Der C5 hat sich in den vergangenen Jahren insbesondere im deutschsprachigen Raum zu einem der wichtigsten Nachweise für die Informationssicherheit von Cloud-Diensten entwickelt. Viele öffentliche Auftraggeber, kritische Infrastrukturen und regulierte Unternehmen verlangen mittlerweile ein aktuelles C5-Testat als Voraussetzung für die Nutzung von Cloud-Services. Vor diesem Hintergrund kommt der Veröffentlichung des C5:2026 eine erhebliche Bedeutung für den Cloud-Markt zu.
Nahezu Vervierfachung der Detailkriterien
Eine der sichtbarsten Änderungen des C5:2026 ist die deutliche Erweiterung des Kriterienkatalogs. Während der C5:2020 insgesamt 121 Kriterien umfasste, beinhaltet der neue Standard nun 168 Kriterien. Im C5:2020 stellten die Kriterien direkt die Detailanforderungen dar, während sie in der Version 2026 auf 462 Subkriterien aufgesplittet werden. Diese verteilen sich weiterhin auf die folgenden 17 Themengebiete:
- Organisation der Informationssicherheit
- Sicherheitsrichtlinien und Arbeitsanweisungen
- Personal
- Asset Management
- Physische Sicherheit
- Regelbetrieb
- Identitäts- und Berechtigungsmanagement
- Kryptographie und Schlüsselmanagement
- Kommunikationssicherheit
- Portabilität und Interoperabilität
- Beschaffung, Entwicklung und Änderung von Informationssystemen
- Steuerung und Überwachung von Service-Organisationen und Lieferanten
- Umgang mit Sicherheitsvorfällen
- Business Continuity Management
- Compliance
- Umgang mit behördlichen Auskunfts- und Herausgabeverlangen
- Produktsicherheit
Die neue Systematik der Zusatzkriterien
Eine wesentliche konzeptionelle Neuerung des C5:2026 betrifft die Behandlung der Zusatzkriterien. Bereits im C5:2020 existierten Anforderungen, die über das Basisschutzniveau hinausgingen. Diese Unterscheidung wurde jedoch nicht explizit vorgenommen. Im C5:2026 erfolgt nun erstmals eine klare Klassifizierung in:
- Additional Sharpen (AS)
- Additional Complement (AC)
Diese Differenzierung schafft eine erheblich bessere Transparenz über den Charakter zusätzlicher Sicherheitsanforderungen. Im C5:2026 sind 132 Additional Complement- und 29 Additional Sharpen-Kriterien definiert.
Die sogenannten Additional Sharpen-Kriterien verschärfen bestehende Basiskriterien durch strengere Anforderungen. Sie ersetzen die entsprechenden Basisunterkriterien vollständig. Wendet ein Cloud-Anbieter also ein verschärfendes Zusatzkriterium an, so gilt nicht mehr die ursprüngliche Basisanforderung, sondern die strengere Variante. Die betroffenen Basisunterkriterien werden im jeweiligen Prüfbericht dokumentiert und nachvollziehbar dargestellt.
Die Kategorie Additional Complement verfolgt einen anderen Ansatz. Hier werden bestehende Basiskriterien um zusätzliche Anforderungen ergänzt. Anders als bei den verschärfenden Zusatzkriterien bleiben die ursprünglichen Basisanforderungen vollständig bestehen. Die ergänzenden Kriterien müssen zusätzlich geprüft und erfüllt werden.
Sind Zusatzkriterien verpflichtend?
Die Basiskriterien (B) bleiben der verpflichtende Bestandteil jedes C5:2026-Testats. Ohne deren Erfüllung ist eine erfolgreiche Testierung nicht möglich. Zusatzkriterien sind hingegen nicht automatisch verpflichtend. Insbesondere für Cloud-Systeme, die Patientendaten nach § 393 SGB V beinhalten, reicht eine Testierung nach den Basiskriterien weiterhin aus. Ob Additional Sharpen- oder Additional Complement-Kriterien Gegenstand einer Prüfung werden, hängt von verschiedenen Faktoren ab:
- Anforderungen des Kunden,
- regulatorische Vorgaben,
- vertragliche Verpflichtungen,
- Schutzbedarf der verarbeiteten Informationen,
- angestrebtes Sicherheitsniveau.
Damit bleibt der C5 seinem risikobasierten Ansatz treu und ermöglicht eine flexible Anpassung an unterschiedliche Einsatzszenarien.
Neue Themen und aktuelle Sicherheitsanforderungen
Der C5:2026 berücksichtigt zahlreiche Entwicklungen, die seit der Veröffentlichung des C5:2020 erheblich an Bedeutung gewonnen haben. Zu den neuen Schwerpunkten gehören insbesondere:
- Container-Management
- Confidential Computing
- Supply-Chain-Security
- Post-Quanten-Kryptographie
- Erweiterte Anforderungen an Mandantentrennung
- Verbesserte Asset-Management-Prozesse
- Detailliertere Governance-Anforderungen
Insbesondere Software-Lieferketten und Container-Technologien stehen zunehmend im Fokus moderner Angriffe. Der neue Kriterienkatalog trägt dieser Entwicklung Rechnung und fordert eine deutlich systematischere Absicherung entsprechender Umgebungen. Gleichzeitig werden zukünftige Herausforderungen wie die Bedrohung kryptographischer Verfahren durch Quantencomputer bereits heute berücksichtigt.
Übergangsregelung bis Juni 2027
Für die Umstellung auf den neuen Standard wurde eine Übergangsfrist definiert. Die Kriterien des C5:2026 sind für
- Typ-1-Berichte mit spezifischem Stichtag sowie
- Typ-2-Berichte mit Prüfungszeitraum ab dem 1. Juni 2027
verpflichtend anzuwenden. Eine frühere Anwendung ist ausdrücklich zulässig. Besonders relevant ist die Regelung für Prüfungen mit einem Stichtag oder Prüfungszeitraum am oder nach dem 28. Februar 2027. In diesen Fällen müssen Cloud-Anbieter zusätzliche Informationen zu geplanten Anpassungen ihres internen Kontrollsystems bereitstellen, sofern die vollständige Umsetzung der neuen Anforderungen noch nicht erfolgt ist. Dadurch soll Transparenz darüber geschaffen werden, wie die Migration auf den neuen Standard vorbereitet wird und welche Maßnahmen sich bereits in Umsetzung befinden.
Auswirkungen auf Cloud-Anbieter
Für Cloud-Anbieter bedeutet der C5:2026 eine deutlich anspruchsvollere Vorbereitung auf Prüfungen. Bestehende Kontrollsysteme müssen analysiert und gegen die neuen Anforderungen gemappt werden. Viele bisherige Nachweise sind zu aktualisieren oder neu zu erstellen. Zudem steigt die Bedeutung einer sauberen Dokumentation von Verantwortlichkeiten, Risikobewertungen und Prozessabläufen. Die höhere Granularität der Anforderungen führt dazu, dass Auditoren künftig noch präziser prüfen werden, ob Kontrollen tatsächlich wirksam implementiert wurden. Eine rein technische Umsetzung wird nicht mehr ausreichend sein; vielmehr müssen Prozesse und Verantwortlichkeiten konsistent ineinandergreifen.
Vorteile für Cloud-Kunden
Auch Cloud-Kunden profitieren erheblich von der neuen Version des Standards. Die detailliertere Struktur der Kriterien ermöglicht eine bessere Vergleichbarkeit verschiedener Anbieter. Gleichzeitig werden Prüfungsberichte aussagekräftiger und unterstützen das Lieferanten- und Auslagerungsmanagement bei der Risikoanalyse. Insbesondere die klarere Zuordnung von Anforderungen, Verantwortlichkeiten und Kontrollen erleichtert die Bewertung des tatsächlichen Sicherheitsniveaus eines Dienstleisters. Kunden erhalten dadurch eine fundiertere Entscheidungsgrundlage für die Auswahl und Überwachung ihrer Cloud-Anbieter.
Praktische Handlungsempfehlungen
Unternehmen sollten die Übergangsfrist nicht als Aufschub verstehen, sondern die Zeit aktiv für die Vorbereitung nutzen.
1. Gap-Analyse durchführen
Bestehende C5:2020-Kontrollen sollten systematisch den Anforderungen des C5:2026 gegenübergestellt werden. Dadurch können Handlungsfelder frühzeitig identifiziert werden.
2. Nachweise aktualisieren/Dokumentation anpassen
Richtlinien, Verfahrensanweisungen, technische Dokumentationen und Audit-Trails sollten auf die neuen und präzisierten Anforderungen abgestimmt werden.
3. Neue Themen priorisieren
Container-Sicherheit, Lieferkettenmanagement, Mandantentrennung, Confidential Computing und kryptographische Zukunftssicherheit sollten frühzeitig bewertet und in bestehende Sicherheitsprogramme integriert werden.
4. Roadmap entwickeln
Der Umstieg sollte nicht erst kurz vor dem verpflichtenden Anwendungsdatum erfolgen. Empfehlenswert sind interne Audits und Pilotprüfungen.
5. Kundenkommunikation stärken
Cloud-Kunden werden künftig detailliertere Aussagen zu Datenarten, Datenstandorten, Subdienstleistern und Sicherheitskontrollen erwarten. Anbieter sollten entsprechende Informationen aktiv vorbereiten.
Fazit
Der C5:2026 stellt die umfangreichste Weiterentwicklung des BSI-Standards seit dessen Einführung dar. Mit 168 Kriterien, 462 Basiskriterien, einer klaren Untergliederung in Unterkriterien sowie der neuen Differenzierung zwischen Additional Sharpen- und Additional Complement-Kriterien schafft das BSI einen deutlich präziseren Rahmen für die Bewertung von Cloud-Sicherheit und verbessert gleichzeitig die Transparenz, Vergleichbarkeit und Aussagekraft von C5-Prüfungen. Unternehmen, die frühzeitig mit der Anpassung ihrer Kontrollsysteme beginnen, können nicht nur die regulatorischen Anforderungen erfüllen, sondern auch das Vertrauen ihrer Kunden stärken und ihre Wettbewerbsfähigkeit im Cloud-Markt nachhaltig ausbauen.
