BSI C5.
Înțelegeți catalogul de criterii pentru servicii cloud, alegeți tipul de raport potrivit și clarificați responsabilitatea furnizorului și a clientului.
- BSI C5:2026 · C5:2020 în tranziție
- De Jonathan Bezdek
- Actualizat la: 22.10.2026
- Timp de lectură: 7 min.
Răspuns pe scurt.
BSI C5 este un catalog de criterii pentru securitatea informației serviciilor cloud. Un auditor financiar independent examinează serviciul descris și emite o atestare cu raport de audit. C5:2026 distinge concluziile la o dată de referință de verificarea suplimentară a eficacității operaționale pe o perioadă. Clienții evaluează raportul și propriile sarcini de securitate rămase; BSI nu emite certificate.
BSI C5 și catalogul de criterii pentru securitatea cloud.
BSI C5 creează o bază comună pentru verificarea și evaluarea angajamentelor de securitate ale unui serviciu cloud. Denumirea completă este Cloud Computing Compliance Criteria Catalogue. BSI publică catalogul; furnizorul contractează auditul cu un auditor financiar. Pagina introductivă BSI separă explicit aceste roluri: autoritatea nu selectează auditorii și nu evaluează rapoartele individuale.
Versiunea publicată este C5:2026. C5:2020 rămâne relevant pe durata tranziției pentru anumite audituri. De aceea, ediția, tipul raportului și limitele temporale trebuie clarificate împreună în mandat. O mențiune precum „auditat C5” lasă deschis ce serviciu a fost examinat și în ce condiții; nu este suficientă pentru o decizie de achiziție.
C5:2026, secțiunea 3.5, prevede noua ediție pentru datele de referință de tip 1 începând cu 1 iunie 2027 și pentru perioadele de audit de tip 2 care încep de la această dată; aplicarea anticipată este posibilă. Perioadele de tip 2 care încep anterior și depășesc această dată trebuie auditate în continuare unitar conform C5:2020. Pentru perioadele care se încheie începând cu 28 februarie 2027, sunt deja prevăzute informații suplimentare despre modificările planificate ale controalelor. Clarificați situația concretă de tranziție cu auditorul.
Pentru cine este relevantă atestarea C5.
Furnizorii cloud utilizează C5 pentru a face trasabilă pentru clienți activitatea de securitate aferentă unui serviciu delimitat. Clienții și echipele de achiziții primesc informații pentru propria evaluare a riscurilor. Un raport poate privi infrastructuri, platforme sau software; decisiv este domeniul său efectiv. Conform întrebărilor frecvente BSI, concluzia se aplică serviciilor și regiunilor auditate, nu în mod general tuturor ofertelor unui grup.
Necesitatea unei atestări C5 depinde de utilizarea respectivă și de cerințele sale. Verificați separat contractele cu clienții, condițiile de achiziție și regulile sectoriale aplicabile. Un raport existent nu răspunde automat nici dacă un serviciu este potrivit pentru informații cu necesar de protecție deosebit. Pagina introductivă BSI atribuie clientului evaluarea propriilor cerințe și a riscurilor rămase.
Ce activități reunește catalogul de criterii C5.
C5 examinează organizarea securității serviciului cloud, condițiile sale de operare și împărțirea sarcinilor. Cele șase domenii de lucru următoare constituie o orientare practică pentru pregătire; ele nu înlocuiesc nici criteriile din capitolul 5, nici o planificare de audit convenită.
Integrați responsabilitatea în serviciu.
Atribuiți deciziile, sarcinile operaționale și verificările persoanelor competente. O descriere organizatorică ar trebui să arate cine poate acționa în cazul unei abateri și cine urmărește remedierea. Astfel se evită presupunerea că doar funcția coordonatoare de securitate preia toate sarcinile operaționale.
Delimitați serviciul și dependențele.
Descrieți ce prestații, regiuni și furnizori de sprijin sunt incluse în concluzie. O dependență tehnică poate fi semnificativă pentru securitate, chiar dacă este externalizată contractual. Consemnați în mod trasabil ce garanții primiți de la alții și ce sarcini rămân în propria operare.
Protejați accesul și informațiile.
Analizați gestionarea informațiilor clienților de-a lungul serviciului efectiv. O evaluare practică a situației include căile de acces ale utilizatorilor și administratorilor, precum și responsabilitatea pentru configurare și drepturi de acces. Verificați și punctele de transfer dintre furnizor și client; o infrastructură de bază operată sigur nu răspunde singură întrebărilor de configurare ale clientului.
Mențineți operarea și schimbările trasabile.
Corelați procedurile stabilite cu înregistrări ale aplicării lor. O schimbare a serviciului poate afecta alte dovezi și alți responsabili decât o etapă de operare neschimbată. Pentru pregătire este util, așadar, să situați temporal schimbările relevante și să păstrați disponibile documentele potrivite, în loc să arătați doar situația actuală.
Pregătiți-vă pentru perturbări.
Clarificați responsabilitățile pentru incidente, comunicare și reluarea activității. Un exercițiu practic poate arăta dacă transferurile și escaladările funcționează. Marcați exercițiile ca atare și păstrați rezultatele; evenimentele fictive nu trebuie să apară drept dovezi istorice de operare. Organizarea aprofundată a dovezilor este tratată în articolul C5 existent de pe blog.
Asigurați transparența pentru clienți.
C5:2026, capitolul 4, descrie condițiile de care clienții au nevoie pentru evaluare. Explicați domeniul auditului și sarcinile rămase ale clienților astfel încât cititorii să își poată încadra propria utilizare. O afirmație generală de securitate ajută mai puțin decât o descriere inteligibilă a limitei concrete a responsabilității și a posibilelor restricții.
Parcursul către atestarea C5.
Clarificați necesarul de dovezi.
Ca prim pas practic, identificați ce clienți așteaptă un raport pentru ce serviciu și ce ediție, tip de raport și limită temporală se potrivesc.
Descrieți domeniul auditului.
Delimitați serviciile, regiunile, organizațiile implicate și dependențele astfel încât auditorul avut în vedere să poată evalua mandatul și interfețele sale.
Pregătiți operarea controalelor.
Clarificați criteriile aplicabile și responsabilitățile cu echipele competente și conveniți dovezile așteptate înaintea începerii perioadei de analiză prevăzute.
Păstrați înregistrările operaționale.
Păstrați dovezi trasabile pentru intervalul temporal convenit și consemnați schimbările și abaterile identificate cu evoluția lor reală.
Solicitați un audit independent.
Contractați un auditor financiar potrivit și explicați documentele existente, fără a prezenta îmbunătățirile ulterioare drept starea anterioară a controalelor.
Evaluați și actualizați raportul.
Din perspectiva clientului, verificați împreună concluzia, domeniul, perioada și restricțiile și conveniți acoperirea ulterioară prin dovezi pentru utilizarea continuă.
Ce demonstrează o atestare C5.
O atestare C5 conține rezultatul unui audit independent al serviciului cloud descris. Conform C5:2026, secțiunea 3.4.4, tipul 1 examinează proiectarea și implementarea la o dată de referință; tipul 2 include suplimentar eficacitatea operațională pe parcursul unei perioade. Un raport la o dată de referință răspunde, așadar, unei alte întrebări decât un raport privind operarea continuă.
Tipul 2 nu presupune un raport de tip 1 anterior. C5:2026, secțiunea 3.4.11, prevede tipul 1 doar pentru primul audit. Auditul adecvat depinde de mandat, situația inițială și necesarul de dovezi. Verificați raportul complet și restricțiile sale împreună cu descrierea sistemului; o copertă sau o prezentare a furnizorului nu poate înlocui această evaluare.
O atestare C5 nu are o durată generală de valabilitate după modelul unui certificat. Se referă la data de referință sau perioada indicată. Întrebările frecvente BSI explică faptul că un raport mai vechi își poate pierde relevanța pentru evaluarea actuală a riscurilor. Regiunile noi, schimbările semnificative ale serviciului sau lipsa acoperirii temporale prin dovezi trebuie, așadar, incluse în decizia actuală a clientului.
Relația cu alte cadre de referință.
ISO 27001 privește un sistem de management al securității informației și posibila sa certificare. SOC 2 este un sistem distinct de raportare, cu alte criterii și condiții ale misiunii. RGPD instituie obligații legale privind datele cu caracter personal; o atestare C5 nu înlocuiește verificarea lor și sarcinile operatorului.
În Secani.
Secani oferă un instrument propriu de lucru pentru BSI C5:2026. Datele profilului includ, printre altele, furnizorul cloud, clientul cloud, criteriile suplimentare, analiza de tip 2 și subprestatorii. Catalogul sprijină gestionarea structurată; nu este o traducere oficială și nici o atestare. Evaluarea de specialitate și decizia de audit independent rămân sarcini distincte.
Începeți cu un serviciu cloud delimitat.
Selectați un serviciu numit concret și consemnați nevoia clientului. Descrieți regiunea, responsabilitățile și dependențele semnificative. Clarificați apoi cu auditorul avut în vedere ce ediție și ce tip de raport sunt necesare pentru această concluzie. Astfel se creează o bază solidă pentru pregătirea ulterioară.
Întrebări frecvente.
Nu. BSI publică catalogul de criterii; auditorul financiar contractat întocmește raportul de audit și atestarea. În acest proces nu se emite un certificat BSI.
Tipul 1 examinează proiectarea și implementarea la o dată de referință. Tipul 2 verifică suplimentar eficacitatea operațională pe parcursul perioadei indicate; nu este necesar un raport de tip 1 anterior.
Nu se poate indica o durată generală. Raportul se referă la data sa de referință sau la perioada sa; clienții trebuie să evalueze dacă se potrivește utilizării actuale, schimbărilor și acoperirii necesare prin dovezi.
Nu. Clienții trebuie în continuare să evalueze și să gestioneze sarcinile și riscurile rămase în propria sferă de responsabilitate. Aceasta include compararea domeniului efectiv al raportului cu propria utilizare.
Delimitați serviciul cloud.
Discutați despre cum puteți utiliza catalogul propriu C5 în Secani.
Această pagină prezintă C5 în termeni generali și nu înlocuiește catalogul original sau o verificare de specialitate. Ediția convenită, mandatul concret de audit și cerințele aplicabile sunt decisive.