BSI C5.
Den Kriterienkatalog für Cloud-Dienste einordnen, den passenden Berichtstyp wählen und die Verantwortung von Anbieter und Kunde klären.
- BSI C5:2026 · C5:2020 im Übergang
- Von Jonathan Bezdek
- Stand: 22.10.2026
- Fachlich freigegeben von Jonathan Bezdek am 22.10.2026
- Lesezeit: 7 Min.
Kurzantwort.
BSI C5 ist ein Kriterienkatalog für die Informationssicherheit von Cloud-Diensten. Eine unabhängige Wirtschaftsprüfung untersucht den beschriebenen Dienst und erstellt ein Testat mit Prüfbericht. C5:2026 unterscheidet stichtagsbezogene Aussagen von der zusätzlichen Prüfung betrieblicher Wirksamkeit über einen Zeitraum. Kunden bewerten den Bericht und ihre verbleibenden Sicherheitsaufgaben selbst; das BSI stellt kein Zertifikat aus.
BSI C5 und der Kriterienkatalog für Cloud-Sicherheit.
BSI C5 schafft eine gemeinsame Grundlage, um Sicherheitszusagen eines Cloud-Dienstes prüfen und beurteilen zu können. Die Langform lautet Cloud Computing Compliance Criteria Catalogue. Das BSI veröffentlicht den Katalog; die Prüfung beauftragt der Anbieter bei einer Wirtschaftsprüferin oder einem Wirtschaftsprüfer. Die BSI-Einstiegsseite trennt diese Rollen ausdrücklich: Die Behörde wählt die Prüfer nicht aus und bewertet die einzelnen Berichte nicht.
Der veröffentlichte Stand ist C5:2026. C5:2020 bleibt während des Übergangs für bestimmte Prüfungen relevant. Deshalb gehören Ausgabe, Berichtstyp und zeitliche Grenze gemeinsam in die Auftragsklärung. Eine Angabe wie „C5 geprüft“ lässt offen, welcher Dienst unter welchen Bedingungen untersucht wurde; sie reicht für eine Beschaffungsentscheidung nicht aus.
C5:2026 Abschnitt 3.5 sieht die neue Ausgabe für Typ-1-Stichtage ab 1. Juni 2027 und Typ-2-Prüfzeiträume vor, die ab diesem Tag beginnen; frühere Anwendung ist möglich. Vorher beginnende, über diesen Termin hinausgehende Typ-2-Zeiträume sollen noch einheitlich nach C5:2020 geprüft werden. Für ab 28. Februar 2027 endende Zeiträume sind bereits zusätzliche Angaben zu geplanten Kontrolländerungen vorgesehen. Stimmen Sie die konkrete Übergangssituation mit dem Prüfer ab.
Für wen ein C5-Testat relevant ist.
Cloud-Anbieter nutzen C5, um ihren Kunden die Sicherheitsarbeit an einem abgegrenzten Dienst nachvollziehbar zu machen. Kunden und Beschaffungsteams erhalten Informationen für die eigene Risikobewertung. Ein Bericht kann Infrastruktur, Plattformen oder Software betreffen; ausschlaggebend ist sein tatsächlicher Umfang. Nach dem BSI-FAQ gilt die Aussage für die geprüften Dienste und Regionen, nicht pauschal für sämtliche Angebote eines Konzerns.
Ob ein C5-Testat verlangt wird, hängt vom jeweiligen Einsatz und seinen Vorgaben ab. Prüfen Sie Kundenverträge, Beschaffungsbedingungen und anwendbare sektorale Regeln gesondert. Ein vorhandener Bericht beantwortet außerdem nicht automatisch, ob ein Dienst für besonders schutzbedürftige Informationen geeignet ist. Die BSI-Einstiegsseite weist dem Kunden die Bewertung seiner Anforderungen und verbleibenden Risiken zu.
Welche Arbeit der C5-Kriterienkatalog zusammenführt.
C5 betrachtet die Sicherheitsorganisation des Cloud-Dienstes, seine Betriebsbedingungen und die Aufteilung der Aufgaben. Die folgenden sechs Arbeitsbereiche sind eine praktische Orientierung zur Vorbereitung; sie ersetzen weder die Kriterien aus Kapitel 5 noch eine abgestimmte Prüfplanung.
Verantwortung im Dienst verankern.
Ordnen Sie Entscheidungen, operative Aufgaben und Überprüfungen den zuständigen Personen zu. Eine organisatorische Beschreibung sollte erkennen lassen, wer bei einer Abweichung handeln darf und wer die Behebung verfolgt. Das vermeidet die Annahme, dass allein die koordinierende Sicherheitsfunktion sämtliche betrieblichen Aufgaben übernimmt.
Dienst und Abhängigkeiten abgrenzen.
Beschreiben Sie, welche Leistungen, Regionen und unterstützenden Anbieter zur Aussage gehören. Eine technische Abhängigkeit kann für die Sicherheit erheblich sein, auch wenn sie vertraglich ausgelagert ist. Halten Sie nachvollziehbar fest, welche Zusicherungen Sie von anderen erhalten und welche Aufgaben im eigenen Betrieb bleiben.
Zugriffe und Informationen schützen.
Betrachten Sie den Umgang mit Kundeninformationen entlang des tatsächlichen Dienstes. Zu einer praktischen Bestandsaufnahme gehören Benutzer- und Administrationswege sowie die Verantwortung für Konfiguration und Berechtigungen. Prüfen Sie dabei auch die Übergaben zwischen Anbieter und Kunde; ein sicher betriebener Unterbau beantwortet die Konfigurationsfragen des Kunden nicht von selbst.
Betrieb und Änderungen nachvollziehbar halten.
Verbinden Sie festgelegte Verfahren mit Aufzeichnungen aus ihrer Anwendung. Eine Änderung am Dienst kann andere Nachweise und Verantwortliche betreffen als eine unveränderte Betriebsphase. Für die Vorbereitung ist deshalb hilfreich, relevante Änderungen zeitlich einzuordnen und passende Unterlagen verfügbar zu halten, statt nur den heutigen Zustand zu zeigen.
Auf Störungen vorbereitet sein.
Klären Sie Zuständigkeiten für Vorfälle, Kommunikation und Wiederanlauf. Eine praktische Übung kann zeigen, ob Übergaben und Eskalationen funktionieren. Kennzeichnen Sie Übungen als solche und bewahren Sie die Ergebnisse auf; fiktive Ereignisse dürfen nicht als historische Betriebsnachweise erscheinen. Die vertiefte Nachweisorganisation bleibt dem vorhandenen C5-Blog vorbehalten.
Transparenz für Kunden herstellen.
C5:2026 Kapitel 4 beschreibt Rahmenbedingungen, die Kunden für ihre Bewertung brauchen. Vermitteln Sie den Prüfungsumfang und die verbleibenden Kundenaufgaben so, dass Leser ihre eigene Nutzung einordnen können. Eine allgemeine Sicherheitsbehauptung hilft weniger als eine verständliche Beschreibung der konkreten Verantwortungsgrenze und möglicher Einschränkungen.
Der Weg zum C5-Testat.
Nachweisbedarf klären.
Ermitteln Sie als praktischen Einstieg, welche Kunden für welchen Dienst einen Bericht erwarten und welche Ausgabe, welcher Berichtstyp und welche Zeitgrenze dazu passen.
Prüfungsumfang beschreiben.
Grenzen Sie Dienste, Regionen, beteiligte Organisationen und Abhängigkeiten so ab, dass der vorgesehene Prüfer den Auftrag und seine Schnittstellen beurteilen kann.
Kontrollbetrieb vorbereiten.
Klären Sie die anwendbaren Kriterien und Verantwortlichkeiten mit den zuständigen Teams und stimmen Sie die erwarteten Nachweise vor Beginn des vorgesehenen Betrachtungszeitraums ab.
Betriebliche Aufzeichnungen erhalten.
Bewahren Sie nachvollziehbare Nachweise für die vereinbarte Zeitgrenze auf und halten Sie Änderungen sowie erkannte Abweichungen mit ihrem tatsächlichen Verlauf fest.
Unabhängig prüfen lassen.
Beauftragen Sie eine geeignete Wirtschaftsprüfung und erläutern Sie die vorhandenen Unterlagen, ohne spätere Verbesserungen als früheren Kontrollzustand darzustellen.
Bericht auswerten und fortschreiben.
Prüfen Sie aus Kundensicht Aussage, Umfang, Zeitraum und Einschränkungen gemeinsam und vereinbaren Sie die weitere Nachweisabdeckung für die laufende Nutzung.
Was ein C5-Testat belegt.
Ein C5-Testat enthält das Ergebnis einer unabhängigen Prüfung des beschriebenen Cloud-Dienstes. Nach C5:2026 Abschnitt 3.4.4 betrachtet Typ 1 die Ausgestaltung und Einrichtung zu einem Stichtag; Typ 2 bezieht zusätzlich die betriebliche Wirksamkeit über einen Zeitraum ein. Ein Bericht zum Stichtag beantwortet deshalb eine andere Frage als ein Bericht über den laufenden Betrieb.
Typ 2 setzt keinen vorherigen Typ-1-Bericht voraus. C5:2026 Abschnitt 3.4.11 sieht Typ 1 nur für die Erstprüfung vor. Welche Prüfung angemessen ist, richtet sich nach Auftrag, Ausgangslage und Nachweisbedarf. Prüfen Sie den vollständigen Bericht und seine Einschränkungen gemeinsam mit der Systembeschreibung; eine Titelseite oder eine Anbieterpräsentation kann diese Bewertung nicht ersetzen.
Ein C5-Testat hat keine allgemeine Gültigkeitsdauer nach dem Muster eines Zertifikats. Es bezieht sich auf den angegebenen Stichtag oder Zeitraum. Das BSI-FAQ erläutert, dass ein älterer Bericht für die heutige Risikobewertung an Aussagekraft verlieren kann. Neue Regionen, wesentliche Dienständerungen oder eine fehlende zeitliche Nachweisabdeckung gehören daher in die aktuelle Kundenentscheidung.
Andere Frameworks einordnen.
ISO 27001 betrifft ein Informationssicherheitsmanagementsystem und dessen möglichen Zertifizierungsnachweis. SOC 2 ist ein eigenes Berichtssystem mit anderen Kriterien und Auftragsbedingungen. Die DSGVO begründet gesetzliche Pflichten bei personenbezogenen Daten; ein C5-Testat ersetzt deren Prüfung und die Aufgaben des Verantwortlichen nicht.
In Secani.
Secani führt eine redaktionelle Arbeitshilfe zu BSI C5:2026. Die Profilangaben erfassen unter anderem Cloud-Anbieter, Cloud-Kunde, Zusatzkriterien, Typ-2-Betrachtung und Subdienstleister. Der Katalog unterstützt die strukturierte Bearbeitung; er ist keine amtliche Übersetzung und kein Testat. Die fachliche Beurteilung und die unabhängige Prüfungsentscheidung bleiben eigene Aufgaben.
Mit einem abgegrenzten Cloud-Dienst beginnen.
Wählen Sie einen konkret benannten Dienst und halten Sie den Kundenbedarf fest. Beschreiben Sie Region, Zuständigkeiten und wesentliche Abhängigkeiten. Klären Sie anschließend mit dem vorgesehenen Prüfer, welche Ausgabe und welcher Berichtstyp für diese Aussage gebraucht werden. So entsteht eine belastbare Grundlage für die weitere Vorbereitung.
Häufige Fragen.
Nein. Das BSI veröffentlicht den Kriterienkatalog; eine beauftragte Wirtschaftsprüfung erstellt den Prüfbericht und das Testat. Ein BSI-Zertifikat wird dabei nicht ausgestellt.
Typ 1 betrachtet die Ausgestaltung und Einrichtung zu einem Stichtag. Typ 2 prüft zusätzlich die betriebliche Wirksamkeit über den angegebenen Zeitraum; ein vorheriger Typ-1-Bericht ist dafür nicht erforderlich.
Eine pauschale Laufzeit lässt sich nicht angeben. Der Bericht bezieht sich auf seinen Stichtag oder Zeitraum; Kunden müssen beurteilen, ob er zur aktuellen Nutzung, zu Veränderungen und zur benötigten Nachweisabdeckung passt.
Nein. Die im eigenen Verantwortungsbereich verbleibenden Aufgaben und Risiken müssen Kunden weiterhin beurteilen und bearbeiten. Dazu gehört, den tatsächlichen Berichtsumfang mit der eigenen Nutzung abzugleichen.
Den Cloud-Dienst abgrenzen.
Besprechen Sie, wie Sie den redaktionellen C5-Katalog in Secani bearbeiten können.
Diese Seite ordnet C5 allgemein ein und ersetzt weder den Originalkatalog noch eine fachliche Prüfung. Maßgeblich sind die vereinbarte Ausgabe, der konkrete Prüfungsauftrag und die anwendbaren Vorgaben.