BSI C5.
Entender el catálogo de criterios para servicios en la nube, elegir el tipo de informe adecuado y aclarar la responsabilidad del proveedor y del cliente.
- BSI C5:2026 · C5:2020 en transición
- Por Jonathan Bezdek
- Actualizado: 22/10/2026
- Tiempo de lectura: 9 min.
Respuesta breve.
BSI C5 recoge criterios de seguridad de la información para servicios en la nube. Un auditor de cuentas independiente examina el servicio descrito y emite dictamen e informe. C5:2026 distingue conclusiones a una fecha y eficacia operativa durante un período. Los clientes valoran el informe y sus tareas pendientes de seguridad; el BSI no emite certificados.
BSI C5 y el catálogo de criterios de seguridad en la nube.
BSI C5 crea una base común para examinar y evaluar los compromisos de seguridad de un servicio en la nube. Su nombre completo es Cloud Computing Compliance Criteria Catalogue. El BSI publica el catálogo; el proveedor encarga la auditoría a un auditor de cuentas. La página introductoria del BSI distingue expresamente estas funciones: la autoridad no selecciona a los auditores ni evalúa los informes individuales.
La versión publicada es C5:2026. C5:2020 sigue siendo relevante durante la transición para determinadas auditorías. Por ello, la edición, el tipo de informe y el límite temporal deben aclararse conjuntamente al definir el encargo. Una indicación como «auditado según C5» no especifica qué servicio se examinó ni bajo qué condiciones; no basta para decidir una compra.
El apartado 3.5 de C5:2026 prevé la nueva edición para fechas de referencia de tipo 1 a partir del 1 de junio de 2027 y períodos de auditoría de tipo 2 que comiencen a partir de ese día; puede aplicarse antes. Los períodos de tipo 2 que empiecen antes y se extiendan más allá de esa fecha deben seguir auditándose íntegramente según C5:2020. Para períodos que terminen a partir del 28 de febrero de 2027, ya se prevé información adicional sobre cambios de controles planificados. Acuerde con el auditor la situación transitoria concreta.
Para quién es relevante un dictamen C5.
Los proveedores de nube utilizan C5 para hacer trazable ante sus clientes el trabajo de seguridad de un servicio delimitado. Los clientes y los equipos de compras reciben información para su propia evaluación de riesgos. Un informe puede referirse a infraestructura, plataformas o software; su alcance real es determinante. Según las preguntas frecuentes del BSI, las conclusiones se aplican a los servicios y regiones examinados, no de forma general a todas las ofertas de un grupo.
La exigencia de un dictamen C5 depende del uso y de sus requisitos. Examine por separado los contratos con clientes, las condiciones de contratación y las reglas sectoriales aplicables. Además, un informe existente no resuelve automáticamente si un servicio es adecuado para información con necesidades especiales de protección. La página introductoria del BSI atribuye al cliente la evaluación de sus requisitos y riesgos residuales.
Qué trabajo reúne el catálogo de criterios C5.
C5 examina la organización de seguridad del servicio en la nube, sus condiciones operativas y el reparto de tareas. Los seis ámbitos de trabajo siguientes son una orientación práctica para la preparación; no sustituyen los criterios del capítulo 5 ni una planificación de auditoría acordada.
Afianzar la responsabilidad en el servicio.
Asigne decisiones, tareas operativas y revisiones a las personas competentes. Una descripción organizativa debe permitir identificar quién puede actuar ante una desviación y quién sigue su subsanación. Esto evita suponer que la función coordinadora de seguridad asume por sí sola todas las tareas operativas.
Delimitar el servicio y las dependencias.
Describa qué prestaciones, regiones y proveedores de apoyo abarcan las conclusiones. Una dependencia técnica puede ser relevante para la seguridad aunque esté externalizada por contrato. Documente de forma trazable qué garantías recibe de otros y qué tareas permanecen en su propia operación.
Proteger los accesos y la información.
Examine la gestión de información de clientes a lo largo del servicio real. Un inventario práctico incluye las vías de usuario y administración y la responsabilidad sobre configuración y permisos. Compruebe también los traspasos entre proveedor y cliente; una infraestructura operada de forma segura no resuelve por sí sola las cuestiones de configuración del cliente.
Mantener trazables la operación y los cambios.
Conecte los procedimientos definidos con registros de su aplicación. Un cambio en el servicio puede afectar a evidencias y responsables distintos de los de una fase operativa sin cambios. Por ello, para la preparación ayuda situar temporalmente los cambios relevantes y mantener disponible la documentación adecuada, en lugar de mostrar solo el estado actual.
Prepararse para perturbaciones.
Aclare las responsabilidades sobre incidentes, comunicación y reinicio. Un ejercicio práctico puede mostrar si funcionan los traspasos y escalados. Identifique los ejercicios como tales y conserve sus resultados; los sucesos ficticios no deben presentarse como evidencias operativas históricas. El artículo existente sobre C5 desarrolla la organización detallada de las evidencias.
Ofrecer transparencia a los clientes.
El capítulo 4 de C5:2026 describe las condiciones de contexto que los clientes necesitan para su evaluación. Comunique el alcance de auditoría y las tareas que siguen correspondiendo al cliente de modo que los lectores puedan situar su propio uso. Una afirmación general de seguridad ayuda menos que una descripción comprensible de los límites concretos de responsabilidad y las posibles restricciones.
El camino hacia el dictamen C5.
Aclarar las necesidades de acreditación.
Como primer paso práctico, determine qué clientes esperan un informe para qué servicio y qué edición, tipo de informe y límite temporal se ajustan a esa necesidad.
Describir el alcance de la auditoría.
Delimite servicios, regiones, organizaciones participantes y dependencias de modo que el auditor previsto pueda evaluar el encargo y sus interfaces.
Preparar la operación de los controles.
Aclare los criterios y las responsabilidades aplicables con los equipos competentes y acuerde las evidencias esperadas antes de que empiece el período de observación previsto.
Conservar los registros operativos.
Conserve evidencias trazables para el límite temporal acordado y documente los cambios y las desviaciones detectadas con su evolución real.
Solicitar una auditoría independiente.
Encargue la evaluación a un auditor de cuentas adecuado y explique la documentación existente sin presentar mejoras posteriores como si hubieran sido el estado anterior de los controles.
Evaluar y mantener el informe.
Examine conjuntamente, desde la perspectiva del cliente, las conclusiones, el alcance, el período y las limitaciones, y acuerde la cobertura posterior de evidencias para el uso continuo.
Qué acredita un dictamen C5.
Un dictamen C5 contiene el resultado de una auditoría independiente del servicio en la nube descrito. Según C5:2026, apartado 3.4.4, el tipo 1 considera el diseño y la implantación a una fecha de referencia; el tipo 2 incorpora además la eficacia operativa durante un período. Por ello, un informe a una fecha responde a una pregunta distinta de un informe sobre la operación continua.
El tipo 2 no requiere un informe previo de tipo 1. C5:2026, apartado 3.4.11, prevé el tipo 1 únicamente para la primera auditoría. La auditoría adecuada depende del encargo, la situación inicial y las necesidades de acreditación. Examine el informe completo y sus limitaciones junto con la descripción del sistema; una portada o una presentación del proveedor no sustituyen esta evaluación.
Un dictamen C5 no tiene una vigencia general como un certificado. Se refiere a la fecha o al período indicados. Las preguntas frecuentes del BSI explican que un informe antiguo puede perder valor para la evaluación actual de riesgos. Por ello, nuevas regiones, cambios sustanciales del servicio o lagunas temporales de evidencias deben incluirse en la decisión actual del cliente.
Entender otros marcos.
ISO 27001 se refiere a un sistema de gestión de seguridad de la información y su posible certificación. SOC 2 es un sistema propio de informes con criterios y condiciones de encargo diferentes. El RGPD establece obligaciones legales sobre datos personales; un dictamen C5 no sustituye su examen ni las tareas del responsable del tratamiento.
En Secani.
Secani ofrece una herramienta editorial de trabajo sobre BSI C5:2026. Los datos del perfil recogen, entre otros aspectos, proveedor de nube, cliente de nube, criterios adicionales, análisis de tipo 2 y subproveedores. El catálogo apoya el trabajo estructurado; no es una traducción oficial ni un dictamen de auditoría. La evaluación especializada y la decisión independiente de auditoría siguen siendo tareas propias.
Empezar con un servicio en la nube delimitado.
Elija un servicio identificado de forma concreta y documente la necesidad del cliente. Describa la región, las responsabilidades y las dependencias significativas. Aclare después con el auditor previsto qué edición y qué tipo de informe se necesitan para esas conclusiones. Así se crea una base sólida para la preparación posterior.
Preguntas frecuentes.
No. El BSI publica el catálogo de criterios; un auditor de cuentas contratado elabora el informe y el dictamen de auditoría. No se emite un certificado del BSI.
El tipo 1 examina el diseño y la implantación a una fecha de referencia. El tipo 2 evalúa además la eficacia operativa durante el período indicado; no requiere un informe previo de tipo 1.
No puede indicarse una vigencia general. El informe se refiere a su fecha o período; los clientes deben evaluar si se ajusta al uso actual, los cambios y la cobertura de evidencias necesaria.
No. Los clientes deben seguir evaluando y gestionando las tareas y los riesgos que permanecen en su responsabilidad. Esto incluye contrastar el alcance real del informe con su propio uso.
Delimitar el servicio en la nube.
Hable sobre cómo trabajar con el catálogo editorial C5 en Secani.
Esta página presenta C5 en términos generales y no sustituye ni el catálogo original ni una evaluación especializada. Son determinantes la edición acordada, el encargo concreto de auditoría y las disposiciones aplicables.