BSI C5.
Comprendre le catalogue de critères pour les services cloud, choisir le type de rapport adapté et clarifier les responsabilités du fournisseur et du client.
- BSI C5:2026 · C5:2020 pendant la transition
- Par Jonathan Bezdek
- À jour au 22/10/2026
- Temps de lecture : 9 min
Réponse courte.
BSI C5 est un catalogue de critères de sécurité de l’information pour les services cloud. Un auditeur indépendant examine le service décrit et établit une attestation avec rapport. C5:2026 distingue l’examen à une date donnée du contrôle supplémentaire d’efficacité opérationnelle sur une période. Les clients évaluent le rapport et leurs tâches de sécurité restantes ; le BSI ne délivre aucun certificat.
BSI C5 et le catalogue de critères de sécurité cloud.
BSI C5 crée une base commune pour vérifier et évaluer les engagements de sécurité d’un service cloud. Son nom complet est Cloud Computing Compliance Criteria Catalogue. Le BSI publie le catalogue ; le fournisseur commande l’examen à un auditeur financier. La page d’introduction du BSI distingue explicitement ces rôles : l’autorité ne choisit pas les auditeurs et n’évalue pas les rapports individuels.
La version publiée est C5:2026. C5:2020 reste pertinente pendant la transition pour certains examens. L’édition, le type de rapport et la limite temporelle doivent donc être clarifiés ensemble lors de la commande. Une mention telle que « évalué C5 » ne précise pas le service examiné ni les conditions ; elle ne suffit pas à une décision d’achat.
La section 3.5 de C5:2026 prévoit la nouvelle édition pour les dates de référence de type 1 à compter du 1er juin 2027 et les périodes de type 2 commençant à partir de ce jour ; une application anticipée est possible. Les périodes de type 2 débutant avant et se poursuivant après cette date doivent encore être évaluées intégralement selon C5:2020. Des informations supplémentaires sur les changements de contrôles prévus sont déjà prévues pour les périodes se terminant à partir du 28 février 2027. Convenez de la situation transitoire concrète avec l’auditeur.
À qui une attestation C5 est utile.
Les fournisseurs cloud utilisent C5 pour rendre leur travail de sécurité sur un service délimité compréhensible aux clients. Les clients et les équipes achats obtiennent des informations pour leur propre évaluation des risques. Un rapport peut porter sur des infrastructures, plateformes ou logiciels ; son périmètre réel est déterminant. Selon la FAQ du BSI, ses conclusions concernent les services et régions examinés, et non toutes les offres d’un groupe.
L’exigence d’une attestation C5 dépend de l’utilisation et des dispositions applicables. Examinez séparément les contrats clients, les conditions d’achat et les règles sectorielles pertinentes. Un rapport existant ne détermine pas non plus automatiquement si un service convient à des informations nécessitant une protection particulière. La page d’introduction du BSI confie au client l’évaluation de ses exigences et de ses risques résiduels.
Les domaines réunis par le catalogue C5.
C5 examine l’organisation de sécurité du service cloud, ses conditions de fonctionnement et la répartition des tâches. Les six domaines suivants constituent des repères pratiques de préparation ; ils ne remplacent ni les critères du chapitre 5 ni une planification d’examen convenue.
Ancrer les responsabilités dans le service.
Attribuez les décisions, les tâches opérationnelles et les vérifications aux personnes compétentes. Une description organisationnelle doit montrer qui peut agir en cas d’écart et qui suit sa correction. Cela évite de supposer que la seule fonction de coordination de la sécurité assume toutes les tâches opérationnelles.
Délimiter le service et ses dépendances.
Décrivez les prestations, régions et fournisseurs de soutien couverts par les conclusions. Une dépendance technique peut être importante pour la sécurité même si elle est externalisée par contrat. Consignez de manière traçable les garanties reçues de tiers et les tâches qui restent dans votre propre exploitation.
Protéger les accès et les informations.
Examinez la gestion des informations clients sur l’ensemble du service réel. Un état des lieux pratique comprend les accès utilisateurs et administrateurs ainsi que la responsabilité des configurations et habilitations. Vérifiez aussi les transmissions entre fournisseur et client ; une infrastructure sous-jacente sûre ne répond pas à elle seule aux questions de configuration du client.
Assurer la traçabilité du fonctionnement et des changements.
Reliez les procédures définies aux enregistrements de leur application. Une modification du service peut concerner d’autres preuves et responsables qu’une phase d’exploitation inchangée. Pour préparer l’examen, il est donc utile de dater les changements pertinents et de garder les documents adaptés disponibles, au-delà du seul état actuel.
Se préparer aux perturbations.
Clarifiez les responsabilités pour les incidents, la communication et le redémarrage. Un exercice pratique peut montrer si les transmissions et les escalades fonctionnent. Identifiez les exercices comme tels et conservez leurs résultats ; les événements fictifs ne doivent pas être présentés comme des preuves historiques d’exploitation. L’article C5 existant approfondit l’organisation des preuves.
Assurer la transparence pour les clients.
Le chapitre 4 de C5:2026 décrit les conditions générales nécessaires à l’évaluation des clients. Présentez le périmètre d’examen et les tâches restant au client pour que les lecteurs puissent situer leur propre usage. Une affirmation générale de sécurité est moins utile qu’une description compréhensible des limites concrètes de responsabilité et des restrictions possibles.
Le parcours vers l’attestation C5.
Clarifier le besoin de preuve.
Pour commencer concrètement, déterminez quels clients attendent un rapport pour quel service, ainsi que l’édition, le type de rapport et la limite temporelle adaptés.
Décrire le périmètre d’examen.
Délimitez les services, régions, organisations participantes et dépendances pour permettre à l’auditeur pressenti d’évaluer la mission et ses interfaces.
Préparer le fonctionnement des contrôles.
Clarifiez les critères applicables et les responsabilités avec les équipes compétentes, puis convenez des preuves attendues avant le début de la période d’observation prévue.
Conserver les enregistrements opérationnels.
Conservez des preuves traçables pour la période convenue et consignez les changements et écarts identifiés avec leur déroulement réel.
Faire réaliser un examen indépendant.
Mandatez un auditeur financier adapté et expliquez les documents existants, sans présenter des améliorations ultérieures comme l’état antérieur des contrôles.
Évaluer le rapport et assurer la suite.
Examinez ensemble, du point de vue du client, les conclusions, le périmètre, la période et les restrictions, puis convenez de la couverture future des preuves pour l’utilisation continue.
Ce que démontre une attestation C5.
Une attestation C5 contient le résultat d’un examen indépendant du service cloud décrit. Selon la section 3.4.4 de C5:2026, le type 1 examine la conception et la mise en place à une date donnée ; le type 2 couvre en plus l’efficacité opérationnelle sur une période. Un rapport à une date donnée répond donc à une autre question qu’un rapport sur le fonctionnement continu.
Le type 2 ne nécessite pas de rapport préalable de type 1. La section 3.4.11 de C5:2026 réserve le type 1 au premier examen. Le choix adapté dépend de la mission, de la situation initiale et du besoin de preuve. Examinez le rapport complet et ses restrictions avec la description du système ; une page de titre ou une présentation commerciale du fournisseur ne remplace pas cette évaluation.
Une attestation C5 n’a pas de durée générale de validité comparable à un certificat. Elle se réfère à la date ou à la période indiquée. La FAQ du BSI explique qu’un rapport ancien peut perdre de sa pertinence pour l’évaluation actuelle des risques. Les nouvelles régions, les changements majeurs de service ou les périodes sans couverture de preuve doivent donc être pris en compte dans la décision actuelle du client.
Situer les autres référentiels.
ISO 27001 concerne un système de management de la sécurité de l’information et sa certification possible. SOC 2 est un système de rapport distinct, avec d’autres critères et conditions de mission. Le RGPD impose des obligations légales pour les données personnelles ; une attestation C5 ne remplace ni leur examen ni les tâches du responsable du traitement.
Dans Secani.
Secani propose un outil de travail éditorial pour BSI C5:2026. Les informations de profil recensent notamment le fournisseur cloud, le client cloud, les critères complémentaires, l’examen de type 2 et les sous-prestataires. Le catalogue facilite un travail structuré ; il ne constitue ni une traduction officielle ni une attestation. L’appréciation spécialisée et la décision d’examen indépendante restent des tâches distinctes.
Commencer par un service cloud délimité.
Choisissez un service précisément nommé et consignez le besoin du client. Décrivez la région, les responsabilités et les dépendances majeures. Clarifiez ensuite avec l’auditeur pressenti l’édition et le type de rapport nécessaires pour les conclusions attendues. Cela crée une base solide pour la suite de la préparation.
Questions fréquentes.
Non. Le BSI publie le catalogue de critères ; un auditeur financier mandaté établit le rapport et l’attestation. Aucun certificat du BSI n’est délivré dans ce cadre.
Le type 1 examine la conception et la mise en place à une date donnée. Le type 2 vérifie en plus l’efficacité opérationnelle sur la période indiquée ; aucun rapport de type 1 préalable n’est nécessaire.
Il n’existe pas de durée uniforme. Le rapport se réfère à sa date ou à sa période ; les clients doivent juger s’il correspond à l’utilisation actuelle, aux changements et à la couverture de preuve nécessaire.
Non. Les clients doivent continuer à évaluer et à traiter les tâches et risques restant sous leur responsabilité. Cela comprend la comparaison entre le périmètre réel du rapport et leur propre utilisation.
Délimiter le service cloud.
Discutons de la manière de travailler sur le catalogue éditorial C5 dans Secani.
Cette page présente C5 de manière générale et ne remplace ni le catalogue original ni une évaluation spécialisée. L’édition convenue, la mission d’examen concrète et les dispositions applicables font foi.