BSI C5.
Forstå kriteriekataloget for cloud-tjenester, vælg den passende rapporttype, og afklar udbyderens og kundens ansvar.
- BSI C5:2026 · C5:2020 i overgangsperioden
- Af Jonathan Bezdek
- Status: 22.10.2026
- Læsetid: 6 min.
Kort svar.
BSI C5 er et kriteriekatalog for informationssikkerhed i cloud-tjenester. En uafhængig revisor undersøger den beskrevne tjeneste og udarbejder en erklæring med revisionsrapport. C5:2026 skelner mellem udsagn om en skæringsdato og yderligere kontrol af driftseffektivitet over en periode. Kunder vurderer selv rapporten og deres resterende sikkerhedsopgaver; BSI udsteder ikke et certifikat.
BSI C5 og kriteriekataloget for cloud-sikkerhed.
BSI C5 skaber et fælles grundlag for at kontrollere og vurdere sikkerhedstilsagn for en cloud-tjeneste. Det fulde navn er Cloud Computing Compliance Criteria Catalogue. BSI offentliggør kataloget; udbyderen bestiller revisionen hos en revisor. BSI’s introduktionsside adskiller udtrykkeligt disse roller: Myndigheden udvælger ikke revisorerne og vurderer ikke de enkelte rapporter.
Den offentliggjorte version er C5:2026. C5:2020 forbliver relevant for bestemte revisioner i overgangsperioden. Derfor skal udgave, rapporttype og tidsmæssig afgrænsning afklares samlet i opgaven. En oplysning som »C5-revideret« lader det stå åbent, hvilken tjeneste der blev undersøgt under hvilke betingelser; den er ikke tilstrækkelig til en indkøbsbeslutning.
C5:2026, afsnit 3.5, fastsætter den nye udgave for type 1-skæringsdatoer fra 1. juni 2027 og type 2-revisionsperioder, som begynder fra denne dag; tidligere anvendelse er mulig. Type 2-perioder, der begynder tidligere og strækker sig ud over datoen, skal fortsat revideres samlet efter C5:2020. For perioder, der slutter fra 28. februar 2027, er yderligere oplysninger om planlagte kontrolændringer allerede foreskrevet. Afstem den konkrete overgangssituation med revisoren.
Hvem en C5-erklæring er relevant for.
Cloud-udbydere bruger C5 til at gøre sikkerhedsarbejdet for en afgrænset tjeneste sporbart for kunderne. Kunder og indkøbsteams får oplysninger til egen risikovurdering. En rapport kan vedrøre infrastruktur, platforme eller software; dens faktiske omfang er afgørende. Ifølge BSI’s FAQ gælder udsagnet for de reviderede tjenester og regioner og ikke generelt for alle koncernens tilbud.
Om en C5-erklæring kræves, afhænger af anvendelsen og dens krav. Undersøg kundekontrakter, indkøbsbetingelser og gældende sektorregler særskilt. En eksisterende rapport besvarer heller ikke automatisk, om en tjeneste er egnet til informationer med særligt beskyttelsesbehov. BSI’s introduktionsside placerer vurderingen af kundens krav og resterende risici hos kunden.
Hvilket arbejde C5-kriteriekataloget samler.
C5 ser på cloud-tjenestens sikkerhedsorganisation, driftsbetingelser og opgavefordeling. Følgende seks arbejdsområder giver praktisk orientering til forberedelsen; de erstatter hverken kriterierne i kapitel 5 eller en aftalt revisionsplan.
Forankr ansvar i tjenesten.
Tilknyt beslutninger, driftsopgaver og kontroller til de ansvarlige personer. En organisationsbeskrivelse bør vise, hvem der må handle ved en afvigelse, og hvem der følger afhjælpningen. Det modvirker antagelsen om, at den koordinerende sikkerhedsfunktion alene varetager alle driftsopgaver.
Afgræns tjeneste og afhængigheder.
Beskriv, hvilke ydelser, regioner og understøttende udbydere udsagnet omfatter. En teknisk afhængighed kan være væsentlig for sikkerheden, selv om den er kontraktligt outsourcet. Dokumenter sporbart, hvilke tilsagn De får fra andre, og hvilke opgaver der bliver i egen drift.
Beskyt adgange og informationer.
Betragt håndteringen af kundeinformationer langs den faktiske tjeneste. En praktisk kortlægning omfatter bruger- og administrationsadgange samt ansvar for konfiguration og rettigheder. Undersøg også overdragelser mellem udbyder og kunde; et sikkert drevet fundament besvarer ikke af sig selv kundens konfigurationsspørgsmål.
Hold drift og ændringer sporbare.
Forbind fastlagte procedurer med registreringer fra deres anvendelse. En ændring i tjenesten kan vedrøre andre beviser og ansvarlige end en uændret driftsfase. I forberedelsen er det derfor nyttigt at placere relevante ændringer i tid og holde passende dokumenter tilgængelige frem for kun at vise den aktuelle tilstand.
Vær forberedt på forstyrrelser.
Afklar ansvaret for hændelser, kommunikation og genstart. En praktisk øvelse kan vise, om overdragelser og eskalationer fungerer. Marker øvelser som øvelser, og opbevar resultaterne; fiktive hændelser må ikke fremstå som historisk driftsdokumentation. Den mere indgående organisering af dokumentation behandles i det eksisterende C5-blogindlæg.
Skab gennemsigtighed for kunderne.
C5:2026, kapitel 4, beskriver rammebetingelser, som kunder har brug for i deres vurdering. Formidl revisionsomfanget og de resterende kundeopgaver, så læserne kan vurdere deres egen anvendelse. En generel sikkerhedspåstand hjælper mindre end en forståelig beskrivelse af den konkrete ansvarsgrænse og mulige begrænsninger.
Vejen til C5-erklæringen.
Afklar dokumentationsbehovet.
Fastlæg som praktisk begyndelse, hvilke kunder der forventer en rapport for hvilken tjeneste, og hvilken udgave, rapporttype og tidsafgrænsning der passer.
Beskriv revisionsomfanget.
Afgræns tjenester, regioner, deltagende organisationer og afhængigheder, så den tiltænkte revisor kan vurdere opgaven og dens grænseflader.
Forbered kontroldriften.
Afklar gældende kriterier og ansvar med de relevante teams, og aftal den forventede dokumentation før den planlagte undersøgelsesperiode begynder.
Bevar driftsregistreringer.
Opbevar sporbar dokumentation for den aftalte tidsafgrænsning, og registrer ændringer og konstaterede afvigelser med deres faktiske forløb.
Få foretaget uafhængig revision.
Engager en egnet revisor, og forklar de eksisterende dokumenter uden at fremstille senere forbedringer som en tidligere kontroltilstand.
Vurder og opdater rapporten.
Vurder udsagn, omfang, periode og begrænsninger samlet fra kundens perspektiv, og aftal den videre dokumentationsdækning for den løbende anvendelse.
Hvad en C5-erklæring dokumenterer.
En C5-erklæring indeholder resultatet af en uafhængig revision af den beskrevne cloud-tjeneste. Efter C5:2026, afsnit 3.4.4, ser type 1 på udformning og etablering på en skæringsdato; type 2 inddrager desuden driftseffektiviteten over en periode. En rapport for en skæringsdato besvarer derfor et andet spørgsmål end en rapport om løbende drift.
Type 2 kræver ikke en forudgående type 1-rapport. C5:2026, afsnit 3.4.11, foreskriver kun type 1 ved førstegangsrevision. Hvilken revision der er passende, afhænger af opgave, udgangspunkt og dokumentationsbehov. Vurder den fulde rapport og dens begrænsninger sammen med systembeskrivelsen; en forside eller udbyderpræsentation kan ikke erstatte denne vurdering.
En C5-erklæring har ikke en generel gyldighedsperiode som et certifikat. Den vedrører den angivne skæringsdato eller periode. BSI’s FAQ forklarer, at en ældre rapport kan miste udsagnskraft i den aktuelle risikovurdering. Nye regioner, væsentlige tjenesteændringer eller manglende tidsmæssig dokumentationsdækning skal derfor indgå i kundens aktuelle beslutning.
Forstå andre rammeværker.
ISO 27001 vedrører et ledelsessystem for informationssikkerhed og dets mulige certificeringsdokumentation. SOC 2 er et selvstændigt rapportsystem med andre kriterier og opgavebetingelser. GDPR skaber lovpligter ved personoplysninger; en C5-erklæring erstatter ikke undersøgelsen af dem eller den dataansvarliges opgaver.
I Secani.
Secani indeholder et redaktionelt arbejdshjælpemiddel til BSI C5:2026. Profiloplysningerne registrerer blandt andet cloud-udbyder, cloud-kunde, supplerende kriterier, type 2-vurdering og underleverandører. Kataloget understøtter struktureret arbejde; det er hverken en officiel oversættelse eller en revisionserklæring. Den faglige vurdering og den uafhængige revisionsafgørelse forbliver selvstændige opgaver.
Begynd med en afgrænset cloud-tjeneste.
Vælg en konkret navngiven tjeneste, og dokumenter kundebehovet. Beskriv region, ansvar og væsentlige afhængigheder. Afklar derefter med den tiltænkte revisor, hvilken udgave og rapporttype der kræves til dette udsagn. Dermed skabes et holdbart grundlag for den videre forberedelse.
Ofte stillede spørgsmål.
Nej. BSI offentliggør kriteriekataloget; en engageret revisor udarbejder revisionsrapporten og erklæringen. Der udstedes ikke et BSI-certifikat.
Type 1 ser på udformning og etablering på en skæringsdato. Type 2 kontrollerer desuden driftseffektiviteten over den angivne periode; en forudgående type 1-rapport er ikke nødvendig.
En generel gyldighedsperiode kan ikke angives. Rapporten vedrører sin skæringsdato eller periode; kunder skal vurdere, om den passer til den aktuelle anvendelse, ændringer og den nødvendige dokumentationsdækning.
Nej. Kunder skal fortsat vurdere og håndtere de opgaver og risici, der forbliver i deres eget ansvarsområde. Det omfatter at sammenholde det faktiske rapportomfang med egen anvendelse.
Afgræns cloud-tjenesten.
Tal om, hvordan De kan arbejde med det redaktionelle C5-katalog i Secani.
Denne side forklarer C5 generelt og erstatter hverken originalkataloget eller en faglig revision. Den aftalte udgave, den konkrete revisionsopgave og de gældende krav er afgørende.