BSI C5.
Enquadre o catálogo de critérios para serviços na nuvem, escolha o tipo de relatório adequado e esclareça as responsabilidades do prestador e do cliente.
- BSI C5:2026 · C5:2020 em transição
- Por Jonathan Bezdek
- Atualizado em: 22/10/2026
- Tempo de leitura: 9 min.
Resposta breve.
O BSI C5 é um catálogo de critérios de segurança da informação para serviços na nuvem. Uma auditoria independente examina o serviço descrito e emite uma atestação com relatório. O C5:2026 distingue avaliações numa data da avaliação adicional da eficácia operacional durante um período. Os clientes avaliam o relatório e as tarefas de segurança restantes; o BSI não emite certificados.
BSI C5 e o catálogo de critérios de segurança na nuvem.
O BSI C5 cria uma base comum para verificar e avaliar os compromissos de segurança de um serviço na nuvem. A designação completa é Cloud Computing Compliance Criteria Catalogue. O BSI publica o catálogo; o prestador contrata a avaliação a um profissional de auditoria financeira. A página introdutória do BSI distingue expressamente estes papéis: a autoridade não seleciona os auditores nem avalia os relatórios individuais.
A versão publicada é o C5:2026. Durante a transição, o C5:2020 continua relevante para determinadas avaliações. Por isso, a edição, o tipo de relatório e a delimitação temporal devem ser esclarecidos em conjunto na contratação. Uma indicação como «avaliado segundo o C5» deixa em aberto que serviço foi examinado e em que condições; não é suficiente para uma decisão de aquisição.
O C5:2026, secção 3.5, prevê a nova edição para datas de referência de tipo 1 a partir de 1 de junho de 2027 e períodos de avaliação de tipo 2 que comecem a partir dessa data; é possível a aplicação antecipada. Os períodos de tipo 2 iniciados anteriormente que ultrapassem essa data devem ainda ser avaliados integralmente segundo o C5:2020. Para períodos que terminem a partir de 28 de fevereiro de 2027, já se preveem informações adicionais sobre alterações de controlos planeadas. Acorde a situação de transição concreta com o auditor.
Para quem é relevante uma atestação C5.
Os prestadores de serviços na nuvem utilizam o C5 para tornar o trabalho de segurança de um serviço delimitado compreensível para os clientes. Os clientes e as equipas de compras recebem informação para a sua própria avaliação de riscos. Um relatório pode abranger infraestrutura, plataformas ou software; o seu âmbito real é determinante. Segundo as perguntas frequentes do BSI, as conclusões aplicam-se aos serviços e regiões avaliados, e não genericamente a todas as ofertas de um grupo.
A exigência de uma atestação C5 depende da utilização e dos respetivos requisitos. Analise separadamente os contratos de clientes, as condições de aquisição e as regras setoriais aplicáveis. Um relatório existente também não responde automaticamente se um serviço é adequado a informação com necessidades especiais de proteção. A página introdutória do BSI atribui ao cliente a avaliação dos seus requisitos e dos riscos remanescentes.
O trabalho reunido pelo catálogo de critérios C5.
O C5 considera a organização de segurança do serviço na nuvem, as suas condições de operação e a repartição de tarefas. As seis áreas seguintes são uma orientação prática para a preparação; não substituem os critérios do capítulo 5 nem um planeamento de avaliação acordado.
Estabelecer responsabilidades no serviço.
Associe as decisões, as tarefas operacionais e as verificações às pessoas responsáveis. Uma descrição organizativa deve permitir reconhecer quem pode agir perante um desvio e quem acompanha a sua resolução. Isto evita presumir que a função de coordenação da segurança assume, por si só, todas as tarefas operacionais.
Delimitar o serviço e as dependências.
Descreva os serviços, as regiões e os prestadores de apoio abrangidos pelas conclusões. Uma dependência técnica pode ser importante para a segurança mesmo que esteja contratualmente externalizada. Registe de forma rastreável as garantias recebidas de terceiros e as tarefas que permanecem na operação própria.
Proteger os acessos e a informação.
Considere o tratamento da informação dos clientes ao longo do serviço real. Um levantamento prático inclui os percursos dos utilizadores e dos administradores e a responsabilidade pela configuração e pelas permissões. Verifique também as passagens entre prestador e cliente; uma infraestrutura operada em segurança não responde, por si só, às questões de configuração do cliente.
Manter a operação e as alterações rastreáveis.
Relacione os procedimentos definidos com registos da sua aplicação. Uma alteração ao serviço pode envolver evidências e responsáveis diferentes de uma fase de operação sem alterações. Por isso, na preparação, é útil situar temporalmente as alterações relevantes e manter documentação adequada disponível, em vez de mostrar apenas o estado atual.
Estar preparado para perturbações.
Esclareça as responsabilidades por incidentes, comunicação e retoma. Um exercício prático pode mostrar se as passagens e as escaladas funcionam. Identifique os exercícios como tal e conserve os resultados; eventos fictícios não podem ser apresentados como evidências históricas da operação. O artigo C5 existente aprofunda a organização das evidências.
Criar transparência para os clientes.
O C5:2026, capítulo 4, descreve condições de enquadramento necessárias à avaliação pelos clientes. Comunique o âmbito da avaliação e as tarefas remanescentes do cliente de modo que os leitores possam enquadrar a sua utilização. Uma afirmação geral de segurança ajuda menos do que uma descrição compreensível dos limites concretos de responsabilidade e de possíveis restrições.
O percurso para a atestação C5.
Esclarecer a necessidade de demonstração.
Como ponto de partida prático, identifique os clientes que esperam um relatório, para que serviço e que edição, tipo de relatório e delimitação temporal são adequados.
Descrever o âmbito da avaliação.
Delimite os serviços, as regiões, as organizações envolvidas e as dependências para que o auditor previsto possa avaliar o mandato e as suas interfaces.
Preparar a operação dos controlos.
Esclareça os critérios e as responsabilidades aplicáveis com as equipas responsáveis e acorde as evidências esperadas antes do início do período de análise previsto.
Conservar os registos operacionais.
Conserve evidências rastreáveis para a delimitação temporal acordada e registe as alterações e os desvios detetados com a sua evolução real.
Obter uma avaliação independente.
Contrate uma auditoria adequada e explique a documentação existente sem apresentar melhorias posteriores como um estado anterior dos controlos.
Avaliar e atualizar o relatório.
Na perspetiva do cliente, analise em conjunto as conclusões, o âmbito, o período e as restrições e acorde a cobertura futura de evidências para a utilização contínua.
O que comprova uma atestação C5.
Uma atestação C5 contém o resultado de uma avaliação independente do serviço na nuvem descrito. Segundo o C5:2026, secção 3.4.4, o tipo 1 considera a conceção e a implementação numa data de referência; o tipo 2 inclui também a eficácia operacional durante um período. Por isso, um relatório referente a uma data responde a uma questão diferente de um relatório sobre a operação contínua.
O tipo 2 não exige um relatório prévio de tipo 1. O C5:2026, secção 3.4.11, prevê o tipo 1 apenas para a primeira avaliação. A avaliação adequada depende do mandato, da situação inicial e da necessidade de demonstração. Analise o relatório completo e as suas restrições juntamente com a descrição do sistema; uma capa ou uma apresentação do prestador não substituem esta avaliação.
Uma atestação C5 não tem uma validade geral semelhante à de um certificado. Refere-se à data ou ao período indicado. As perguntas frequentes do BSI explicam que um relatório antigo pode perder utilidade para a avaliação atual dos riscos. Por isso, novas regiões, alterações substanciais do serviço ou lacunas de cobertura temporal das evidências devem integrar a decisão atual do cliente.
Enquadrar outros referenciais.
A ISO 27001 diz respeito a um sistema de gestão da segurança da informação e à sua possível certificação. O SOC 2 é um sistema de relatórios próprio, com outros critérios e condições de contratação. O RGPD estabelece obrigações legais relativas a dados pessoais; uma atestação C5 não substitui a sua análise nem as tarefas do responsável pelo tratamento.
No Secani.
O Secani disponibiliza um apoio editorial de trabalho relativo ao BSI C5:2026. Os dados de perfil registam, entre outros, o prestador e o cliente de serviços na nuvem, critérios adicionais, a análise de tipo 2 e subprestadores. O catálogo apoia um trabalho estruturado; não é uma tradução oficial nem uma atestação. A apreciação técnica e a decisão de avaliação independente continuam a ser tarefas próprias.
Começar por um serviço na nuvem delimitado.
Escolha um serviço com identificação concreta e registe a necessidade do cliente. Descreva a região, as responsabilidades e as dependências materiais. Esclareça depois com o auditor previsto que edição e tipo de relatório são necessários para estas conclusões. Assim, cria-se uma base sólida para a preparação seguinte.
Perguntas frequentes.
Não. O BSI publica o catálogo de critérios; uma auditoria contratada produz o relatório de avaliação e a atestação. Não é emitido um certificado do BSI.
O tipo 1 considera a conceção e a implementação numa data de referência. O tipo 2 verifica adicionalmente a eficácia operacional durante o período indicado; não exige um relatório prévio de tipo 1.
Não é possível indicar uma duração geral. O relatório refere-se à sua data ou período; os clientes devem avaliar se corresponde à utilização atual, às alterações e à cobertura de evidências necessária.
Não. Os clientes devem continuar a avaliar e tratar as tarefas e os riscos que permanecem na sua esfera de responsabilidade. Isto inclui comparar o âmbito real do relatório com a sua própria utilização.
Delimite o serviço na nuvem.
Fale connosco sobre como trabalhar o catálogo editorial C5 no Secani.
Esta página enquadra o C5 em termos gerais e não substitui o catálogo original nem uma avaliação técnica. Prevalecem a edição acordada, o mandato de avaliação concreto e os requisitos aplicáveis.