Partner
Wirtschaftsprüfer, Steuerberater, CISA, Dipl.-Wirtschaftsinformatiker
BSI C5:2026 – Der überarbeitete Prüfungsstandard für Cloud-Sicherheit
- BSI C5:2026 bringt neue Anforderungen für Cloud-Prüfungen ab Juni 2027.
- Neue Risikofelder betreffen Container, Supply Chain, Kryptographie und Confidential Computing.
- Datenlokationen, Verfügbarkeit und technische Souveränität rücken stärker in den Fokus.
- Die Verantwortlichkeiten von Cloud-Anbietern, Kunden und Subdienstleistern werden klarer geregelt.
Nicolas Fehrenbach
Associate Partner
Certified Fraud Examiner, Certified Sustainability Assurance Expert FS
Cloud-Anbieter müssen heute nicht nur sichere Dienste bereitstellen – sie müssen die Cloud-Sicherheit auch belastbar nachweisen können. Zu diesem Zweck hat das BSI mit dem Cloud Computing Compliance Criteria Catalogue (C5) einen etablierten Rahmen geschaffen, der mittlerweile auch international als Qualitätsnachweis für Cloud-Dienste anerkannt wird.
Aus dem Newsletter „Reporting Trends & Solutions” Newsletter abonnieren
Nach der Erstfassung 2016 und der grundlegenden Überarbeitung mit dem BSI C5:2020 folgt mit dem BSI C5:2026 nun die nächste inhaltliche Revision. Der neue Katalog führt die bewährten Anforderungen aus C5:2020 fort und erweitert sie gezielt um weitere Anforderungen, die aktuelle Cloud-Architekturen, regulatorische Entwicklungen und Erfahrungen aus bisherigen C5-Prüfungen adressieren.
Der Zeitplan steht bereits fest
Der BSI C5:2026 ist für Typ-1-Prüfungen mit Stichtagen ab dem 1. Juni 2027 sowie für Typ-2-Prüfungen mit Prüfungszeiträumen, die ab dem 1. Juni 2027 beginnen, anzuwenden – eine frühere Anwendung der neuen Kriterien ist grundsätzlich möglich.
Für die Übergangsphase enthält der BSI C5:2026 zudem eine anwendbare Transparenzregelung
Endet ein Typ-2-Prüfungszeitraum am oder nach dem 28. Februar 2027, sind vom Cloud-Anbieter zusätzliche Angaben zur geplanten Erfüllung der C5:2026-Kriterien aufzunehmen. Dazu gehören insbesondere die betroffenen Kriterien, die Art der geplanten Anpassung, der Umsetzungsstatus sowie das vorgesehene Implementierungsdatum. Ziel ist es, Cloud-Kunden Transparenz darüber zu ermöglichen, inwieweit der Cloud-Anbieter die Kriterien des BSI C5:2026 künftig erfüllen kann.
Was ändert sich mit dem BSI C5:2026?
- Struktur & Prüfbarkeit: detaillierte Gliederung in Basis- und Zusatzkriterien sowie Subkriterien
- Neue Risikofelder: zusätzliche bzw. geschärfte Anforderungen zu Container Management, Supply Chain Management, Kryptographie und Confidential Computing
- Transparenz & Souveränität: stärkere Anforderungen an Datenlokationen, Regionen, Verfügbarkeit und technische Souveränität
- Shared Responsibility: präzisere Abbildung von Verantwortlichkeiten zwischen Cloud-Anbieter, Cloud-Kunden und Subdienstleistern
Was bedeutet das für die Praxis?
Für Cloud-Anbieter mit bestehendem Testat beginnt die Vorbereitung nicht erst mit Beginn der nächsten Prüfung. Bei Typ-1-Prüfungen müssen die neuen zusätzlichen sowie erweiterten Kriterien bereits zum Stichtag angemessen ausgestaltet und eingerichtet sein. Bei Typ-2-Prüfungen wird zudem gefordert, dass die Kriterien über den gesamten Prüfungszeitraum wirksam umgesetzt waren.
Unternehmen, die sich erst kurz vor dem Stichtag oder bei Prüfungsbeginn mit dem BSI C5:2026 befassen, riskieren Nachweislücken – mit möglichen Auswirkungen auf das angestrebte Prüfungsurteil.
Unsere Empfehlung
Nutzen Sie die Vorlaufzeit bis 2027. Eine frühzeitige Bestimmung von Handlungspotenzialen reduziert Überraschungen während der Prüfung und stärkt die eigene Position gegenüber Kunden und Markt.
Unsere Experten unterstützen Sie gerne.