C5 verstehen.
Den Einstieg planen.

C5 ist der Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik für die Informationssicherheit von Cloud-Diensten. Eine unabhängige Prüfung bewertet die Kontrollen des beschriebenen Dienstes. Der Prüfbericht hilft Kunden, den geprüften Umfang und verbleibende Risiken zu beurteilen.

Das Ergebnis ist ein Prüfbericht mit einem unabhängigen Prüfungsurteil, häufig C5-Testat genannt. Der Suchbegriff „C5-Zertifizierung“ ist verbreitet, beschreibt diesen Nachweis aber ungenau. Das BSI veröffentlicht den Katalog; es stellt selbst kein C5-Testat für Ihren Dienst aus.

Für Cloud-, SaaS- und Infrastruktur-Anbieter, deren Kunden einen Nachweis über Sicherheitskontrollen verlangen. Entscheidend sind der konkrete Cloud-Dienst und die Anforderungen der Kunden, nicht allein die Unternehmensgröße.

Typ 1 betrachtet die Ausgestaltung und Einrichtung der Kontrollen zu einem Stichtag. Typ 2 prüft zusätzlich ihre betriebliche Wirksamkeit während eines festgelegten Zeitraums. Lesen Sie stets den tatsächlichen Prüfungsumfang und das Prüfungsurteil.

Nicht grundsätzlich. Ein Typ-1-Bericht kann als Zwischenschritt dienen. Ob er sinnvoll oder ausreichend ist, hängt von den Kundenanforderungen, dem vorhandenen Nachweisstand und dem vereinbarten Prüfungsauftrag ab.

Vorbereitung, Prüfungszeitraum und abschließende Berichterstattung bestimmen den Zeitbedarf. Der Rechner zeigt ein frei wählbares Planungsszenario. Lücken, Nachweise, Dienstkomplexität und die Abstimmung mit dem Prüfer können den tatsächlichen Termin verändern.

Der Aufwand hängt vom Dienst, den Standorten, Subdienstleistern, Kontrollen, dem Berichtstyp und der Prüfbereitschaft ab. Trennen Sie Vorbereitung, Software und unabhängige Prüfung beim Angebotsvergleich. Nach Ihrer Planung können Sie ein individuelles Angebot anfragen.

Vereinbaren Sie die anzuwendende Katalogfassung und die einschlägigen Übergangsregeln ausdrücklich mit Ihrem Prüfer und Kunden. Maßgeblich sind die aktuellen Originalveröffentlichungen des BSI und der konkrete Prüfungszeitraum. Ein alter Bericht belegt nicht automatisch die Erfüllung einer neueren Fassung.

Eine Systembeschreibung, eine Zuordnung der Kontrollen zu den Kriterien und belastbare Nachweise. Dazu können Berechtigungsprüfungen, Änderungsprotokolle, Vorfallbearbeitung, Lieferantensteuerung und Wiederherstellungstests gehören. Der konkrete Bedarf hängt vom Dienst und Prüfungsauftrag ab.

Abhängigkeiten und ausgelagerte Leistungen müssen im Prüfungsumfang nachvollziehbar behandelt werden. Prüfen Sie, welche Leistungen einbezogen sind, welche Nachweise getrennt vorliegen und welche Verantwortung bei Ihnen verbleibt. Ein Testat eines Infrastruktur-Anbieters deckt nicht automatisch Ihren gesamten SaaS-Dienst ab.

Nicht automatisch. ISO/IEC 27001 zertifiziert ein Informationssicherheitsmanagementsystem. C5 richtet die Berichterstattung auf den beschriebenen Cloud-Dienst und seine Kontrollen aus. Vorhandene Nachweise können die Vorbereitung unterstützen; die vom Kunden verlangte Aussage muss trotzdem abgedeckt sein.

Nein. Beide können unabhängige Berichte über Kontrollen liefern, verwenden aber unterschiedliche Kriterien. SOC 2 bezieht sich auf die Trust Services Criteria der AICPA, C5 auf den BSI-Katalog für Cloud-Dienste. Überschneidungen ersetzen keine Prüfung des jeweiligen Umfangs.

Nein. Ein Sicherheitsprüfbericht kann die Lieferantenbewertung unterstützen. Datenschutzrechtliche Pflichten, Verträge, Datenübermittlungen und die konkrete Verarbeitung müssen gesondert beurteilt werden.

Der Anbieter beauftragt einen unabhängigen, entsprechend qualifizierten Prüfer beziehungsweise eine geeignete Prüfungsgesellschaft. Prüfen Sie Qualifikation, Unabhängigkeit und die Anforderungen der angewandten Katalogfassung. Das BSI selbst führt diese Dienstprüfung nicht durch.

Kunden erhalten den Bericht häufig über einen kontrollierten Freigabeprozess. Fragen Sie den Anbieter nach dem aktuellen Bericht und den Zugangsbedingungen. Ein Logo oder Verzeichniseintrag ersetzt die Einsicht in Umfang, Zeitraum, Urteil und Abweichungen nicht.

Der Bericht kann korrespondierende Kundenkontrollen beschreiben. Cloud-Kunden müssen diese Anforderungen in ihrer eigenen Umgebung prüfen und umsetzen. Verantwortung für die sichere Nutzung bleibt auch bei einem testierten Dienst bestehen.

Ein C5-Bericht kann auch internationalen Kunden als Nachweis dienen. Seine Akzeptanz hängt vom jeweiligen Auftraggeber, Dienst, Prüfungsumfang und den lokalen Anforderungen ab. Er ist keine weltweite Betriebserlaubnis.

Nein. Der Index unterstützt die Suche und ist kein amtliches Register des BSI. Fordern Sie aktuelle Originalnachweise an und prüfen Sie Dienst, Zeitraum, Urteil und Abweichungen. Ein fehlender Eintrag beweist umgekehrt nicht, dass kein Bericht existiert.