BSI C5.
De criteriacatalogus voor clouddiensten duiden, het passende rapporttype kiezen en de verantwoordelijkheid van aanbieder en klant bepalen.
- BSI C5:2026 · C5:2020 tijdens de overgang
- Door Jonathan Bezdek
- Stand: 22-10-2026
- Leestijd: 7 min.
Kort antwoord.
BSI C5 is een criteriacatalogus voor informatiebeveiliging van clouddiensten. Een onafhankelijke accountant onderzoekt de beschreven dienst en stelt een assuranceverklaring met onderzoeksrapport op. C5:2026 onderscheidt uitspraken over een peildatum van de aanvullende toetsing van operationele doeltreffendheid over een periode. Klanten beoordelen het rapport en hun resterende beveiligingstaken zelf; het BSI geeft geen certificaat af.
BSI C5 en de criteriacatalogus voor cloudbeveiliging.
BSI C5 biedt een gemeenschappelijke basis om beveiligingstoezeggingen van een clouddienst te kunnen toetsen en beoordelen. De volledige naam is Cloud Computing Compliance Criteria Catalogue. Het BSI publiceert de catalogus; de aanbieder geeft een accountant opdracht voor het onderzoek. De BSI-introductiepagina onderscheidt deze rollen expliciet: de autoriteit selecteert de accountants niet en beoordeelt de afzonderlijke rapporten niet.
De gepubliceerde versie is C5:2026. C5:2020 blijft tijdens de overgang relevant voor bepaalde onderzoeken. Daarom horen uitgave, rapporttype en tijdsafbakening samen bij het bepalen van de opdracht. Een aanduiding als “C5-getoetst” laat open welke dienst onder welke voorwaarden is onderzocht; die volstaat niet voor een inkoopbeslissing.
C5:2026 paragraaf 3.5 voorziet in de nieuwe uitgave voor type 1-peildata vanaf 1 juni 2027 en type 2-onderzoeksperioden die vanaf die dag beginnen; eerdere toepassing is mogelijk. Type 2-perioden die eerder beginnen en voorbij deze datum lopen, moeten nog volledig volgens C5:2020 worden onderzocht. Voor perioden die vanaf 28 februari 2027 eindigen, zijn al aanvullende gegevens over geplande wijzigingen in beheersmaatregelen voorzien. Stem de concrete overgangssituatie af met de accountant.
Voor wie een C5-verklaring relevant is.
Cloudaanbieders gebruiken C5 om hun beveiligingswerk voor een afgebakende dienst navolgbaar te maken voor klanten. Klanten en inkoopteams ontvangen informatie voor hun eigen risicobeoordeling. Een rapport kan infrastructuur, platforms of software betreffen; de werkelijke scope is doorslaggevend. Volgens de BSI-FAQ geldt de uitspraak voor de onderzochte diensten en regio’s, niet algemeen voor alle aanbiedingen van een concern.
Of een C5-verklaring vereist is, hangt af van de toepassing en de bijbehorende voorschriften. Toets klantcontracten, inkoopvoorwaarden en toepasselijke sectorale regels afzonderlijk. Een bestaand rapport beantwoordt bovendien niet automatisch of een dienst geschikt is voor informatie die bijzondere bescherming nodig heeft. De BSI-introductiepagina legt de beoordeling van eigen eisen en resterende risico’s bij de klant.
Welk werk de C5-criteriacatalogus samenbrengt.
C5 kijkt naar de beveiligingsorganisatie van de clouddienst, de bedrijfsvoorwaarden en de taakverdeling. De volgende zes werkgebieden bieden praktische oriëntatie voor de voorbereiding; zij vervangen noch de criteria van hoofdstuk 5, noch een afgestemd onderzoeksplan.
Verantwoordelijkheid in de dienst verankeren.
Wijs beslissingen, operationele taken en controles toe aan de bevoegde personen. Een organisatorische beschrijving moet laten zien wie bij een afwijking mag handelen en wie de oplossing volgt. Dit voorkomt de aanname dat alleen de coördinerende beveiligingsfunctie alle operationele taken uitvoert.
Dienst en afhankelijkheden afbakenen.
Beschrijf welke prestaties, regio’s en ondersteunende aanbieders bij de uitspraak horen. Een technische afhankelijkheid kan belangrijk zijn voor de beveiliging, ook wanneer deze contractueel is uitbesteed. Leg navolgbaar vast welke garanties u van anderen ontvangt en welke taken in de eigen bedrijfsvoering blijven.
Toegang en informatie beschermen.
Bekijk de omgang met klantinformatie over de volledige feitelijke dienst. Een praktische inventarisatie omvat gebruikers- en beheerkanalen en de verantwoordelijkheid voor configuratie en toegangsrechten. Toets ook de overdrachten tussen aanbieder en klant; een veilig beheerde onderliggende infrastructuur beantwoordt de configuratievragen van de klant niet vanzelf.
Bedrijfsvoering en wijzigingen navolgbaar houden.
Verbind vastgestelde procedures met registraties van hun toepassing. Een wijziging in de dienst kan andere bewijsmiddelen en verantwoordelijken raken dan een ongewijzigde operationele fase. Voor de voorbereiding helpt het daarom om relevante wijzigingen in de tijd te plaatsen en passende documenten beschikbaar te houden, naast het tonen van de huidige toestand.
Voorbereid zijn op verstoringen.
Bepaal verantwoordelijkheden voor incidenten, communicatie en herstart. Een praktische oefening kan aantonen of overdrachten en escalaties werken. Markeer oefeningen als zodanig en bewaar de resultaten; fictieve gebeurtenissen mogen niet als historisch operationeel bewijs worden gepresenteerd. De bestaande C5-blog behandelt de organisatie van bewijsvoering uitgebreider.
Transparantie voor klanten bieden.
C5:2026 hoofdstuk 4 beschrijft randvoorwaarden die klanten nodig hebben voor hun beoordeling. Breng de onderzoeksscope en resterende klanttaken zo over dat lezers hun eigen gebruik kunnen plaatsen. Een algemene beveiligingsclaim helpt minder dan een begrijpelijke beschrijving van de concrete verantwoordelijkheidsgrens en mogelijke beperkingen.
Het traject naar een C5-verklaring.
Bewijsbehoefte bepalen.
Bepaal als praktische eerste stap welke klanten voor welke dienst een rapport verwachten en welke uitgave, welk rapporttype en welke tijdsafbakening daarbij passen.
Onderzoeksscope beschrijven.
Baken diensten, regio’s, betrokken organisaties en afhankelijkheden zo af dat de beoogde accountant de opdracht en de interfaces kan beoordelen.
Uitvoering van beheersmaatregelen voorbereiden.
Bepaal de toepasselijke criteria en verantwoordelijkheden met de bevoegde teams en stem het verwachte bewijsmateriaal af vóór het begin van de beoogde onderzoeksperiode.
Operationele registraties bewaren.
Bewaar navolgbaar bewijsmateriaal voor de afgesproken tijdsafbakening en leg wijzigingen en geconstateerde afwijkingen met hun werkelijke verloop vast.
Onafhankelijk laten onderzoeken.
Geef een geschikte accountant opdracht en licht de bestaande documenten toe zonder latere verbeteringen als een eerdere toestand van beheersmaatregelen te presenteren.
Rapport beoordelen en bijhouden.
Beoordeel vanuit klantperspectief uitspraak, scope, periode en beperkingen in samenhang en spreek verdere bewijsdekking voor het doorlopende gebruik af.
Wat een C5-verklaring aantoont.
Een C5-verklaring bevat het resultaat van een onafhankelijk onderzoek naar de beschreven clouddienst. Volgens C5:2026 paragraaf 3.4.4 kijkt type 1 naar de opzet en het bestaan op een peildatum; type 2 omvat aanvullend de operationele werking gedurende een periode. Een rapport over een peildatum beantwoordt daarom een andere vraag dan een rapport over de doorlopende bedrijfsvoering.
Type 2 vereist geen voorafgaand type 1-rapport. C5:2026 paragraaf 3.4.11 voorziet alleen voor het eerste onderzoek in type 1. Welk onderzoek passend is, hangt af van opdracht, uitgangssituatie en bewijsbehoefte. Toets het volledige rapport en de beperkingen samen met de systeembeschrijving; een titelblad of presentatie van een aanbieder kan die beoordeling niet vervangen.
Een C5-verklaring heeft geen algemene geldigheidsduur zoals een certificaat. Ze betreft de vermelde peildatum of periode. De BSI-FAQ licht toe dat een ouder rapport aan zeggingskracht kan verliezen voor de huidige risicobeoordeling. Nieuwe regio’s, wezenlijke dienstwijzigingen of ontbrekende bewijsdekking in de tijd horen daarom bij de actuele klantbeslissing.
Andere frameworks duiden.
ISO 27001 betreft een managementsysteem voor informatiebeveiliging en de mogelijke certificering daarvan. SOC 2 is een eigen rapportagesysteem met andere criteria en opdrachtvoorwaarden. De AVG schept wettelijke verplichtingen bij persoonsgegevens; een C5-verklaring vervangt de toetsing daarvan en de taken van de verwerkingsverantwoordelijke niet.
In Secani.
Secani biedt een redactioneel werkhulpmiddel voor BSI C5:2026. De profielgegevens leggen onder meer cloudaanbieder, cloudklant, aanvullende criteria, type 2-beoordeling en subdienstverleners vast. De catalogus ondersteunt gestructureerde behandeling; het is geen officiële vertaling en geen assuranceverklaring. Inhoudelijke beoordeling en de onafhankelijke onderzoeksbeslissing blijven zelfstandige taken.
Begin met een afgebakende clouddienst.
Kies een concreet benoemde dienst en leg de klantbehoefte vast. Beschrijf regio, verantwoordelijkheden en wezenlijke afhankelijkheden. Bepaal vervolgens met de beoogde accountant welke uitgave en welk rapporttype nodig zijn voor deze uitspraak. Zo ontstaat een deugdelijke basis voor de verdere voorbereiding.
Veelgestelde vragen.
Nee. Het BSI publiceert de criteriacatalogus; een ingeschakelde accountant stelt het onderzoeksrapport en de assuranceverklaring op. Daarbij wordt geen BSI-certificaat afgegeven.
Type 1 kijkt naar de opzet en het bestaan op een peildatum. Type 2 toetst aanvullend de operationele werking over de vermelde periode; een voorafgaand type 1-rapport is daarvoor niet nodig.
Een algemene looptijd is niet te noemen. Het rapport betreft zijn peildatum of periode; klanten moeten beoordelen of het past bij het actuele gebruik, veranderingen en de benodigde bewijsdekking.
Nee. Klanten moeten de taken en risico’s die binnen hun eigen verantwoordelijkheid blijven nog steeds beoordelen en behandelen. Daarbij hoort het vergelijken van de werkelijke rapportscope met het eigen gebruik.
De clouddienst afbakenen.
Bespreek hoe u de redactionele C5-catalogus in Secani kunt behandelen.
Deze pagina duidt C5 op algemeen niveau en vervangt noch de originele catalogus, noch een deskundig onderzoek. De afgesproken uitgave, concrete onderzoeksopdracht en toepasselijke voorschriften zijn bepalend.