BSI C5.
Tutustukaa pilvipalvelujen kriteeriluetteloon, valitkaa sopiva raporttityyppi ja selvittäkää tarjoajan ja asiakkaan vastuut.
- BSI C5:2026 · C5:2020 siirtymävaiheessa
- Kirjoittaja: Jonathan Bezdek
- Tilanne: 22.10.2026
- Lukuaika: 5 min.
Lyhyt vastaus.
BSI C5 on pilvipalvelujen tietoturvan kriteeriluettelo. Riippumaton tilintarkastaja tarkastaa kuvatun palvelun ja laatii varmennuslausunnon tarkastusraportteineen. C5:2026 erottaa tietyn ajankohdan arvioinnin toiminnallisen vaikuttavuuden lisätarkastelusta ajanjakson aikana. Asiakkaat arvioivat raportin ja jäljelle jäävät turvallisuustehtävänsä itse. BSI ei myönnä sertifikaattia.
BSI C5 ja pilviturvallisuuden kriteeriluettelo.
BSI C5 luo yhteisen perustan pilvipalvelun turvallisuussitoumusten tarkastamiseen ja arviointiin. Koko nimi on Cloud Computing Compliance Criteria Catalogue. BSI julkaisee luettelon. Tarjoaja tilaa tarkastuksen tilintarkastajalta. BSI:n johdantosivu erottaa roolit nimenomaisesti: viranomainen ei valitse tarkastajia eikä arvioi yksittäisiä raportteja.
Julkaistu versio on C5:2026. C5:2020 säilyy siirtymävaiheessa merkityksellisenä tietyille tarkastuksille. Siksi versio, raporttityyppi ja ajallinen rajaus on selvitettävä yhdessä toimeksiannossa. Ilmaisu ”C5-tarkastettu” jättää avoimeksi, mitä palvelua ja millä ehdoilla on tarkastettu. Se ei riitä hankintapäätökseen.
C5:2026:n kohta 3.5 määrää uuden version tyypin 1 tarkastusajankohdille 1.6.2027 alkaen ja tyypin 2 tarkastusjaksoille, jotka alkavat kyseisenä päivänä tai sen jälkeen. Aikaisempi soveltaminen on mahdollista. Ennen sitä alkavat ja päivämäärän yli jatkuvat tyypin 2 jaksot on tarkoitus tarkastaa yhtenäisesti vielä C5:2020:n mukaan. Jo 28.2.2027 tai sen jälkeen päättyville jaksoille on määrätty lisätietoja suunnitelluista hallintakeinomuutoksista. Sopikaa konkreettisesta siirtymätilanteesta tarkastajan kanssa.
Kenelle C5-varmennus on merkityksellinen.
Pilvipalveluntarjoajat käyttävät C5:tä tehdäkseen rajatun palvelun turvallisuustyön asiakkailleen jäljitettäväksi. Asiakkaat ja hankintatiimit saavat tietoja omaan riskien arviointiinsa. Raportti voi koskea infrastruktuuria, alustoja tai ohjelmistoja. Ratkaiseva on sen todellinen laajuus. BSI:n usein kysyttyjen kysymysten mukaan lausunto koskee tarkastettuja palveluja ja alueita, ei yleisesti kaikkia konsernin palveluja.
C5-varmennuksen vaatiminen riippuu käytöstä ja sitä koskevista vaatimuksista. Arvioikaa erikseen asiakassopimukset, hankintaehdot ja sovellettavat alakohtaiset säännöt. Olemassa oleva raportti ei myöskään automaattisesti vastaa siihen, sopiiko palvelu erityistä suojaa vaativille tiedoille. BSI:n johdantosivu osoittaa omien vaatimusten ja jäljelle jäävien riskien arvioinnin asiakkaan tehtäväksi.
Mitä työtä C5-kriteeriluettelo yhdistää.
C5 tarkastelee pilvipalvelun turvallisuusorganisaatiota, toimintaolosuhteita ja tehtävien jakautumista. Seuraavat kuusi työaluetta tarjoavat käytännön suunnan valmistelulle. Ne eivät korvaa luvun 5 kriteerejä eivätkä yhdessä sovittua tarkastussuunnittelua.
Vakiinnuttakaa palvelun vastuut.
Kohdistakaa päätökset, käytännön tehtävät ja arvioinnit vastuuhenkilöille. Organisaatiokuvauksen tulee osoittaa, kuka saa toimia poikkeaman ilmetessä ja kuka seuraa korjaamista. Näin vältetään oletus, että koordinoiva turvallisuustoiminto yksin hoitaisi kaikki käytännön tehtävät.
Rajatkaa palvelu ja riippuvuudet.
Kuvatkaa lausuntoon kuuluvat palvelut, alueet ja tukevat tarjoajat. Tekninen riippuvuus voi olla turvallisuuden kannalta olennainen myös sopimuksella ulkoistettuna. Kirjatkaa jäljitettävästi, mitä vakuutuksia saatte muilta ja mitkä tehtävät jäävät omaan toimintaan.
Suojatkaa pääsy ja tiedot.
Tarkastelkaa asiakastietojen käsittelyä todellisen palvelun koko laajuudessa. Käytännön kartoitukseen kuuluvat käyttäjien ja ylläpitäjien pääsyreitit sekä määritysten ja oikeuksien vastuut. Arvioikaa myös tarjoajan ja asiakkaan väliset siirtymät. Turvallisesti ylläpidetty perusta ei itsessään ratkaise asiakkaan määrityskysymyksiä.
Pitäkää toiminta ja muutokset jäljitettävinä.
Yhdistäkää määritellyt menettelyt niiden soveltamisesta syntyviin tallenteisiin. Palvelun muutos voi koskea eri todisteita ja vastuuhenkilöitä kuin muuttumaton toimintajakso. Valmistelussa auttaa siksi olennaisten muutosten ajoittaminen ja sopivien asiakirjojen saatavuus pelkän nykytilan näyttämisen sijaan.
Varautukaa häiriöihin.
Selvittäkää poikkeamien, viestinnän ja uudelleenkäynnistyksen vastuut. Käytännön harjoitus voi osoittaa, toimivatko siirtymät ja eskaloinnit. Merkitkää harjoitukset harjoituksiksi ja säilyttäkää tulokset. Kuvitteellisia tapahtumia ei saa esittää todellisen aiemman toiminnan näyttönä. Näytön järjestämistä käsitellään syvemmin olemassa olevassa C5-blogissa.
Luokaa asiakkaille läpinäkyvyys.
C5:2026:n luku 4 kuvaa olosuhteet, joita asiakkaat tarvitsevat arviointiinsa. Välittäkää tarkastuksen laajuus ja asiakkaalle jäävät tehtävät niin, että lukija osaa suhteuttaa oman käyttönsä niihin. Konkreettisen vastuurajan ja mahdollisten rajoitusten ymmärrettävä kuvaus auttaa enemmän kuin yleinen turvallisuusväite.
Polku C5-varmennukseen.
Selvittäkää näyttötarve.
Selvittäkää käytännön aluksi, mitkä asiakkaat odottavat raporttia mistäkin palvelusta ja mikä versio, raporttityyppi ja ajallinen rajaus sopivat tarpeeseen.
Kuvatkaa tarkastuksen laajuus.
Rajatkaa palvelut, alueet, osallistuvat organisaatiot ja riippuvuudet siten, että suunniteltu tarkastaja voi arvioida toimeksiannon ja sen rajapinnat.
Valmistelkaa hallintakeinojen toiminta.
Selvittäkää sovellettavat kriteerit ja vastuut asianomaisten tiimien kanssa ja sopikaa odotettavista todisteista ennen suunnitellun tarkastelujakson alkua.
Säilyttäkää toiminnan tallenteet.
Säilyttäkää jäljitettävä näyttö sovitulle ajalliselle rajaukselle ja kirjatkaa muutokset sekä havaitut poikkeamat niiden todellisen kulun mukaisesti.
Teettäkää riippumaton tarkastus.
Tilatkaa tarkastus sopivalta tilintarkastajalta ja selittäkää olemassa olevat asiakirjat esittämättä myöhempiä parannuksia aiempana hallintakeinojen tilana.
Arvioikaa raportti ja jatkakaa näyttöä.
Arvioikaa asiakkaan näkökulmasta lausunto, laajuus, ajanjakso ja rajoitukset yhdessä ja sopikaa tulevasta näytön kattavuudesta jatkuvaa käyttöä varten.
Mitä C5-varmennus osoittaa.
C5-varmennus sisältää kuvatun pilvipalvelun riippumattoman tarkastuksen tuloksen. C5:2026:n kohdan 3.4.4 mukaan tyyppi 1 tarkastelee suunnittelua ja käyttöönottoa tiettynä ajankohtana. Tyyppi 2 sisältää lisäksi toiminnallisen vaikuttavuuden ajanjakson aikana. Tiettyä ajankohtaa koskeva raportti vastaa siksi eri kysymykseen kuin jatkuvaa toimintaa koskeva raportti.
Tyyppi 2 ei edellytä aiempaa tyypin 1 raporttia. C5:2026:n kohta 3.4.11 sallii tyypin 1 vain ensimmäiselle tarkastukselle. Sopiva tarkastus riippuu toimeksiannosta, lähtötilanteesta ja näyttötarpeesta. Arvioikaa koko raportti ja sen rajoitukset yhdessä järjestelmäkuvauksen kanssa. Kansilehti tai tarjoajan esitys ei korvaa tätä arviointia.
C5-varmennuksella ei ole sertifikaatin kaltaista yleistä voimassaoloaikaa. Se koskee ilmoitettua ajankohtaa tai jaksoa. BSI:n usein kysytyt kysymykset selittävät, että vanhemman raportin merkitys nykyiselle riskien arvioinnille voi heiketä. Uudet alueet, olennaiset palvelumuutokset tai ajallisen näytön puuttuminen kuuluvat siksi asiakkaan nykyiseen päätökseen.
Suhde muihin viitekehyksiin.
ISO 27001 koskee tietoturvan hallintajärjestelmää ja sen mahdollista sertifiointia. SOC 2 on oma raportointijärjestelmänsä eri kriteereineen ja toimeksiantoehtoineen. GDPR asettaa henkilötietoja koskevat lakisääteiset velvollisuudet. C5-varmennus ei korvaa niiden arviointia eikä rekisterinpitäjän tehtäviä.
Secanissa.
Secani tarjoaa toimituksellisen apuvälineen BSI C5:2026:n käsittelyyn. Profiilitiedot kattavat muun muassa pilvipalveluntarjoajan, pilviasiakkaan, lisäkriteerit, tyypin 2 tarkastelun ja alipalveluntarjoajat. Luettelo tukee jäsenneltyä käsittelyä. Se ei ole virallinen käännös eikä varmennuslausunto. Asiantuntija-arvio ja riippumaton tarkastuspäätös ovat erillisiä tehtäviä.
Aloittakaa rajatusta pilvipalvelusta.
Valitkaa nimetty konkreettinen palvelu ja kirjatkaa asiakkaan tarve. Kuvatkaa alue, vastuut ja olennaiset riippuvuudet. Selvittäkää sitten suunnitellun tarkastajan kanssa, mikä versio ja raporttityyppi tarvitaan tätä lausuntoa varten. Näin syntyy luotettava perusta jatkovalmistelulle.
Usein kysytyt kysymykset.
Ei. BSI julkaisee kriteeriluettelon. Toimeksiannon saanut tilintarkastaja laatii tarkastusraportin ja varmennuslausunnon. BSI-sertifikaattia ei myönnetä.
Tyyppi 1 tarkastelee suunnittelua ja käyttöönottoa tiettynä ajankohtana. Tyyppi 2 tarkastaa lisäksi toiminnallisen vaikuttavuuden ilmoitetulla ajanjaksolla eikä edellytä aiempaa tyypin 1 raporttia.
Yleistä voimassaoloaikaa ei voida ilmoittaa. Raportti koskee omaa ajankohtaansa tai jaksoaan. Asiakkaiden on arvioitava, sopiiko se nykyiseen käyttöön, muutoksiin ja tarvittavaan näytön kattavuuteen.
Ei. Asiakkaiden on edelleen arvioitava ja hoidettava omaan vastuupiiriinsä jäävät tehtävät ja riskit. Tähän kuuluu raportin todellisen laajuuden vertaaminen omaan käyttöön.
Rajatkaa pilvipalvelu.
Keskustelkaa siitä, miten voitte käsitellä toimituksellista C5-luetteloa Secanissa.
Tämä sivu antaa yleiskuvan C5:stä eikä korvaa alkuperäistä luetteloa tai asiantuntija-arviota. Ratkaisevia ovat sovittu versio, konkreettinen tarkastustoimeksianto ja sovellettavat vaatimukset.