Teil 1 unserer dreiteiligen Serie zum neuen BSI-Kriterienkatalog für Cloud-Sicherheit
Das BSI hat seinen Cloud Computing Compliance Criteria Catalogue – kurz C5 – zum zweiten Mal seit 2016 grundlegend überarbeitet. Nach C5:2016 und C5:2020 liegt nun der C5:2026 vor. Wer Cloud-Dienste anbietet oder im regulierten Umfeld nutzt, sollte sich das neue Regelwerk genauer ansehen. Wir haben das für Sie getan – handwerklich, wie immer.
Wen betrifft C5:2026 überhaupt?
Die kurze Antwort: mehr Organisationen, als viele denken.
Verpflichtend ist ein C5-Testat (also der Prüfbericht eines Wirtschaftsprüfers) für die Cloud-Nutzung im öffentlichen Sektor, bei Behörden und im Gesundheitswesen – Letzteres insbesondere, wenn Patientendaten in der Cloud verarbeitet werden. Für Bundesbehörden und KRITIS-Betreiber greift der Kriterienkatalog über den BSI-Mindeststandard (MST) zur Nutzung externer Cloud-Dienste: Sobald dienstliche Daten in fremden Clouds verarbeitet werden sollen, führt am C5 kein Weg vorbei.
Faktisch relevant ist C5 darüber hinaus für jeden Cloud-Anbieter, der an öffentlichen Ausschreibungen teilnehmen will. Dort kann eine C5-Prüfung zur Teilnahmebedingung werden – und wo sie es (noch) nicht ist, wird das Testat zum Wettbewerbsvorteil und Auswahlkriterium. Auch Zulieferer des öffentlichen Sektors tun gut daran, sich am C5 zu orientieren.
Exkurs Energiewirtschaft: doppelt im Visier
Ein Wort an unsere Leserinnen und Leser aus der Energiebranche – Sie kennen das Spiel ja bereits: Als KRITIS-Sektor sind Energieversorger gleich mehrfach betroffen. Wer als Netzbetreiber, Stadtwerk oder Erzeuger Cloud-Dienste für dienstliche Daten einsetzt, landet über den Mindeststandard des BSI direkt beim C5. Dazu kommt die vertraute Gemengelage aus IT-Sicherheitskatalog nach § 11 EnWG, NIS2-Umsetzung und branchenspezifischen Sicherheitsstandards. Der C5 ersetzt davon nichts – aber er wird zum Prüfmaßstab für jeden Cloud-Baustein in Ihrer Architektur. Wer seine Cloud-Lieferanten heute schon nach C5-Testaten fragt, spart sich morgen unangenehme Diskussionen mit Auditoren und Aufsicht.
Die Systematik: MUSS und KANN, sauber sortiert
Der C5 formuliert Mindestanforderungen an sicheres Cloud-Computing. Das Herzstück ist Kapitel 5 mit dem eigentlichen Kriterienkatalog: 462 Basiskriterien (MUSS) und 160 zusätzliche Kriterien (KANN), gegliedert in 17 Bereiche – von der Organisation der Informationssicherheit (OIS) über Kryptografie (CRY) und Identitäts- und Berechtigungsmanagement (IDM) bis hin zu Produktsicherheit (PSS) und dem Umgang mit behördlichen Ermittlungsanfragen (INQ).
Davor steht ein oft unterschätztes Kapitel 4 mit allgemeinen Angaben zum Cloud-Anbieter: Gerichtsbarkeit, Standorte, Verfügbarkeitszusagen, Umgang mit staatlichen Auskunftsersuchen, vorhandene Zertifizierungen. Die Verfügbarkeit wird dabei entlang der vier Tier-Stufen des Uptime Institute und der fünf Verfügbarkeitsklassen des BSI-HV-Benchmarks eingeordnet. Gerade für die Anbieterauswahl ist dieses Kapitel Gold wert – hier steht, was der Anbieter wirklich verspricht.
Anders als der IT-Grundschutz schlägt C5 keine konkreten Maßnahmen zur Risikominimierung vor. Er definiert, was erfüllt sein muss – das Wie bleibt Sache des Anbieters. Genau deshalb funktioniert er als Prüf- und Vergleichsmaßstab so gut.
Was ändert sich gegenüber C5:2020?
Die Neuauflage bringt 129 überarbeitete und 39 neue Kriterien. Die wichtigsten Punkte im Überblick:
Neuer Fokus. Lag der Schwerpunkt 2020 noch auf dem EU Cybersecurity Act und Produktsicherheit, adressiert C5:2026 aktuelle Themen: Herausforderungen bei der Verschlüsselung (inklusive Post-Quanten-Kryptografie als zusätzliche Kriterien), sichere Verarbeitung, Confidential Computing mit Trusted Execution Environments, Container-Lebenszyklen, Logmanagement und Lieferkettensicherheit.
Umbenennungen mit Substanz. Das allgemeine Kapitel 4 heißt nun „General Conditions” statt „Boundary Conditions”. Das Kriterium OIS-09 wurde von „Information Security in Project Management” zu „Application of the Risk Management Policy – Risk Treatment” umbenannt und schließt damit sauber an die Risikoanalyse in OIS-08 an.
Neues Arbeitswelt-Kriterium. Mit HR-08 „Remote Working – Implementation” trägt der Katalog der Realität verteilter Teams Rechnung. Das im Community Draft noch enthaltene Kriterium zu KI in internen Kontrollen hat es dagegen nicht in die Endfassung geschafft.
Verschärfungen im Detail. Bei 68 der 129 angepassten Basiskriterien wurden auch die Zusatzkriterien aktualisiert. Neu ist die Unterscheidung, ob ein Zusatzkriterium ein Basiskriterium verschärft oder um neue Anforderungen ergänzt. Inhaltliche Schwerpunkte: Enterprise Risk Management, Backup und Restore, Threat Models sowie ein geforderter CERT-Kontakt für Sicherheitsvorfälle.
Maschinenlesbar – endlich. Neben PDF (auf stolze 258 Seiten angewachsen) und Excel erscheint der C5:2026 erstmals als ZIP-Archiv mit YAML-Dateien. Für alle, die Compliance nicht in Word-Dokumenten, sondern in Werkzeugen leben, ist das ein echter Fortschritt – die Kriterien lassen sich direkt in GRC-Prozesse und Plattformen integrieren. Eine Referenztabelle im Excel-Format dokumentiert alle Änderungen gegenüber C5:2020.
Europäischer Anschluss. Inhaltlich und strukturell lehnt sich C5:2026 eng an die Arbeitsfassung des kommenden europäischen Zertifizierungsschemas EUCS an. Und gemeinsam mit der französischen ANSSI hat das BSI die Criteria Enabling Cloud Computing Autonomy (C3A) veröffentlicht – aufbauend auf dem European Cloud Sovereignty Framework. Für alle, denen digitale Souveränität mehr ist als ein Buzzword (uns zum Beispiel), wird damit erstmals bewertbar, wie autonom ein Cloud-Dienst tatsächlich betrieben werden kann.
Und die Fristen?
Ab dem 1. Juni 2027 müssen neue C5-Prüfungen auf dem Standard von 2026 basieren. Bis dahin gilt eine Übergangsphase, in der noch nach C5:2020 geprüft werden darf. Das klingt komfortabel – ist es aber nur bedingt: Wer heute ein Typ-2-Testat plant, prüft die Wirksamkeit über sechs bis zwölf Monate. Die Vorlaufzeit schmilzt also schneller, als der Kalender suggeriert.
In Teil 2 dieser Serie schauen wir in den Kriterienkatalog selbst: die 17 Bereiche im Detail und welche Standards der C5:2026 referenziert. In Teil 3 geht es um Prüfungen und Testate – und darum, wie Sie jetzt konkret vorgehen.
regelwerker begleitet mittelständische Unternehmen bei Informationssicherheit und Compliance – hemdsärmelig, handwerklich, ohne Beraterprosa. Sprechen Sie uns an.