BSI C5.
Seznamte se s katalogem kritérií pro cloudové služby, zvolte vhodný typ zprávy a vyjasněte odpovědnost poskytovatele a zákazníka.
- BSI C5:2026 · C5:2020 v přechodném období
- Autor: Jonathan Bezdek
- Stav k: 22. 10. 2026
- Doba čtení: 6 min
Stručná odpověď.
BSI C5 je katalog kritérií pro bezpečnost informací cloudových služeb. Nezávislý auditor posoudí popsanou službu a vydá ověřovací výrok se zprávou. C5:2026 rozlišuje závěry k rozhodnému datu a dodatečné ověření provozní účinnosti za určité období. Zákazníci sami hodnotí zprávu a své zbývající bezpečnostní úkoly; BSI certifikát nevydává.
BSI C5 a katalog kritérií cloudové bezpečnosti.
BSI C5 vytváří společný základ pro ověřování a hodnocení bezpečnostních závazků cloudové služby. Plný název zní Cloud Computing Compliance Criteria Catalogue. BSI zveřejňuje katalog; poskytovatel zadává ověření auditorovi nebo auditorské společnosti. Úvodní stránka BSI tyto role výslovně odděluje: úřad nevybírá auditory a nehodnotí jednotlivé zprávy.
Zveřejněnou verzí je C5:2026. C5:2020 zůstává během přechodného období relevantní pro určitá ověřování. Proto patří vydání, typ zprávy a časové vymezení společně do vyjasnění zakázky. Údaj jako „ověřeno podle C5“ neříká, která služba byla za jakých podmínek posouzena; pro rozhodnutí o nákupu nestačí.
C5:2026, oddíl 3.5, stanoví nové vydání pro rozhodná data typu 1 od 1. června 2027 a pro ověřovaná období typu 2 začínající od tohoto dne; dřívější použití je možné. Období typu 2 začínající dříve a přesahující tento termín se mají ještě jednotně ověřovat podle C5:2020. Pro období končící od 28. února 2027 se již předpokládají dodatečné údaje o plánovaných změnách kontrolních opatření. Konkrétní přechodnou situaci dohodněte s auditorem.
Pro koho je zpráva C5 relevantní.
Poskytovatelé cloudu využívají C5, aby zákazníkům průkazně představili bezpečnostní práci na vymezené službě. Zákazníci a nákupní týmy získávají informace pro vlastní hodnocení rizik. Zpráva se může týkat infrastruktury, platforem nebo softwaru; rozhodující je její skutečný rozsah. Podle FAQ BSI se výrok vztahuje na ověřené služby a regiony, nikoli plošně na všechny nabídky koncernu.
Požadavek na zprávu C5 závisí na konkrétním použití a jeho pravidlech. Samostatně prověřte zákaznické smlouvy, nákupní podmínky a použitelné odvětvové předpisy. Existující zpráva navíc automaticky neodpovídá na otázku, zda je služba vhodná pro informace vyžadující zvláštní ochranu. Úvodní stránka BSI přisuzuje zákazníkovi posouzení jeho požadavků a zbývajících rizik.
Jakou práci katalog kritérií C5 propojuje.
C5 posuzuje organizaci bezpečnosti cloudové služby, podmínky jejího provozu a rozdělení úkolů. Následujících šest pracovních oblastí poskytuje praktickou orientaci při přípravě; nenahrazují kritéria kapitoly 5 ani dohodnutý plán ověřování.
Ukotvit odpovědnost ve službě.
Přiřaďte rozhodnutí, provozní úkoly a přezkumy odpovědným osobám. Organizační popis by měl ukazovat, kdo smí při odchylce jednat a kdo sleduje nápravu. Tím se předchází předpokladu, že samotná koordinační bezpečnostní funkce přebírá všechny provozní úkoly.
Vymezit službu a závislosti.
Popište, které služby, regiony a podpůrní poskytovatelé patří do výroku. Technická závislost může být významná pro bezpečnost, i když je smluvně zajišťována externě. Průkazně zaznamenejte, jaká ujištění získáváte od ostatních a které úkoly zůstávají ve vlastním provozu.
Chránit přístupy a informace.
Posuzujte nakládání s informacemi zákazníků v průběhu skutečné služby. Do praktické inventarizace patří uživatelské a administrační cesty i odpovědnost za konfiguraci a oprávnění. Prověřte také předávání mezi poskytovatelem a zákazníkem; bezpečně provozovaný základ sám neřeší otázky konfigurace zákazníka.
Udržovat dohledatelnost provozu a změn.
Propojte stanovené postupy se záznamy o jejich používání. Změna služby se může týkat jiných důkazů a odpovědných osob než nezměněná provozní fáze. Při přípravě je proto užitečné časově zařadit relevantní změny a udržovat vhodné podklady dostupné, místo pouhého zobrazení dnešního stavu.
Být připraveni na narušení.
Vyjasněte odpovědnosti za incidenty, komunikaci a obnovení provozu. Praktické cvičení může ukázat, zda funguje předávání a eskalace. Označujte cvičení jako cvičení a uchovávejte výsledky; fiktivní události nesmějí vystupovat jako historické provozní důkazy. Podrobná organizace důkazů je ponechána stávajícímu blogu o C5.
Zajistit transparentnost pro zákazníky.
C5:2026, kapitola 4, popisuje rámcové podmínky potřebné pro hodnocení zákazníků. Sdělte rozsah ověřování a zbývající úkoly zákazníka tak, aby čtenáři mohli zařadit vlastní používání. Obecné bezpečnostní tvrzení pomáhá méně než srozumitelný popis konkrétní hranice odpovědnosti a možných omezení.
Cesta ke zprávě C5.
Vyjasnit potřebu dokladů.
Jako praktický první krok zjistěte, kteří zákazníci očekávají zprávu pro kterou službu a jaké vydání, typ zprávy a časové vymezení tomu odpovídají.
Popsat rozsah ověřování.
Vymezte služby, regiony, zapojené organizace a závislosti tak, aby zamýšlený auditor mohl posoudit zakázku a její rozhraní.
Připravit provoz kontrolních opatření.
Vyjasněte s odpovědnými týmy použitelná kritéria a odpovědnosti a dohodněte očekávané důkazy před začátkem zamýšleného období.
Uchovávat provozní záznamy.
Uchovávejte průkazné důkazy pro dohodnuté časové vymezení a zaznamenávejte změny i zjištěné odchylky se skutečným průběhem.
Nechat nezávisle ověřit.
Zadejte ověření vhodnému auditorovi a vysvětlete existující podklady, aniž byste pozdější zlepšení vydávali za dřívější stav kontrolních opatření.
Vyhodnotit zprávu a průběžně navazovat.
Z pohledu zákazníka posuzujte společně výrok, rozsah, období a omezení a dohodněte další pokrytí důkazy pro průběžné používání.
Co dokládá zpráva C5.
Zpráva C5 obsahuje výsledek nezávislého ověření popsané cloudové služby. Podle C5:2026, oddílu 3.4.4, typ 1 posuzuje návrh a zavedení k rozhodnému datu; typ 2 navíc zahrnuje provozní účinnost za určité období. Zpráva k rozhodnému datu proto odpovídá na jinou otázku než zpráva o průběžném provozu.
Typ 2 nevyžaduje předchozí zprávu typu 1. C5:2026, oddíl 3.4.11, předpokládá typ 1 pouze pro první ověření. Vhodné ověření závisí na zakázce, výchozím stavu a potřebě dokladů. Posuzujte úplnou zprávu a její omezení společně s popisem systému; titulní strana nebo prezentace poskytovatele toto hodnocení nenahradí.
Zpráva C5 nemá obecnou dobu platnosti podle vzoru certifikátu. Vztahuje se na uvedené rozhodné datum nebo období. FAQ BSI vysvětlují, že starší zpráva může ztrácet vypovídací hodnotu pro dnešní hodnocení rizik. Nové regiony, podstatné změny služby nebo chybějící časové pokrytí důkazy proto patří do aktuálního rozhodnutí zákazníka.
Zařazení dalších rámců.
ISO 27001 se týká systému řízení bezpečnosti informací a jeho možné certifikace. SOC 2 je samostatný systém zpráv s jinými kritérii a podmínkami zakázky. GDPR zakládá zákonné povinnosti při nakládání s osobními údaji; zpráva C5 nenahrazuje jejich posouzení ani úkoly správce.
V Secani.
Secani nabízí redakční pracovní pomůcku k BSI C5:2026. Profilové údaje zachycují mimo jiné poskytovatele cloudu, cloudového zákazníka, dodatečná kritéria, posouzení typu 2 a subdodavatele. Katalog podporuje strukturovanou práci; není úředním překladem ani ověřovacím výrokem. Odborné posouzení a nezávislé rozhodnutí o ověření zůstávají samostatnými úkoly.
Začněte vymezenou cloudovou službou.
Vyberte konkrétně pojmenovanou službu a zaznamenejte potřeby zákazníků. Popište region, odpovědnosti a podstatné závislosti. Poté se zamýšleným auditorem vyjasněte, jaké vydání a typ zprávy jsou pro tento výrok potřebné. Vznikne tak spolehlivý základ další přípravy.
Časté dotazy.
Ne. BSI zveřejňuje katalog kritérií; pověřený auditor vypracuje ověřovací zprávu a výrok. Certifikát BSI se přitom nevydává.
Typ 1 posuzuje návrh a zavedení k rozhodnému datu. Typ 2 navíc ověřuje provozní účinnost za uvedené období; předchozí zpráva typu 1 k tomu není nutná.
Paušální dobu platnosti nelze uvést. Zpráva se vztahuje k rozhodnému datu nebo období; zákazníci musí posoudit, zda odpovídá aktuálnímu používání, změnám a potřebnému pokrytí důkazy.
Ne. Zákazníci musí nadále hodnotit a řešit úkoly a rizika, která zůstávají v jejich odpovědnosti. Patří sem porovnání skutečného rozsahu zprávy s vlastním používáním.
Vymezte cloudovou službu.
Proberte, jak můžete pracovat s redakčním katalogem C5 v Secani.
Tato stránka obecně vysvětluje C5 a nenahrazuje původní katalog ani odborné posouzení. Rozhodující je dohodnuté vydání, konkrétní zakázka ověření a použitelné požadavky.