BSI C5.
Razumijte katalog kriterija za usluge u oblaku, odaberite odgovarajuću vrstu izvješća i razjasnite odgovornost pružatelja i klijenta.
- BSI C5:2026 · C5:2020 u prijelaznom razdoblju
- Autor: Jonathan Bezdek
- Stanje: 22. 10. 2026.
- Vrijeme čitanja: 6 min.
Kratak odgovor.
BSI C5 katalog je kriterija informacijske sigurnosti usluga u oblaku. Neovisni ovlašteni revizor ispituje opisanu uslugu i izdaje potvrdu s revizijskim izvješćem. C5:2026 razlikuje zaključke na određeni datum od dodatne provjere operativne učinkovitosti tijekom razdoblja. Klijenti sami ocjenjuju izvješće i preostale sigurnosne zadatke; BSI ne izdaje certifikat.
BSI C5 i katalog kriterija sigurnosti oblaka.
BSI C5 stvara zajedničku osnovu za provjeru i ocjenu sigurnosnih jamstava usluge u oblaku. Puni naziv glasi Cloud Computing Compliance Criteria Catalogue. BSI objavljuje katalog, a pružatelj naručuje provjeru kod ovlaštenog revizora. BSI-jeva uvodna stranica izričito odvaja te uloge: tijelo ne odabire revizore i ne ocjenjuje pojedinačna izvješća.
Objavljeno stanje jest C5:2026. C5:2020 ostaje relevantan za određene provjere tijekom prijelaza. Zato izdanje, vrstu izvješća i vremensku granicu treba zajedno razjasniti pri ugovaranju. Navod poput „provjereno prema C5” ne otkriva koja je usluga ispitana i pod kojim uvjetima; nije dovoljan za odluku o nabavi.
C5:2026, odjeljak 3.5, predviđa novo izdanje za datume provjere tipa 1 od 1. lipnja 2027. i razdoblja provjere tipa 2 koja počinju od tog dana; moguća je ranija primjena. Razdoblja tipa 2 koja počinju prije i završavaju nakon tog datuma trebaju se još u cijelosti provjeriti prema C5:2020. Za razdoblja koja završavaju od 28. veljače 2027. već su predviđeni dodatni podaci o planiranim promjenama kontrola. Konkretnu prijelaznu situaciju uskladite s revizorom.
Kome je potvrda C5 relevantna.
Pružatelji usluga u oblaku koriste C5 kako bi klijentima učinili sljedivim sigurnosni rad na određenoj usluzi. Klijenti i nabavni timovi dobivaju informacije za vlastitu procjenu rizika. Izvješće se može odnositi na infrastrukturu, platforme ili softver; presudan je stvarni opseg. Prema BSI-jevim čestim pitanjima zaključak vrijedi za provjerene usluge i regije, a ne općenito za sve ponude grupe.
Zahtijeva li se potvrda C5 ovisi o konkretnoj uporabi i njezinim pravilima. Zasebno provjerite ugovore s klijentima, uvjete nabave i primjenjiva sektorska pravila. Postojeće izvješće također ne odgovara automatski je li usluga prikladna za informacije s posebnom potrebom zaštite. BSI-jeva uvodna stranica klijentu dodjeljuje procjenu njegovih zahtjeva i preostalih rizika.
Koji rad objedinjuje katalog kriterija C5.
C5 razmatra sigurnosnu organizaciju usluge u oblaku, njezine radne uvjete i podjelu zadataka. Sljedećih šest radnih područja praktična je orijentacija za pripremu; ne zamjenjuju kriterije iz poglavlja 5 ni usklađeno planiranje provjere.
Ugradite odgovornost u uslugu.
Pridružite odluke, operativne zadatke i provjere nadležnim osobama. Organizacijski opis treba pokazati tko smije djelovati pri odstupanju i tko prati otklanjanje. Time se izbjegava pretpostavka da sama koordinacijska sigurnosna funkcija preuzima sve operativne zadatke.
Odredite uslugu i ovisnosti.
Opišite koje su usluge, regije i potporni pružatelji obuhvaćeni zaključkom. Tehnička ovisnost može biti značajna za sigurnost i kada je ugovorno izdvojena. Sljedivo zabilježite koja jamstva dobivate od drugih i koji zadaci ostaju u vlastitom poslovanju.
Zaštitite pristupe i informacije.
Razmotrite postupanje s informacijama klijenata duž stvarne usluge. Praktično utvrđivanje stanja uključuje korisničke i administratorske pristupe te odgovornost za konfiguraciju i ovlasti. Provjerite i primopredaje između pružatelja i klijenta; sigurna temeljna infrastruktura sama ne odgovara na klijentova pitanja konfiguracije.
Održavajte sljedivost rada i promjena.
Povežite utvrđene postupke sa zapisima njihove primjene. Promjena usluge može uključivati drukčije dokaze i odgovorne osobe od nepromijenjene radne faze. Zato je pri pripremi korisno vremenski razvrstati relevantne promjene i osigurati prikladnu dokumentaciju, umjesto prikaza samo današnjeg stanja.
Pripremite se za poremećaje.
Razjasnite odgovornosti za incidente, komunikaciju i ponovnu uspostavu rada. Praktična vježba može pokazati funkcioniraju li primopredaje i eskalacije. Označite vježbe kao takve i čuvajte rezultate; izmišljeni događaji ne smiju izgledati kao povijesni operativni dokazi. Detaljnija organizacija dokaza obrađena je u postojećem blogu o C5.
Osigurajte transparentnost klijentima.
C5:2026, poglavlje 4, opisuje okvirne uvjete potrebne klijentima za procjenu. Prenesite opseg provjere i preostale zadatke klijenta tako da čitatelji mogu procijeniti vlastitu uporabu. Opća sigurnosna tvrdnja manje pomaže od razumljivog opisa konkretne granice odgovornosti i mogućih ograničenja.
Put do potvrde C5.
Razjasnite potrebe dokazivanja.
Kao praktičan početak utvrdite koji klijenti očekuju izvješće za koju uslugu te koje izdanje, vrsta izvješća i vremenska granica tome odgovaraju.
Opišite opseg provjere.
Odredite usluge, regije, uključene organizacije i ovisnosti tako da predviđeni revizor može procijeniti angažman i njegova sučelja.
Pripremite primjenu kontrola.
Razjasnite primjenjive kriterije i odgovornosti s nadležnim timovima te uskladite očekivane dokaze prije početka predviđenog razdoblja razmatranja.
Sačuvajte operativne zapise.
Čuvajte sljedive dokaze za ugovorenu vremensku granicu i bilježite promjene te utvrđena odstupanja s njihovim stvarnim tijekom.
Naručite neovisnu provjeru.
Angažirajte odgovarajućeg ovlaštenog revizora i objasnite postojeću dokumentaciju bez prikazivanja naknadnih poboljšanja kao ranijeg stanja kontrola.
Ocijenite i ažurirajte izvješće.
Iz perspektive klijenta zajedno provjerite zaključak, opseg, razdoblje i ograničenja te dogovorite daljnju pokrivenost dokazima za trajnu uporabu.
Što potvrda C5 dokazuje.
Potvrda C5 sadrži rezultat neovisne provjere opisane usluge u oblaku. Prema C5:2026, odjeljku 3.4.4, tip 1 razmatra oblikovanje i uspostavu na određeni datum; tip 2 dodatno obuhvaća operativnu učinkovitost tijekom razdoblja. Izvješće za određeni datum zato odgovara na drukčije pitanje od izvješća o kontinuiranom radu.
Tip 2 ne zahtijeva prethodno izvješće tipa 1. C5:2026, odjeljak 3.4.11, predviđa tip 1 samo za početnu provjeru. Prikladna provjera ovisi o angažmanu, početnom stanju i potrebi dokazivanja. Provjerite cjelovito izvješće i njegova ograničenja zajedno s opisom sustava; naslovnica ili prezentacija pružatelja ne mogu zamijeniti tu ocjenu.
Potvrda C5 nema opće razdoblje valjanosti po uzoru na certifikat. Odnosi se na navedeni datum ili razdoblje. BSI-jeva česta pitanja objašnjavaju da starije izvješće može izgubiti vrijednost za današnju procjenu rizika. Nove regije, bitne promjene usluge ili vremenski nedostatak dokaza zato pripadaju aktualnoj odluci klijenta.
Razumijevanje drugih okvira.
ISO 27001 odnosi se na sustav upravljanja informacijskom sigurnošću i mogući certifikacijski dokaz. SOC 2 zaseban je sustav izvješćivanja s drukčijim kriterijima i uvjetima angažmana. GDPR uspostavlja zakonske obveze za osobne podatke; potvrda C5 ne zamjenjuje njihovu provjeru ni zadatke voditelja obrade.
U Secaniju.
Secani pruža uredničko pomagalo za BSI C5:2026. Podaci profila obuhvaćaju, među ostalim, pružatelja i klijenta oblaka, dodatne kriterije, razmatranje tipa 2 i podizvođače. Katalog podupire strukturiranu obradu; nije službeni prijevod ni revizijska potvrda. Stručna ocjena i neovisna odluka o provjeri ostaju zasebne zadaće.
Počnite s određenom uslugom u oblaku.
Odaberite konkretno imenovanu uslugu i zabilježite potrebe klijenta. Opišite regiju, odgovornosti i bitne ovisnosti. Zatim s predviđenim revizorom razjasnite koje je izdanje i vrsta izvješća potrebna za takav zaključak. Tako nastaje pouzdan temelj za daljnju pripremu.
Česta pitanja.
Ne. BSI objavljuje katalog kriterija; angažirani ovlašteni revizor izrađuje revizijsko izvješće i potvrdu. Pritom se ne izdaje certifikat BSI-ja.
Tip 1 razmatra oblikovanje i uspostavu na određeni datum. Tip 2 dodatno provjerava operativnu učinkovitost tijekom navedenog razdoblja; prethodno izvješće tipa 1 za to nije potrebno.
Nije moguće navesti opće trajanje. Izvješće se odnosi na svoj datum ili razdoblje; klijenti moraju procijeniti odgovara li aktualnoj uporabi, promjenama i potrebnoj pokrivenosti dokazima.
Ne. Klijenti i dalje moraju procijeniti i obraditi zadatke i rizike koji ostaju u njihovu području odgovornosti. To uključuje usporedbu stvarnog opsega izvješća s vlastitom uporabom.
Odredite uslugu u oblaku.
Razgovarajte o tome kako obrađivati urednički katalog C5 u Secaniju.
Ova stranica općenito objašnjava C5 i ne zamjenjuje izvorni katalog ni stručnu provjeru. Mjerodavni su ugovoreno izdanje, konkretan revizijski angažman i primjenjivi zahtjevi.