PS-01 Sicherheitsanforderungen für Gebäude und Räumlichkeiten

Der Cloud-Anbieter definiert und dokumentiert mindestens zwei Sicherheitsbereiche, mit mindestens einem sensiblen Bereich und einem öffentlichen Bereich. Ein sensibler Bereich umfasst die Gebäude und Räumlichkeiten, in denen sensible Tätigkeiten stattfinden, wie etwa das Hosting der Systemkomponenten, die für die Bereitstellung des Cloud-Dienstes verwendet werden. Ein öffentlicher Bereich umfasst alle Gebäude und Räumlichkeiten, die nicht anderweitig durch einen Sicherheitsbereich abgedeckt sind.

Ergänzende Informationen

Eine fehlerhafte Planung kann die Betriebssicherheit und Verfügbarkeit der Räumlichkeiten oder Gebäude gefährden. Dies kann insbesondere aus einer falschen Bewertung elementarer Gefährdungen am Standort (z. B. Luftverkehr, Erdbeben, Hochwasser, Gefahrstoffe) sowie einer fehlerhaften Konzeptionierung der Bandbreite oder Energieversorgung resultieren.

Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst umfassen Rechenzentren und Serverräume, die Systemkomponenten beherbergen, mit denen Cloud-Kundendatem verarbeitet werden (einschließlich Rechenzentren für Datensicherungs- oder Redundanzzwecke) sowie die für den Betrieb dieser Systemkomponenten benötigten technischen Versorgungseinrichtungen (z. B. Stromversorgung, Kälteversorgung, Löschtechnik, Telekommunikation, Sicherheitstechnik etc.).

Räumlichkeiten und Gebäude, in denen keine Cloud-Kundendaten verarbeitet oder gespeichert werden (z. B. Büros des Cloud-Anbieters, Serverräume mit Systemkomponenten für interne Entwicklungs- und Testsysteme), unterliegen Anforderungen, die speziell unter PS-08 behandelt werden.

Sicherheitsanforderungen für Gebäude und Räumlichkeiten mit Bezug zum bereitgestellten Cloud-Dienst sind aus den Sicherheitszielen der Informationssicherheitsrichtlinie, dem identifizierten Schutzbedarf für den Cloud-Dienst und einer Risikobeurteilung hinsichtlich der physischen und umgebungsbezogenen Sicherheit abgeleitet. Die Sicherheitsanforderungen sind in einer Richtlinie oder einem Rahmenwerk gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt.

Ergänzende Informationen

Eine fehlerhafte Planung kann die Betriebssicherheit und Verfügbarkeit der Räumlichkeiten oder Gebäude gefährden. Dies kann insbesondere aus einer falschen Bewertung elementarer Gefährdungen am Standort (z. B. Luftverkehr, Erdbeben, Hochwasser, Gefahrstoffe) sowie einer fehlerhaften Konzeptionierung der Bandbreite oder Energieversorgung resultieren.

Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst umfassen Rechenzentren und Serverräume, die Systemkomponenten beherbergen, mit denen Cloud-Kundendatem verarbeitet werden (einschließlich Rechenzentren für Datensicherungs- oder Redundanzzwecke) sowie die für den Betrieb dieser Systemkomponenten benötigten technischen Versorgungseinrichtungen (z. B. Stromversorgung, Kälteversorgung, Löschtechnik, Telekommunikation, Sicherheitstechnik etc.).

Räumlichkeiten und Gebäude, in denen keine Cloud-Kundendaten verarbeitet oder gespeichert werden (z. B. Büros des Cloud-Anbieters, Serverräume mit Systemkomponenten für interne Entwicklungs- und Testsysteme), unterliegen Anforderungen, die speziell unter PS-08 behandelt werden.

Sicherheitsanforderungen für Rechenzentren basieren auf Kriterien in Übereinstimmung mit dem Stand der Technik und den Kriterien PS-02 bis PS-07. Sie sind geeignet, die folgenden Risiken im Einklang mit den anwendbaren gesetzlichen und vertraglichen Anforderungen zu adressieren:

1. Fehlerhafte Planung;

2. Unbrechtigter Zutritt (einschließlich Zutritt zum Gelände durch Drohnen);

3. Unzureichende Überwachung;

4. Blitze und Überspannung (im Einklang mit den internationalen Normen der IEC 62305);

5. Feuer und Rauch;

6. Unerwünschtes Wasser;

7. Ausfälle und/oder nicht verfügbare Telekommunikation;

8. Stromausfall; und

9. Unzureichende Heizung, Belüftung, Klimatisierung (HVAC) und Luftfiltration.

Ergänzende Informationen

Eine fehlerhafte Planung kann die Betriebssicherheit und Verfügbarkeit der Räumlichkeiten oder Gebäude gefährden. Dies kann insbesondere aus einer falschen Bewertung elementarer Gefährdungen am Standort (z. B. Luftverkehr, Erdbeben, Hochwasser, Gefahrstoffe) sowie einer fehlerhaften Konzeptionierung der Bandbreite oder Energieversorgung resultieren.

Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst umfassen Rechenzentren und Serverräume, die Systemkomponenten beherbergen, mit denen Cloud-Kundendatem verarbeitet werden (einschließlich Rechenzentren für Datensicherungs- oder Redundanzzwecke) sowie die für den Betrieb dieser Systemkomponenten benötigten technischen Versorgungseinrichtungen (z. B. Stromversorgung, Kälteversorgung, Löschtechnik, Telekommunikation, Sicherheitstechnik etc.).

Räumlichkeiten und Gebäude, in denen keine Cloud-Kundendaten verarbeitet oder gespeichert werden (z. B. Büros des Cloud-Anbieters, Serverräume mit Systemkomponenten für interne Entwicklungs- und Testsysteme), unterliegen Anforderungen, die speziell unter PS-08 behandelt werden.

Ergänzende Informationen

Der Stand der Technik ist in einschlägigen Normen definiert, z. B. EN 50600 (Einrichtungen und Infrastrukturen von Rechenzentren). Hinweis für zweisprachige Leser: Die deutsche Version des C5 verwendet den Begriff *Stand der Technik* während im Englischen *established rules of technology* verwendet wird, obwohl der deutsche Leser möglicherweise den Begriff *state of the art* erwarten könnte. *State of the art* definiert ein höheres Niveau als *Stand der Technik*, daher wird im Englischen *established rules of technology* und im Deutschen *Stand der Technik* verwendet.

Die maximal tolerierbaren Ausfallzeiten von Versorgungseinrichtungen sind geeignet, die in der Service Level-Vereinbarung enthaltenen Verfügbarkeitsanforderungen zu erfüllen.

Ergänzende Informationen

Eine fehlerhafte Planung kann die Betriebssicherheit und Verfügbarkeit der Räumlichkeiten oder Gebäude gefährden. Dies kann insbesondere aus einer falschen Bewertung elementarer Gefährdungen am Standort (z. B. Luftverkehr, Erdbeben, Hochwasser, Gefahrstoffe) sowie einer fehlerhaften Konzeptionierung der Bandbreite oder Energieversorgung resultieren.

Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst umfassen Rechenzentren und Serverräume, die Systemkomponenten beherbergen, mit denen Cloud-Kundendatem verarbeitet werden (einschließlich Rechenzentren für Datensicherungs- oder Redundanzzwecke) sowie die für den Betrieb dieser Systemkomponenten benötigten technischen Versorgungseinrichtungen (z. B. Stromversorgung, Kälteversorgung, Löschtechnik, Telekommunikation, Sicherheitstechnik etc.).

Räumlichkeiten und Gebäude, in denen keine Cloud-Kundendaten verarbeitet oder gespeichert werden (z. B. Büros des Cloud-Anbieters, Serverräume mit Systemkomponenten für interne Entwicklungs- und Testsysteme), unterliegen Anforderungen, die speziell unter PS-08 behandelt werden.

Wenn der Cloud-Anbieter den Cloud-Dienst in von Service-Organisationen betriebenen Rechenzentren betreibt, beschreibt das Dokument:

1. Die von den Service-Organisationen erwarteten komplementären Kontrollen der Subservice-Organisationen (CSOC); und

2. Die Maßnahmen zur Überwachung der Ausgestaltung und des Betriebs von Kontrollen bei den Service-Organisationen in Bezug auf diese CSOC (vgl. SSO-05).

Ergänzende Informationen

Eine fehlerhafte Planung kann die Betriebssicherheit und Verfügbarkeit der Räumlichkeiten oder Gebäude gefährden. Dies kann insbesondere aus einer falschen Bewertung elementarer Gefährdungen am Standort (z. B. Luftverkehr, Erdbeben, Hochwasser, Gefahrstoffe) sowie einer fehlerhaften Konzeptionierung der Bandbreite oder Energieversorgung resultieren.

Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst umfassen Rechenzentren und Serverräume, die Systemkomponenten beherbergen, mit denen Cloud-Kundendatem verarbeitet werden (einschließlich Rechenzentren für Datensicherungs- oder Redundanzzwecke) sowie die für den Betrieb dieser Systemkomponenten benötigten technischen Versorgungseinrichtungen (z. B. Stromversorgung, Kälteversorgung, Löschtechnik, Telekommunikation, Sicherheitstechnik etc.).

Räumlichkeiten und Gebäude, in denen keine Cloud-Kundendaten verarbeitet oder gespeichert werden (z. B. Büros des Cloud-Anbieters, Serverräume mit Systemkomponenten für interne Entwicklungs- und Testsysteme), unterliegen Anforderungen, die speziell unter PS-08 behandelt werden.

Ergänzende Informationen

Räumlichkeiten und Gebäude, die von Dritten betrieben werden sind z. B. Serverhousing, Colocation oder IaaS.

Wenn der Cloud-Anbieter den Cloud-Dienst in von Service-Organisationen betriebenen Rechenzentren betreibt, führt der Cloud-Anbieter eine Überprüfung der Implementierung geeigneter CSOC gemäß den Kriterien zur Steuerung und Überwachung von Service-Organisationen durch (vgl. SSO-05).

Ergänzende Informationen

Eine fehlerhafte Planung kann die Betriebssicherheit und Verfügbarkeit der Räumlichkeiten oder Gebäude gefährden. Dies kann insbesondere aus einer falschen Bewertung elementarer Gefährdungen am Standort (z. B. Luftverkehr, Erdbeben, Hochwasser, Gefahrstoffe) sowie einer fehlerhaften Konzeptionierung der Bandbreite oder Energieversorgung resultieren.

Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst umfassen Rechenzentren und Serverräume, die Systemkomponenten beherbergen, mit denen Cloud-Kundendatem verarbeitet werden (einschließlich Rechenzentren für Datensicherungs- oder Redundanzzwecke) sowie die für den Betrieb dieser Systemkomponenten benötigten technischen Versorgungseinrichtungen (z. B. Stromversorgung, Kälteversorgung, Löschtechnik, Telekommunikation, Sicherheitstechnik etc.).

Räumlichkeiten und Gebäude, in denen keine Cloud-Kundendaten verarbeitet oder gespeichert werden (z. B. Büros des Cloud-Anbieters, Serverräume mit Systemkomponenten für interne Entwicklungs- und Testsysteme), unterliegen Anforderungen, die speziell unter PS-08 behandelt werden.

Die Sicherheitsanforderungen umfassen Zeitvorgaben für den autarken Betrieb beim Eintritt außergewöhnlicher Ereignisse (z. B. länger anhaltender Stromausfall, Hitzeperioden, Niedrigwasser bei Kälteversorgung mit Flusswasser) sowie maximal tolerierbare Ausfallzeiten von Versorgungseinrichtungen.

Ergänzende Informationen

Eine fehlerhafte Planung kann die Betriebssicherheit und Verfügbarkeit der Räumlichkeiten oder Gebäude gefährden. Dies kann insbesondere aus einer falschen Bewertung elementarer Gefährdungen am Standort (z. B. Luftverkehr, Erdbeben, Hochwasser, Gefahrstoffe) sowie einer fehlerhaften Konzeptionierung der Bandbreite oder Energieversorgung resultieren.

Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst umfassen Rechenzentren und Serverräume, die Systemkomponenten beherbergen, mit denen Cloud-Kundendatem verarbeitet werden (einschließlich Rechenzentren für Datensicherungs- oder Redundanzzwecke) sowie die für den Betrieb dieser Systemkomponenten benötigten technischen Versorgungseinrichtungen (z. B. Stromversorgung, Kälteversorgung, Löschtechnik, Telekommunikation, Sicherheitstechnik etc.).

Räumlichkeiten und Gebäude, in denen keine Cloud-Kundendaten verarbeitet oder gespeichert werden (z. B. Büros des Cloud-Anbieters, Serverräume mit Systemkomponenten für interne Entwicklungs- und Testsysteme), unterliegen Anforderungen, die speziell unter PS-08 behandelt werden.

Ergänzende Informationen

Zeitvorgaben für den autarken Betrieb sowie maximal tolerierbare Ausfallzeiten von Versorgungseinrichtungen werden typischerweise im Rahmen der Business Impact Analyse erhoben (vgl. BCM-02, BCM-03).

Die Sicherheitsanforderungen umfassen Zeitvorgaben, um bei einem Ausfall der externen Stromversorgung einen autarken Betrieb eines Standorts für mindestens 72 Stunden zu ermöglichen, oder bis alle Dienste auf einen anderen Standort übertragen sind.

Ergänzende Informationen

Eine fehlerhafte Planung kann die Betriebssicherheit und Verfügbarkeit der Räumlichkeiten oder Gebäude gefährden. Dies kann insbesondere aus einer falschen Bewertung elementarer Gefährdungen am Standort (z. B. Luftverkehr, Erdbeben, Hochwasser, Gefahrstoffe) sowie einer fehlerhaften Konzeptionierung der Bandbreite oder Energieversorgung resultieren.

Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst umfassen Rechenzentren und Serverräume, die Systemkomponenten beherbergen, mit denen Cloud-Kundendatem verarbeitet werden (einschließlich Rechenzentren für Datensicherungs- oder Redundanzzwecke) sowie die für den Betrieb dieser Systemkomponenten benötigten technischen Versorgungseinrichtungen (z. B. Stromversorgung, Kälteversorgung, Löschtechnik, Telekommunikation, Sicherheitstechnik etc.).

Räumlichkeiten und Gebäude, in denen keine Cloud-Kundendaten verarbeitet oder gespeichert werden (z. B. Büros des Cloud-Anbieters, Serverräume mit Systemkomponenten für interne Entwicklungs- und Testsysteme), unterliegen Anforderungen, die speziell unter PS-08 behandelt werden.

Ergänzende Informationen

Der Zeitraum von 72 Stunden für einen autarken Betrieb steht im Einklang mit Leitlinien für Behörden, Unternehmen und Betreiber kritischer Anlagen (KRITIS) des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK).

Die Sicherheitsanforderungen für einen autarken Betrieb während einer Hitzeperiode basieren auf den höchsten Außentemperaturen, von denen vernünftigerweise geschätzt werden kann, dass sie an den Standorten der Räumlichkeiten und Gebäude innerhalb der Lebensdauer der Kühlungsversorgung auftreten können. Der Cloud-Anbieter bestimmt diese Temperaturen mit einem angemessenen Sicherheitsaufschlag.

Ergänzende Informationen

Eine fehlerhafte Planung kann die Betriebssicherheit und Verfügbarkeit der Räumlichkeiten oder Gebäude gefährden. Dies kann insbesondere aus einer falschen Bewertung elementarer Gefährdungen am Standort (z. B. Luftverkehr, Erdbeben, Hochwasser, Gefahrstoffe) sowie einer fehlerhaften Konzeptionierung der Bandbreite oder Energieversorgung resultieren.

Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst umfassen Rechenzentren und Serverräume, die Systemkomponenten beherbergen, mit denen Cloud-Kundendatem verarbeitet werden (einschließlich Rechenzentren für Datensicherungs- oder Redundanzzwecke) sowie die für den Betrieb dieser Systemkomponenten benötigten technischen Versorgungseinrichtungen (z. B. Stromversorgung, Kälteversorgung, Löschtechnik, Telekommunikation, Sicherheitstechnik etc.).

Räumlichkeiten und Gebäude, in denen keine Cloud-Kundendaten verarbeitet oder gespeichert werden (z. B. Büros des Cloud-Anbieters, Serverräume mit Systemkomponenten für interne Entwicklungs- und Testsysteme), unterliegen Anforderungen, die speziell unter PS-08 behandelt werden.

Ergänzende Informationen

Eine vernünftige Schätzung der höchsten Außentemperaturen kann auf Informationen basieren, die von amtlichen Messstationen wie dem Deutschen Wetterdienst (DWD) oder anderen verlässlichen Quellen geliefert werden, wie z. B. der American Society of Heating, Refrigerating and Air-Conditioning Engineers (ASHRAE).

Diese Schätzungen sollten die Auswirkungen der globalen Erwärmung berücksichtigen.

Was einen angemessene Sicherheitsaufschlag ausmacht, hängt vom Standort der Räumlichkeiten und Gebäude ab. In Deutschland können 3 Kelvin im Allgemeinen als angemessen angesehen werden.

Die Sicherheitsanforderungen sehen vor, dass die zulässigen Betriebs- und Umgebungsparameter der Kälteversorgung auch an mindestens 5 unmittelbar aufeinander folgenden Tagen mit diesen Außentemperaturen einschließlich Sicherheitsaufschlag eingehalten werden müssen (vgl. PS-06).

Ergänzende Informationen

Eine fehlerhafte Planung kann die Betriebssicherheit und Verfügbarkeit der Räumlichkeiten oder Gebäude gefährden. Dies kann insbesondere aus einer falschen Bewertung elementarer Gefährdungen am Standort (z. B. Luftverkehr, Erdbeben, Hochwasser, Gefahrstoffe) sowie einer fehlerhaften Konzeptionierung der Bandbreite oder Energieversorgung resultieren.

Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst umfassen Rechenzentren und Serverräume, die Systemkomponenten beherbergen, mit denen Cloud-Kundendatem verarbeitet werden (einschließlich Rechenzentren für Datensicherungs- oder Redundanzzwecke) sowie die für den Betrieb dieser Systemkomponenten benötigten technischen Versorgungseinrichtungen (z. B. Stromversorgung, Kälteversorgung, Löschtechnik, Telekommunikation, Sicherheitstechnik etc.).

Räumlichkeiten und Gebäude, in denen keine Cloud-Kundendaten verarbeitet oder gespeichert werden (z. B. Büros des Cloud-Anbieters, Serverräume mit Systemkomponenten für interne Entwicklungs- und Testsysteme), unterliegen Anforderungen, die speziell unter PS-08 behandelt werden.

Die Sicherheitsanforderungen berücksichtigen, dass, soweit zur Klimatisierung Wasser aus einem Gewässer (z. B. Fluss oder See) entnommen wird, ermittelt wird, bei welchen Wasserständen und Wassertemperaturen die Klimatisierung wie lange aufrechterhalten werden kann.

Ergänzende Informationen

Eine fehlerhafte Planung kann die Betriebssicherheit und Verfügbarkeit der Räumlichkeiten oder Gebäude gefährden. Dies kann insbesondere aus einer falschen Bewertung elementarer Gefährdungen am Standort (z. B. Luftverkehr, Erdbeben, Hochwasser, Gefahrstoffe) sowie einer fehlerhaften Konzeptionierung der Bandbreite oder Energieversorgung resultieren.

Räumlichkeiten und Gebäude mit Bezug zum bereitgestellten Cloud-Dienst umfassen Rechenzentren und Serverräume, die Systemkomponenten beherbergen, mit denen Cloud-Kundendatem verarbeitet werden (einschließlich Rechenzentren für Datensicherungs- oder Redundanzzwecke) sowie die für den Betrieb dieser Systemkomponenten benötigten technischen Versorgungseinrichtungen (z. B. Stromversorgung, Kälteversorgung, Löschtechnik, Telekommunikation, Sicherheitstechnik etc.).

Räumlichkeiten und Gebäude, in denen keine Cloud-Kundendaten verarbeitet oder gespeichert werden (z. B. Büros des Cloud-Anbieters, Serverräume mit Systemkomponenten für interne Entwicklungs- und Testsysteme), unterliegen Anforderungen, die speziell unter PS-08 behandelt werden.