BSI C5.
Förstå kriteriekatalogen för molntjänster, välj rätt rapporttyp och klargör leverantörens och kundens ansvar.
- BSI C5:2026 · C5:2020 under övergången
- Av Jonathan Bezdek
- Aktuellt per: 2026-10-22
- Lästid: 6 min.
Kort svar.
BSI C5 är en kriteriekatalog för molntjänsters informationssäkerhet. En oberoende revisor granskar den beskrivna tjänsten och utfärdar ett intyg med granskningsrapport. C5:2026 skiljer mellan uttalanden för en viss tidpunkt och kompletterande granskning av operativ effektivitet över en period. Kunder bedömer själva rapporten och kvarvarande säkerhetsuppgifter. BSI utfärdar inget certifikat.
BSI C5 och kriteriekatalogen för molnsäkerhet.
BSI C5 skapar en gemensam grund för att granska och bedöma säkerhetsåtaganden för en molntjänst. Det fullständiga namnet är Cloud Computing Compliance Criteria Catalogue. BSI publicerar katalogen. Leverantören beställer granskningen av en revisor. BSI:s introduktionssida skiljer uttryckligen mellan rollerna: myndigheten väljer inte revisorerna och bedömer inte enskilda rapporter.
Den publicerade versionen är C5:2026. C5:2020 är under övergången fortsatt relevant för vissa granskningar. Utgåva, rapporttyp och tidsgräns behöver därför klargöras tillsammans i uppdraget. Uppgiften ”C5-granskad” lämnar öppet vilken tjänst som undersökts under vilka förutsättningar. Den räcker inte för ett upphandlingsbeslut.
C5:2026 avsnitt 3.5 föreskriver den nya utgåvan för typ 1-tidpunkter från den 1 juni 2027 och typ 2-granskningsperioder som börjar från den dagen. Tidigare tillämpning är möjlig. Typ 2-perioder som börjar före och sträcker sig förbi datumet ska fortfarande granskas enhetligt enligt C5:2020. För perioder som slutar från den 28 februari 2027 föreskrivs redan ytterligare uppgifter om planerade kontrolländringar. Stäm av det konkreta övergångsläget med revisorn.
Vem ett C5-intyg är relevant för.
Molnleverantörer använder C5 för att göra säkerhetsarbetet för en avgränsad tjänst spårbart för kunder. Kunder och inköpsteam får information för sin egen riskbedömning. En rapport kan gälla infrastruktur, plattformar eller programvara. Dess faktiska omfattning är avgörande. Enligt BSI:s vanliga frågor gäller uttalandet granskade tjänster och regioner, inte generellt alla erbjudanden i en koncern.
Om ett C5-intyg krävs beror på respektive användning och dess krav. Pröva kundavtal, upphandlingsvillkor och tillämpliga sektorsregler separat. En befintlig rapport besvarar inte heller automatiskt om en tjänst lämpar sig för särskilt skyddsvärd information. BSI:s introduktionssida lägger bedömningen av egna krav och kvarvarande risker på kunden.
Vilket arbete C5-kriteriekatalogen samlar.
C5 granskar molntjänstens säkerhetsorganisation, driftsvillkor och uppgiftsfördelning. Följande sex arbetsområden ger praktisk orientering inför förberedelserna. De ersätter varken kriterierna i kapitel 5 eller en avstämd granskningsplan.
Förankra ansvaret i tjänsten.
Fördela beslut, operativa uppgifter och granskningar på ansvariga personer. En organisationsbeskrivning bör visa vem som får agera vid en avvikelse och vem som följer upp avhjälpandet. Detta motverkar antagandet att enbart den samordnande säkerhetsfunktionen tar över alla operativa uppgifter.
Avgränsa tjänst och beroenden.
Beskriv vilka leveranser, regioner och stödjande leverantörer som ingår i uttalandet. Ett tekniskt beroende kan vara betydelsefullt för säkerheten även när det avtalats bort till en extern part. Dokumentera spårbart vilka garantier ni får från andra och vilka uppgifter som kvarstår i den egna driften.
Skydda åtkomst och information.
Bedöm hanteringen av kundinformation längs den faktiska tjänsten. En praktisk kartläggning omfattar användar- och administratörsvägar samt ansvar för konfiguration och behörigheter. Granska även överlämningar mellan leverantör och kund. En säkert driven grundinfrastruktur besvarar inte själv kundens konfigurationsfrågor.
Håll drift och förändringar spårbara.
Koppla fastställda förfaranden till dokumentation från deras tillämpning. En ändring av tjänsten kan beröra andra underlag och ansvariga än en oförändrad driftsfas. För förberedelserna är det därför värdefullt att tidsbestämma relevanta förändringar och ha lämpliga handlingar tillgängliga i stället för att enbart visa dagens tillstånd.
Var förberedda på störningar.
Klargör ansvar för incidenter, kommunikation och återstart. En praktisk övning kan visa om överlämningar och eskaleringar fungerar. Märk övningar som sådana och bevara resultaten. Fiktiva händelser får inte framstå som historiska driftsunderlag. Den befintliga C5-bloggen behandlar den fördjupade organiseringen av underlag.
Skapa transparens för kunder.
C5:2026 kapitel 4 beskriver ramvillkor som kunder behöver för sin bedömning. Förmedla granskningens omfattning och kvarvarande kunduppgifter så att läsare kan bedöma sin egen användning. Ett allmänt säkerhetspåstående hjälper mindre än en begriplig beskrivning av den konkreta ansvarsgränsen och möjliga begränsningar.
Vägen till C5-intyget.
Klargör underlagsbehovet.
Börja praktiskt med att fastställa vilka kunder som förväntar sig en rapport för vilken tjänst och vilken utgåva, rapporttyp och tidsgräns som passar.
Beskriv granskningens omfattning.
Avgränsa tjänster, regioner, medverkande organisationer och beroenden så att den tilltänkta revisorn kan bedöma uppdraget och dess gränssnitt.
Förbered kontrollernas drift.
Klargör tillämpliga kriterier och ansvar med berörda team och stäm av förväntade underlag före den avsedda bedömningsperiodens början.
Bevara driftsdokumentation.
Bevara spårbara underlag för den överenskomna tidsgränsen och dokumentera förändringar och upptäckta avvikelser med deras faktiska förlopp.
Låt granska oberoende.
Anlita en lämplig revisor och förklara befintliga handlingar utan att framställa senare förbättringar som ett tidigare kontrolltillstånd.
Utvärdera och uppdatera rapporten.
Granska uttalande, omfattning, period och begränsningar tillsammans ur kundperspektiv och kom överens om fortsatt underlagstäckning för den löpande användningen.
Vad ett C5-intyg styrker.
Ett C5-intyg innehåller resultatet av en oberoende granskning av den beskrivna molntjänsten. Enligt C5:2026 avsnitt 3.4.4 avser typ 1 utformning och införande vid en viss tidpunkt. Typ 2 omfattar dessutom operativ effektivitet under en period. En rapport för en tidpunkt besvarar därför en annan fråga än en rapport om löpande drift.
Typ 2 förutsätter ingen tidigare typ 1-rapport. C5:2026 avsnitt 3.4.11 föreskriver typ 1 endast för den första granskningen. Vilken granskning som är lämplig beror på uppdrag, utgångsläge och underlagsbehov. Granska hela rapporten och dess begränsningar tillsammans med systembeskrivningen. En förstasida eller leverantörspresentation kan inte ersätta bedömningen.
Ett C5-intyg har ingen allmän giltighetstid enligt certifikatmodellen. Det avser angiven tidpunkt eller period. BSI:s vanliga frågor förklarar att en äldre rapport kan förlora sitt värde för dagens riskbedömning. Nya regioner, väsentliga tjänsteändringar eller saknad tidsmässig underlagstäckning hör därför till det aktuella kundbeslutet.
Förhållandet till andra ramverk.
ISO 27001 gäller ett ledningssystem för informationssäkerhet och dess möjliga certifiering. SOC 2 är ett eget rapportsystem med andra kriterier och uppdragsvillkor. GDPR medför lagstadgade skyldigheter för personuppgifter. Ett C5-intyg ersätter inte prövningen av dessa eller den personuppgiftsansvariges uppgifter.
I Secani.
Secani tillhandahåller ett redaktionellt hjälpmedel för BSI C5:2026. Profiluppgifter omfattar bland annat molnleverantör, molnkund, tilläggskriterier, typ 2-bedömning och underleverantörer. Katalogen stöder ett strukturerat arbete. Den är ingen officiell översättning och inget intyg. Sakkunnig bedömning och det oberoende granskningsbeslutet förblir egna uppgifter.
Börja med en avgränsad molntjänst.
Välj en konkret namngiven tjänst och dokumentera kundbehovet. Beskriv region, ansvar och väsentliga beroenden. Klargör sedan med den tilltänkta revisorn vilken utgåva och rapporttyp som behövs för uttalandet. Detta skapar en tillförlitlig grund för de fortsatta förberedelserna.
Vanliga frågor.
Nej. BSI publicerar kriteriekatalogen. En anlitad revisor upprättar granskningsrapport och intyg. Inget BSI-certifikat utfärdas.
Typ 1 avser utformning och införande vid en viss tidpunkt. Typ 2 granskar dessutom operativ effektivitet under angiven period. En tidigare typ 1-rapport krävs inte.
Någon generell giltighetstid kan inte anges. Rapporten avser sin tidpunkt eller period. Kunder måste bedöma om den passar aktuell användning, förändringar och nödvändig underlagstäckning.
Nej. Kunder måste fortsatt bedöma och hantera kvarvarande uppgifter och risker inom sitt eget ansvarsområde. Det omfattar att jämföra rapportens faktiska omfattning med den egna användningen.
Avgränsa molntjänsten.
Diskutera hur ni kan arbeta med den redaktionella C5-katalogen i Secani.
Denna sida beskriver C5 övergripande och ersätter varken originalkatalogen eller en sakkunnig granskning. Överenskommen utgåva, konkret granskningsuppdrag och tillämpliga krav är avgörande.