BSI C5.
Inquadrare il catalogo di criteri per i servizi cloud, scegliere il tipo di relazione adatto e chiarire le responsabilità di fornitore e cliente.
- BSI C5:2026 · C5:2020 nel periodo transitorio
- Di Jonathan Bezdek
- Aggiornato al: 22/10/2026
- Tempo di lettura: 8 min.
Risposta breve.
BSI C5 è un catalogo di criteri per la sicurezza delle informazioni dei servizi cloud. Un revisore indipendente esamina il servizio descritto e redige un'attestazione con relazione di verifica. C5:2026 distingue le conclusioni a una data dalla verifica aggiuntiva dell'efficacia operativa su un periodo. I clienti valutano relazione e compiti residui; il BSI non rilascia certificati.
BSI C5 e il catalogo di criteri per la sicurezza cloud.
BSI C5 crea una base comune per verificare e valutare gli impegni di sicurezza di un servizio cloud. Il nome completo è Cloud Computing Compliance Criteria Catalogue. Il BSI pubblica il catalogo; il fornitore affida la verifica a un revisore contabile. La pagina introduttiva del BSI distingue espressamente questi ruoli: l'autorità non sceglie i revisori e non valuta le singole relazioni.
La versione pubblicata è C5:2026. C5:2020 resta rilevante per determinate verifiche durante la transizione. Occorre quindi chiarire insieme edizione, tipo di relazione e riferimento temporale nell'incarico. Un'indicazione come «verificato C5» lascia aperto quale servizio sia stato esaminato e a quali condizioni; non basta per decidere un acquisto.
C5:2026, sezione 3.5, prevede la nuova edizione per date di riferimento di tipo 1 dal 1° giugno 2027 e periodi di verifica di tipo 2 che iniziano da quel giorno; è possibile applicarla prima. I periodi di tipo 2 che iniziano prima e superano tale data dovrebbero ancora essere verificati integralmente secondo C5:2020. Per periodi che terminano dal 28 febbraio 2027 sono già previste informazioni aggiuntive sulle modifiche pianificate ai controlli. Concordate la situazione transitoria concreta con il revisore.
Per chi è rilevante un'attestazione C5.
I fornitori cloud utilizzano C5 per rendere comprensibile ai clienti il lavoro di sicurezza su un servizio delimitato. Clienti e team acquisti ricevono informazioni per la propria valutazione dei rischi. Una relazione può riguardare infrastrutture, piattaforme o software; conta l'ambito effettivo. Secondo le FAQ del BSI, le conclusioni valgono per servizi e regioni verificati, non per tutte le offerte di un gruppo.
La richiesta di un'attestazione C5 dipende dall'utilizzo e dalle relative disposizioni. Verificate separatamente contratti con i clienti, condizioni di acquisto e norme settoriali applicabili. Una relazione esistente non chiarisce inoltre automaticamente se un servizio sia adatto a informazioni che richiedono particolare protezione. La pagina introduttiva del BSI assegna al cliente la valutazione dei propri requisiti e dei rischi residui.
Quale lavoro riunisce il catalogo di criteri C5.
C5 considera l'organizzazione di sicurezza del servizio cloud, le condizioni operative e la ripartizione dei compiti. I seguenti sei ambiti sono un orientamento pratico per la preparazione; non sostituiscono né i criteri del capitolo 5 né una pianificazione di verifica concordata.
Consolidare le responsabilità nel servizio.
Assegnate decisioni, compiti operativi e verifiche alle persone competenti. Una descrizione organizzativa dovrebbe mostrare chi può agire in caso di deviazione e chi ne segue la risoluzione. Ciò evita di presumere che la sola funzione di coordinamento della sicurezza assuma tutti i compiti operativi.
Delimitare servizio e dipendenze.
Descrivete quali prestazioni, regioni e fornitori di supporto sono compresi nelle conclusioni. Una dipendenza tecnica può essere rilevante per la sicurezza anche se esternalizzata per contratto. Registrate in modo tracciabile quali garanzie ricevete da altri e quali compiti restano nella vostra gestione.
Proteggere accessi e informazioni.
Considerate la gestione delle informazioni dei clienti lungo il servizio effettivo. Una ricognizione pratica comprende percorsi utente e amministrativi e responsabilità per configurazione e autorizzazioni. Verificate anche i passaggi tra fornitore e cliente; un'infrastruttura di base gestita in sicurezza non risolve da sola le questioni di configurazione del cliente.
Mantenere tracciabili operatività e modifiche.
Collegate le procedure definite alle registrazioni della loro applicazione. Una modifica al servizio può coinvolgere evidenze e responsabili diversi da una fase operativa invariata. Per la preparazione è quindi utile collocare temporalmente le modifiche rilevanti e mantenere disponibili i documenti adatti, anziché mostrare solo lo stato attuale.
Essere preparati alle perturbazioni.
Chiarite le responsabilità per incidenti, comunicazione e riavvio. Un'esercitazione pratica può mostrare se passaggi ed escalation funzionano. Identificate le esercitazioni come tali e conservatene i risultati; eventi fittizi non devono apparire come evidenze operative storiche. L'organizzazione dettagliata delle evidenze resta trattata nell'articolo C5 esistente.
Creare trasparenza per i clienti.
C5:2026, capitolo 4, descrive le condizioni generali necessarie ai clienti per la valutazione. Comunicate ambito di verifica e compiti residui del cliente in modo che i lettori possano inquadrare il proprio utilizzo. Un'affermazione generica sulla sicurezza aiuta meno di una descrizione comprensibile dei confini concreti delle responsabilità e delle possibili limitazioni.
Il percorso verso l'attestazione C5.
Chiarire il fabbisogno di attestazione.
Come avvio pratico, individuate quali clienti si aspettano una relazione per quale servizio e quali edizione, tipo di relazione e riferimento temporale sono adatti.
Descrivere l'ambito della verifica.
Delimitate servizi, regioni, organizzazioni coinvolte e dipendenze affinché il revisore previsto possa valutare incarico e interfacce.
Preparare il funzionamento dei controlli.
Chiarite criteri applicabili e responsabilità con i team competenti e concordate le evidenze attese prima dell'inizio del periodo previsto.
Conservare le registrazioni operative.
Conservate evidenze tracciabili per il riferimento temporale concordato e registrate modifiche e deviazioni individuate con il loro andamento effettivo.
Far eseguire una verifica indipendente.
Incaricate un revisore adeguato e illustrate i documenti esistenti, senza presentare miglioramenti successivi come stato precedente dei controlli.
Valutare e aggiornare la relazione.
Valutate insieme conclusioni, ambito, periodo e limitazioni dal punto di vista del cliente e concordate la successiva copertura delle evidenze per l'utilizzo continuo.
Cosa dimostra un'attestazione C5.
Un'attestazione C5 contiene il risultato di una verifica indipendente del servizio cloud descritto. Secondo C5:2026, sezione 3.4.4, il tipo 1 considera progettazione e messa in atto a una data; il tipo 2 include anche l'efficacia operativa su un periodo. Una relazione a una data risponde quindi a una domanda diversa da una relazione sull'operatività continua.
Il tipo 2 non richiede una precedente relazione di tipo 1. C5:2026, sezione 3.4.11, prevede il tipo 1 solo per la prima verifica. La verifica adeguata dipende da incarico, situazione iniziale e fabbisogno di attestazione. Esaminate la relazione completa e le sue limitazioni insieme alla descrizione del sistema; una copertina o una presentazione del fornitore non sostituiscono questa valutazione.
Un'attestazione C5 non ha una durata di validità generale come un certificato. Si riferisce alla data o al periodo indicato. Le FAQ del BSI spiegano che una relazione più vecchia può perdere valore informativo per la valutazione odierna dei rischi. Nuove regioni, modifiche sostanziali del servizio o lacune nella copertura temporale delle evidenze rientrano quindi nella decisione attuale del cliente.
Inquadrare gli altri framework.
ISO 27001 riguarda un sistema di gestione della sicurezza delle informazioni e la sua possibile certificazione. SOC 2 è un sistema di reporting autonomo con criteri e condizioni di incarico diversi. Il GDPR istituisce obblighi legali in presenza di dati personali; un'attestazione C5 non ne sostituisce la verifica né i compiti del titolare.
In Secani.
Secani offre uno strumento redazionale di lavoro su BSI C5:2026. I dati del profilo rilevano, tra l'altro, fornitore cloud, cliente cloud, criteri aggiuntivi, valutazione di tipo 2 e subfornitori. Il catalogo sostiene la gestione strutturata; non è una traduzione ufficiale né un'attestazione. Valutazione specialistica e decisione di verifica indipendente restano compiti autonomi.
Iniziare con un servizio cloud delimitato.
Scegliete un servizio identificato concretamente e registrate il fabbisogno del cliente. Descrivete regione, responsabilità e dipendenze sostanziali. Chiarite poi con il revisore previsto quali edizione e tipo di relazione servono per queste conclusioni. Ne deriva una base solida per la preparazione successiva.
Domande frequenti.
No. Il BSI pubblica il catalogo di criteri; un revisore incaricato redige la relazione di verifica e l'attestazione. Non viene rilasciato un certificato BSI.
Il tipo 1 considera progettazione e messa in atto a una data. Il tipo 2 verifica anche l'efficacia operativa nel periodo indicato; non richiede una precedente relazione di tipo 1.
Non è possibile indicare una durata generale. La relazione si riferisce alla propria data o al proprio periodo; i clienti devono valutare se corrisponde all'utilizzo attuale, ai cambiamenti e alla copertura necessaria delle evidenze.
No. I clienti devono continuare a valutare e gestire compiti e rischi che restano nella propria responsabilità. Ciò comprende il confronto tra l'ambito effettivo della relazione e il proprio utilizzo.
Delimitare il servizio cloud.
Parliamo di come gestire il catalogo redazionale C5 in Secani.
Questa pagina inquadra C5 in termini generali e non sostituisce né il catalogo originale né una verifica specialistica. Fanno fede l'edizione concordata, l'incarico concreto di verifica e le disposizioni applicabili.