BSI C5.
Katalog kryteriów dla usług chmurowych, wybór właściwego rodzaju raportu i ustalenie odpowiedzialności dostawcy oraz klienta.
- BSI C5:2026 · C5:2020 w okresie przejściowym
- Autor: Jonathan Bezdek
- Stan na: 22.10.2026
- Czas czytania: 6 min
Krótka odpowiedź.
BSI C5 to katalog kryteriów bezpieczeństwa informacji usług chmurowych. Niezależny biegły rewident bada opisaną usługę i wydaje poświadczenie z raportem. C5:2026 rozróżnia ocenę na określony dzień i dodatkową weryfikację skuteczności operacyjnej w danym okresie. Klienci samodzielnie oceniają raport i pozostałe własne zadania bezpieczeństwa; BSI nie wydaje certyfikatu.
BSI C5 i katalog kryteriów bezpieczeństwa chmury.
BSI C5 tworzy wspólną podstawę do badania i oceny zobowiązań bezpieczeństwa usługi chmurowej. Pełna nazwa brzmi Cloud Computing Compliance Criteria Catalogue. BSI publikuje katalog; dostawca zleca badanie biegłemu rewidentowi. Strona wprowadzająca BSI wyraźnie rozdziela te role: urząd nie wybiera rewidentów ani nie ocenia poszczególnych raportów.
Opublikowaną wersją jest C5:2026. C5:2020 pozostaje istotny dla określonych badań w okresie przejściowym. Dlatego przy ustalaniu zlecenia należy łącznie określić wydanie, rodzaj raportu i granicę czasową. Informacja „zbadano według C5” nie wyjaśnia, jaką usługę zbadano i na jakich warunkach; nie wystarcza do decyzji zakupowej.
C5:2026, sekcja 3.5, przewiduje nowe wydanie dla dni odniesienia typu 1 od 1 czerwca 2027 r. i okresów badania typu 2 rozpoczynających się od tego dnia; możliwe jest wcześniejsze zastosowanie. Okresy typu 2 rozpoczęte wcześniej i kończące się po tej dacie mają być jednolicie badane jeszcze według C5:2020. Dla okresów kończących się od 28 lutego 2027 r. przewidziano już dodatkowe informacje o planowanych zmianach zabezpieczeń. Konkretną sytuację przejściową należy uzgodnić z rewidentem.
Dla kogo istotne jest poświadczenie C5.
Dostawcy chmury korzystają z C5, aby przejrzyście przedstawiać klientom prace nad bezpieczeństwem wyodrębnionej usługi. Klienci i zespoły zakupowe otrzymują informacje do własnej oceny ryzyka. Raport może dotyczyć infrastruktury, platform lub oprogramowania; rozstrzyga jego rzeczywisty zakres. Zgodnie z FAQ BSI wnioski dotyczą zbadanych usług i regionów, a nie ogólnie wszystkich ofert grupy.
To, czy wymagane jest poświadczenie C5, zależy od zastosowania i jego wymagań. Należy osobno sprawdzić umowy z klientami, warunki zakupowe i właściwe reguły sektorowe. Istniejący raport nie rozstrzyga też automatycznie, czy usługa nadaje się do informacji wymagających szczególnej ochrony. Strona wprowadzająca BSI przypisuje klientowi ocenę jego wymagań i pozostałych ryzyk.
Jakie prace łączy katalog kryteriów C5.
C5 uwzględnia organizację bezpieczeństwa usługi chmurowej, warunki jej działania i podział zadań. Poniższe sześć obszarów stanowi praktyczną orientację w przygotowaniu; nie zastępuje kryteriów z rozdziału 5 ani uzgodnionego planu badania.
Umocowanie odpowiedzialności w usłudze.
Należy przypisać decyzje, zadania operacyjne i przeglądy właściwym osobom. Opis organizacyjny powinien wskazywać, kto może działać przy niezgodności i kto monitoruje jej usunięcie. Pozwala to uniknąć założenia, że sama koordynująca funkcja bezpieczeństwa przejmuje wszystkie zadania operacyjne.
Wyodrębnienie usługi i zależności.
Należy opisać świadczenia, regiony i dostawców wspierających objętych oceną. Zależność techniczna może być istotna dla bezpieczeństwa także wtedy, gdy jest umownie zlecona na zewnątrz. Trzeba przejrzyście zapisać otrzymywane zapewnienia i zadania pozostające we własnej działalności.
Ochrona dostępów i informacji.
Należy analizować postępowanie z informacjami klientów w rzeczywistym przebiegu usługi. Praktyczny przegląd obejmuje ścieżki użytkowników i administratorów oraz odpowiedzialność za konfigurację i uprawnienia. Trzeba także sprawdzić przekazania między dostawcą i klientem; bezpiecznie eksploatowana podstawa sama nie rozstrzyga kwestii konfiguracji klienta.
Przejrzyste działanie i zmiany.
Należy łączyć ustalone procedury z zapisami ich stosowania. Zmiana usługi może dotyczyć innych dowodów i osób odpowiedzialnych niż niezmieniony okres eksploatacji. W przygotowaniu pomaga więc umieszczenie istotnych zmian w czasie i dostępność właściwych dokumentów, zamiast prezentowania wyłącznie obecnego stanu.
Przygotowanie na zakłócenia.
Należy ustalić odpowiedzialność za incydenty, komunikację i wznowienie działania. Praktyczne ćwiczenie może pokazać, czy działają przekazania i eskalacje. Ćwiczenia należy oznaczać jako ćwiczenia i zachowywać wyniki; zdarzenia fikcyjne nie mogą występować jako historyczne dowody działalności. Szczegółową organizację dowodów omawia istniejący artykuł o C5.
Zapewnienie przejrzystości klientom.
C5:2026, rozdział 4, opisuje warunki ramowe potrzebne klientom do oceny. Zakres badania i pozostałe zadania klientów należy przekazać tak, aby odbiorcy mogli odnieść je do własnego użycia. Ogólna deklaracja bezpieczeństwa jest mniej pomocna niż zrozumiały opis konkretnej granicy odpowiedzialności i możliwych ograniczeń.
Droga do poświadczenia C5.
Ustalenie potrzeb dowodowych.
Na początek należy określić, którzy klienci oczekują raportu dla jakiej usługi oraz jakie wydanie, rodzaj raportu i granica czasowa są odpowiednie.
Opis zakresu badania.
Należy wyodrębnić usługi, regiony, uczestniczące organizacje i zależności tak, aby planowany rewident mógł ocenić zlecenie i jego interfejsy.
Przygotowanie działania zabezpieczeń.
Należy ustalić właściwe kryteria i odpowiedzialność z odpowiednimi zespołami oraz uzgodnić oczekiwane dowody przed rozpoczęciem planowanego okresu oceny.
Zachowanie zapisów operacyjnych.
Należy zachowywać przejrzyste dowody dla uzgodnionej granicy czasowej oraz zapisywać zmiany i wykryte niezgodności zgodnie z ich rzeczywistym przebiegiem.
Zlecenie niezależnego badania.
Należy zlecić odpowiednie badanie biegłemu rewidentowi i wyjaśnić istniejące dokumenty, bez przedstawiania późniejszych ulepszeń jako wcześniejszego stanu zabezpieczeń.
Ocena raportu i dalsza aktualizacja.
Z perspektywy klienta należy łącznie ocenić wnioski, zakres, okres i ograniczenia oraz uzgodnić dalsze pokrycie dowodowe dla bieżącego użycia.
Co wykazuje poświadczenie C5.
Poświadczenie C5 zawiera wynik niezależnego badania opisanej usługi chmurowej. Zgodnie z C5:2026, sekcja 3.4.4, typ 1 uwzględnia zaprojektowanie i wdrożenie na określony dzień; typ 2 dodatkowo skuteczność operacyjną w danym okresie. Raport na dany dzień odpowiada więc na inne pytanie niż raport dotyczący bieżącej działalności.
Typ 2 nie wymaga wcześniejszego raportu typu 1. C5:2026, sekcja 3.4.11, przewiduje typ 1 wyłącznie przy pierwszym badaniu. Właściwe badanie zależy od zlecenia, stanu wyjściowego i potrzeb dowodowych. Należy analizować pełny raport i jego ograniczenia wraz z opisem systemu; strona tytułowa lub prezentacja dostawcy nie zastępuje tej oceny.
Poświadczenie C5 nie ma ogólnego okresu ważności na wzór certyfikatu. Dotyczy wskazanego dnia lub okresu. FAQ BSI wyjaśnia, że starszy raport może tracić wartość dla obecnej oceny ryzyka. Nowe regiony, istotne zmiany usługi lub brak czasowego pokrycia dowodowego należy więc uwzględnić w aktualnej decyzji klienta.
Relacje z innymi ramami i standardami.
ISO 27001 dotyczy systemu zarządzania bezpieczeństwem informacji i możliwego potwierdzenia certyfikacyjnego. SOC 2 jest osobnym systemem raportowania z innymi kryteriami i warunkami zlecenia. RODO ustanawia obowiązki ustawowe dotyczące danych osobowych; poświadczenie C5 nie zastępuje ich analizy ani zadań administratora.
W Secani.
Secani udostępnia autorską pomoc roboczą dotyczącą BSI C5:2026. Dane profilu obejmują między innymi dostawcę chmury, klienta, kryteria dodatkowe, ocenę typu 2 i poddostawców usług. Katalog wspiera uporządkowaną pracę; nie jest urzędowym tłumaczeniem ani poświadczeniem. Ocena merytoryczna i niezależna decyzja z badania pozostają osobnymi zadaniami.
Początek od wyodrębnionej usługi chmurowej.
Należy wybrać konkretnie nazwaną usługę i zapisać potrzeby klienta. Opisać region, odpowiedzialność i istotne zależności. Następnie ustalić z planowanym rewidentem potrzebne wydanie i rodzaj raportu. Tworzy to wiarygodną podstawę dalszego przygotowania.
Najczęstsze pytania.
Nie. BSI publikuje katalog kryteriów; raport i poświadczenie sporządza zaangażowany biegły rewident. Nie wydaje się przy tym certyfikatu BSI.
Typ 1 uwzględnia zaprojektowanie i wdrożenie na określony dzień. Typ 2 dodatkowo bada skuteczność operacyjną we wskazanym okresie; wcześniejszy raport typu 1 nie jest wymagany.
Nie można podać ogólnego okresu ważności. Raport dotyczy danego dnia lub okresu; klienci muszą ocenić jego dopasowanie do obecnego użycia, zmian i potrzebnego pokrycia dowodowego.
Nie. Klienci nadal muszą oceniać i realizować zadania oraz zarządzać ryzykami pozostającymi w ich odpowiedzialności. Obejmuje to porównanie rzeczywistego zakresu raportu z własnym użyciem.
Wyodrębnienie usługi chmurowej.
Porozmawiajmy o pracy z autorskim katalogiem C5 w Secani.
Strona ogólnie objaśnia C5 i nie zastępuje oryginalnego katalogu ani oceny merytorycznej. Rozstrzygające są uzgodnione wydanie, konkretne zlecenie badania i właściwe wymagania.