BSI C5:2026 Kriterienkatalog

Der BSI C5 Kriterienkatalog (Cloud Computing Compliance Criteria Catalogue) des Bundesamtes für Sicherheit in der Informationstechnik (BSI) definiert einen detaillierten Anforderungskatalog für die Informationssicherheit von Cloud-Diensten. Er umfasst 17 technische und organisatorische Prüffelder – von der physischen Rechenzentrumssicherheit über Kryptografie und Schlüsselverwaltung bis hin zum Umgang mit Sicherheitsvorfällen und Subdienstleistern.

Im Unterschied zu einfachen Selbstauskünften oder einmaligen Zertifikaten erfordert ein vollwertiges C5-Typ-2-Testat eine unabhängige Prüfung durch Wirtschaftsprüfer über einen rückblickenden Zeitraum von in der Regel sechs bis zwölf Monaten. Geprüft wird dabei nicht nur, ob Sicherheitsrichtlinien auf dem Papier existieren, sondern ob diese im täglichen Betrieb nachweislich eingehalten wurden.**

Welche Rolle das C5-Testat bei der Anbieterauswahl im Mittelstand spielt

Für IT-Leiter, Einkäufer und Informationssicherheitsbeauftragte bietet der BSI C5 eine strukturierte Vergleichsgrundlage bei der Auswahl von Hosting-, IaaS- und SaaS-Anbietern. Im Gesundheitswesen, bei öffentlichen Auftraggebern sowie für regulierte Unternehmen und deren Lieferketten (etwa im Umfeld von NIS-2**) wird ein aktueller C5-Prüfbericht zunehmend als technischer Qualitätsnachweis vorausgesetzt.

Besonders aufschlussreich für Auftraggeber sind die verpflichtenden Umfeldparameter im C5-Bericht: Darin muss der Cloud-Anbieter transparent angeben, an welchen Standorten Daten verarbeitet werden, aus welchen Ländern der technische Support erfolgt und welchen staatlichen Offenlegungspflichten das Unternehmen unterliegt.

Warum das bloße Werbelogo „C5-testiert“ für Kunden nicht ausreicht

In Ausschreibungen und Einkaufsgesprächen verlassen sich Unternehmen häufig auf den pauschalen Hinweis, ein Anbieter verfüge über ein C5-Testat, ohne den eigentlichen Prüfbericht einzusehen. In der Praxis gilt das Testat oft nur für den reinen Basis-Serverbetrieb (IaaS), während neuere Zusatzdienste (wie KI-Module oder kollaborative SaaS-Funktionen) gar nicht im Prüfumfang (Scope) enthalten waren.

Noch wichtiger sind die im Bericht aufgeführten korrespondierenden Kundenkriterien (Customer Complementary Controls): Das C5-Testat beschreibt ganz konkret, welche Sicherheitsmaßnahmen der Kunde selbst konfigurieren muss (z. B. Multi-Faktor-Authentifizierung, Protokollierung, eigene Schlüsselverwaltung), damit die Sicherheitskette überhaupt greift.

3 Prüfschritte für den IT-Einkauf und Lieferanten-Audits

• Vollständigen C5-Typ-2-Bericht statt Kurz-Zertifikat anfordern: Lassen Sie sich vor Vertragsabschluss den aktuellen Prüfbericht vorlegen und prüfen Sie, ob genau die von Ihnen genutzten Dienste und Rechenzentrumsregionen im Prüfumfang enthalten sind.
• Umfeldparameter auf Support-Standorte und Subunternehmer prüfen: Kontrollieren Sie im Bericht, welche Drittfirmen Zugriff auf die Server-Infrastruktur haben und aus welchen Rechtsräumen Fernwartungen durchgeführt werden.
• Kundenpflichten als Checkliste an das eigene IT-Team übergeben: Übertragen Sie alle „korrespondierenden Kundenkriterien“ aus dem C5-Bericht direkt in Ihre interne Betriebsdokumentation und setzen Sie diese technisch um.

**Verweise auf Gesetzestexte, Paragrafen (u. a. DSGVO, NIS-2, EU AI Act, DORA, GoBD, BetrVG) und Compliance-Normen dienen ausschließlich der unverbindlichen technischen Fachinformation für IT-Entscheider. Sie stellen keine Rechtsberatung nach dem Rechtsdienstleistungsgesetz (RDG) dar; für eine rechtsverbindliche Beurteilung Ihrer spezifischen Unternehmensorganisation konsultieren Sie bitte Ihren Rechtsbeistand oder Datenschutzbeauftragten.