DEV-06 Risikobeurteilung, Kategorisierung und Priorisierung von Änderungen

Gemäß den anwendbaren Richtlinien werden Änderungen einer Risikobeurteilung unterzogen, die ihre potenziellen Auswirkungen auf den gesamten im Geltungsbereich befindlichen Cloud-Dienst bewertet. Darüber hinaus werden, wenn mehrere Änderungen gleichzeitig umgesetzt werden, auch ihre wechselseitigen Interaktionen und kumulativen Auswirkungen der Risikobeurteilung unterzogen, um potenzielle Konflikte oder Abhängigkeiten zu identifizieren. Alle identifizierten Risiken und Abhängigkeiten werden entsprechend kategorisiert und priorisiert.

Wenn das mit einer geplanten Änderung verbundene Risiko hoch ist, werden geeignete Minderungsmaßnahmen ergriffen, bevor die Änderung in der Produktionsumgebung des Cloud-Dienstes bereitgestellt wird.

Gemäß den vertraglichen Vereinbarungen werden aussagekräftige Informationen über Anlass, Zeitpunkt, Dauer, Art und Umfang der Änderung an autorisierte Stellen des Cloud-Kunden übermittelt, damit diese ihre eigene Risikobeurteilung durchführen können, bevor die Änderung in der Produktionsumgebung verfügbar gemacht wird. Unabhängig von den vertraglichen Vereinbarungen erfolgt dies bei Änderungen, die auf Grundlage ihrer Risikobeurteilung die höchste Risikokategorie haben. Dies schließt Änderungen ohne Auswirkung auf die Cloud-Dienstnutzung oder die Sicherheitslage des Cloud-Dienstes nicht ein.