Was es ist

Der C5 spezifiziert Mindestanforderungen an sicheres Cloud Computing für Cloud-Anbieter, deren Prüfer und Kunden. Er enthält nur prüfbare Kriterien und schreibt keine Maßnahmen vor. Erstveröffentlichung 2016.

Herausgeber und Fassung

• BSI. C5:2026 seit Ende März 2026 final, zuvor Community Draft; 168 Kriterien mit Unterkriterien. Baut auf C5:2020 auf und berücksichtigt EUCS (Level Substantial), CSA Cloud Controls Matrix Version 4, ISO/IEC 27001:2022 und die NIS2-Richtlinie.
• C5:2020 mit 121 Kriterien bleibt auf der BSI-Seite verlinkt.

Struktur

17 Themengebiete. Basiskriterien müssen für ein Testat alle erfüllt sein; Zusatzkriterien bei höherem Schutzbedarf (C5:2026 unterscheidet verschärfende und ergänzende Kriterien). Zum Bericht gehört eine Systembeschreibung mit Angaben unter anderem zu Verfügbarkeit, Subdienstleistern, RZ-Standorten und dem Umgang mit Ermittlungsanfragen staatlicher Stellen.

Wer prüft

Ein vom Cloud-Anbieter beauftragter Prüfer nach ISAE 3000, in Deutschland IDW PS 860. Das BSI ist an Auswahl und Prüfung nicht beteiligt und wertet die Berichte nicht aus. Es gibt kein Zertifizierungsverfahren und keine C5-Zertifikate.

Prüfungsarten und Zyklus

• Typ 1: Angemessenheit und Einrichtung der Kontrollen zu einem Zeitpunkt; nur für die Erstprüfung empfohlen.
• Typ 2: zusätzlich Wirksamkeit über einen Zeitraum, typisch sechs oder zwölf Monate; vom BSI für erforderlich gehalten.
• Das BSI empfiehlt Kunden, den Bericht anzufordern und danach jährlich neu anzufordern.

Bezug zum Rechenzentrum

Die Systembeschreibung nennt die RZ-Standorte des Dienstes; der Katalog betrifft den Cloud-Dienst, nicht das Gebäude.

Abgrenzung

• ISO/IEC 27001 und ISO 27001 auf Basis von IT-Grundschutz: Zertifikate eines ISMS. Vorhandene Zertifikate anderer Standards werden im C5-Testat in der Regel nicht anerkannt.
• SOC 2: vergleichbare Berichtsform nach US-Standard.

Verhältnis zu NIS2, DORA, KRITIS

C5:2026 berücksichtigt die NIS2-Richtlinie.