium ab.

Ein nicht anwendbares Kriterium nehmen Sie mit Begründung aus; die Begründung gehört nach Mindestinhalt 4 in die Systembeschreibung. Sie darf sich nach Abschnitt 3.4.3 nur auf Art und Ausgestaltung des Dienstes oder auf die Grundsätze, Verfahren und Maßnahmen des Anbieters stützen, nie darauf, dass Kontrollen fehlen oder nicht wirken. Für das Beispiel hält die Beschreibung fest: Kunden betreiben keine eigenen Netze, Maschinen oder Container, deshalb sind PSS-10 und PSS-11 nicht anwendbar. Für PSS-04 lohnt ein genauer Blick, denn das Beispiel hat mit der Mobil-App und den Rollen der Kundenadministratoren Bereiche, die der Kunde selbst steuert.

PSS-12 ergänzt nach dem Katalog die Rahmenbedingung GC-01, in der Sie Länder, Regionen und Standorte angeben, siehe Rahmenbedingungen; für Kunden mit Anforderungen an die Souveränität ist es nach dem Katalog eine Voraussetzung technischer Dienst-Souveränität, siehe C3A.

Beispiel-Kontrollbeschreibung zu PSS-03

PSS-03 verlangt einen koordinierten Prozess, über den Kunden regelmäßig aktualisierte Informationen über bekannte Schwachstellen im Zusammenhang mit dem Dienst bekommen: ausgenutzte Schwachstellen, solche mit Patch oder Gegenmaßnahme (N-Day) und solche, für die der Anbieter voraussichtlich keinen Patch bereitstellt (Forever-Day), mit Begründung (PSS-03.01B). Das gilt auch für Assets, die Kunden selbst installieren müssen, im Beispiel die App. Die Schwachstellen werden mit CVE-Verweisen und Bewertungen nach CVSS und nach EPSS, SSVC oder einer vergleichbaren Metrik dargestellt (PSS-03.04B), und der Anbieter fragt die Schwachstelleninformationen seiner Lieferanten und Service-Organisationen mindestens täglich ab (PSS-03.05B). Unsere Beispiel-Kontrolle für den Anbieter oben (eigene Formulierung, kein Katalogtext):

Die Komponentenliste muss nach den ergänzenden Informationen zu PSS-03.03B nicht an Kunden gehen; sie dient der Erkennung. Ob die Kontrolle alle Unterkriterien abdeckt, beurteilt der Prüfer; bei einem Typ-2-Bericht prüft er zusätzlich, ob sie über den ganzen Zeitraum wirksam war.

Welche Nachweise der Prüfer sehen will

Viele PSS-Nachweise sind Eigenschaften des Produkts: Konfigurationen, Funktionen, veröffentlichte Dokumente. Der Prüfer will sie für die Version sehen, die im Zeitraum produktiv war. Beispiele aus unserem Szenario:

Ein Nachweisregister hält fest, welcher Nachweis zu welchem Unterkriterium gehört; wie Sie es führen, zeigt die Seite Nachweise und Dokumentation.

Mögliche Lücken: Ursache, Wirkung, Abhilfe

Die folgenden Lücken ergeben sich aus dem Wortlaut der Kriterien und dem Szenario oben. Ist ein einziges Unterkriterium nicht erfüllt, gilt das Kriterium als nicht erfüllt, und der Prüfer berichtet die Abweichung (Abschnitte 3.4.12 und 3.4.13).

In welcher Reihenfolge Sie diese und die Lücken anderer Gebiete schließen, zeigt die Seite Maßnahmen priorisieren. Produktänderungen wie die erzwingbare Mehr-Faktor-Authentisierung brauchen einen Release vor Beginn des Prüfungszeitraums.

Alle Kriterien des Themengebiets PSS

Titel nach der deutschen Fassung 1.1.0, Zählung der Unterkriterien nach Abschnitt 5 (B = Basis, AS = verschärfend, AC = erweiternd). Die Spalte „Worum es geht“ ist unsere eigene Kurzbeschreibung, kein Katalogtext; verbindlich ist der Wortlaut der Kriterien im Katalog.

Zusatzkriterien mit Wirkung im Vertrieb sind etwa PSS-01.01AC (rechtzeitige Information über geplante Änderungen am Dienst), PSS-03.02AC (Veröffentlichung von Schwachstellen nach dem Common Security Advisory Framework ab Version 2.0 und der Technischen Richtlinie TR-03191 des BSI), PSS-12.01AS (auch abgeleitete Cloud-Dienstdaten nur in der Region) und PSS-12.01AC und PSS-12.02AC (wählbare Partitionen, in denen auch Identitätsmanagement, privilegierte Zugriffe, Protokollierung und Schlüssel bleiben).

Bezug zu ISO/IEC 27001:2022 Anhang A

ISO/IEC 27001 regelt das ISMS des eigenen Unternehmens; PSS verlangt dagegen Funktionen und Informationen, die der Dienst den Kunden bietet. Die folgende Zuordnung ist deshalb nur eine thematische Nähe, unsere eigene, nicht amtliche Einordnung. Das BSI hat für C5:2026 noch keine Kreuzreferenz veröffentlicht, und auch eine amtliche Tabelle zeigt nach dem Katalog nur thematische Nähe, keine Erfüllung (Abschnitt 3.3). Die Kurzbezeichnungen sind unsere, keine Titel aus der Norm.