Teil 2 unserer dreiteiligen Serie zum neuen BSI-Kriterienkatalog für Cloud-Sicherheit
In Teil 1 haben wir geklärt, wen der C5:2026 betrifft und was sich gegenüber der Vorversion ändert. Heute öffnen wir die Motorhaube: Wie ist Kapitel 5 – das Herzstück des Katalogs – aufgebaut? Und auf welchen Standards steht das Ganze eigentlich?
17 Bereiche, 622 Kriterien
Kapitel 5 ist das mit Abstand umfangreichste Kapitel des C5:2026. Es unterscheidet 462 Basiskriterien – die MUSS-Anforderungen, die für ein Testat vollständig erfüllt sein müssen – und 160 zusätzliche Kriterien als KANN-Anforderungen. Neu in der 2026er-Fassung: Bei den Zusatzkriterien wird jetzt sauber getrennt, ob sie ein Basiskriterium durch strengere Anforderungen verschärfen oder durch neue Anforderungen ergänzen. Das klingt nach Formalie, hilft aber enorm bei der Frage, welche KANN-Kriterien man sich freiwillig ins Pflichtenheft holt – etwa, weil Kunden aus regulierten Branchen genau danach fragen.
Die 17 Bereiche im Überblick:
| Kürzel | Bereich |
|---|---|
| OIS | Organisation der Informationssicherheit |
| SP | Sicherheitsrichtlinien und Arbeitsanweisungen |
| HR | Personal |
| AM | Asset-Management |
| PS | Physische Sicherheit |
| OPS | Regelbetrieb |
| IDM | Identitäts- und Berechtigungsmanagement |
| CRY | Kryptografie und Schlüsselmanagement |
| COS | Kommunikationssicherheit |
| PI | Portabilität und Interoperabilität |
| DEV | Beschaffung, Entwicklung und Änderung von Informationssystemen |
| SSO | Steuerung und Überwachung von Dienstleistern und Lieferanten |
| SIM | Umgang mit Sicherheitsvorfällen |
| BCM | Kontinuität des Geschäftsbetriebs und Notfallmanagement |
| COM | Compliance |
| INQ | Umgang mit Ermittlungsanfragen staatlicher Stellen |
| PSS | Produktsicherheit |
Wer schon mal ein ISMS nach ISO 27001 aufgebaut hat, erkennt die Struktur sofort wieder – und genau das ist Absicht, wie wir gleich sehen werden.
Wo hat sich am meisten getan?
Die Neuerungen des C5:2026 verteilen sich auf nahezu alle Bereiche. Die meisten neuen Kriterien finden sich im Regelbetrieb (OPS), bei Kryptografie und Schlüsselmanagement (CRY), im Asset-Management (AM) und in der Entwicklung (DEV). OIS und die Lieferantensteuerung (SSO) kommen auf jeweils drei Ergänzungen, das Personalkapitel (HR) auf zwei, Physische Sicherheit (PS), Incident Management (SIM) und Ermittlungsanfragen (INQ) auf je eine.
Thematisch geht es dabei um die Baustellen, die derzeit jede Sicherheitsorganisation umtreiben: Schwachstellen- und Incident-Management, Kryptografie inklusive zugelassener Post-Quanten-Verfahren, Confidential Computing mit Trusted Execution Environments, technische Voraussetzungen für Remote-Arbeit, sichere Lieferketten, Container-Lebenszyklen und Logmanagement.
Bemerkenswert ist der eine Bereich, der in der Änderungstabelle nicht auftaucht: Identity and Access Management (IAM). Ganz unberührt blieb er allerdings nicht – bei den Zusatzkriterien gibt es durchaus einzelne Verschärfungen. Wer IAM deshalb von der Vorbereitungsliste streicht, macht es sich zu einfach.
Die Standard-Verwandtschaft: von acht auf elf
Der C5 war nie ein Solitär – er ist bewusst als Mapping-Standard konzipiert, der bestehende Rahmenwerke referenziert und aufeinander abbildet. Mit C5:2026 wächst die Liste der berücksichtigten Standards von acht auf elf:
- ISO/IEC 27001:2022 und ISO/IEC 27002:2022 – das ISMS-Fundament
- ISO/IEC 27017:2015 – Cloud-spezifische Sicherheitskontrollen
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- CSA Cloud Controls Matrix v4.0.12
- AICPA Trust Services Criteria (Basis für SOC-2-Berichte)
- ANSSI SecNumCloud v3.2 – das französische Pendant zum C5
- IDW RS FAIT 5 – Grundsätze für ausgelagerte rechnungslegungsrelevante Dienste inklusive Cloud
- NIS-2 – Durchführungsverordnung mit technischen und methodischen Anforderungen
- CEN/TS 18026:2024 – dreistufiger Ansatz für Cloud-Cybersicherheitsanforderungen
- NATO-Direktive AC/322-D(2021)0032-REV1 zum Schutz von NATO-Informationen in Public Clouds
Warum das Mapping bares Geld wert ist
Für die Praxis ist diese Verwandtschaftstabelle mehr als eine Fußnote. Wer bereits ein ISO-27001-Zertifikat hält, einen SOC-2-Bericht vorlegen kann oder NIS2-Maßnahmen umgesetzt hat, fängt beim C5 nicht bei null an. Das Mapping zeigt, welche Nachweise sich wiederverwenden lassen – und wo der C5 darüber hinausgeht.
Ein Nachweis, viele Rahmenwerke.
Genau das ist übrigens die Denkweise, die wir bei regelwerker seit jeher predigen (und in unserer Plattform in Software gegossen haben): Wer seine Maßnahmen und Evidenzen einmal sauber erfasst, bedient ISO 27001, NIS2 und C5 aus demselben Register – statt für jeden Standard eine eigene Excel-Hölle zu pflegen. Dass der C5:2026 nun erstmals maschinenlesbar als YAML vorliegt, macht diese Integration noch einmal deutlich leichter.
Die internationale Ausrichtung erklärt auch eine Kuriosität der Veröffentlichung: C5:2026 erschien zunächst auf Englisch, die deutsche Übersetzung folgt nach. Der Katalog wird längst über Deutschland hinaus genutzt, und auch die großen amerikanischen Cloud-Konzerne haben sich am Rückmeldeprozess zum Community Draft beteiligt. Umso wichtiger, dass mit SecNumCloud, EUCS-Anlehnung und den C3A-Souveränitätskriterien die europäische Perspektive strukturell verankert ist.
Ein Hinweis zur Ehrlichkeit: Der C5 ist kein Maßnahmenkatalog. Er sagt Ihnen nicht, wie Sie ein Kriterium erfüllen – das unterscheidet ihn vom IT-Grundschutz. Wer den Katalog aufschlägt und fertige Rezepte erwartet, wird enttäuscht. Wer dagegen ein belastbares Prüfraster für die eigene Cloud-Strategie oder die Anbieterauswahl sucht, bekommt genau das.
In Teil 3 wird es konkret: Wie läuft eine C5-Prüfung ab, was unterscheidet Typ 1 von Typ 2 – und was sollten Anbieter wie Nutzer jetzt tun?
regelwerker begleitet mittelständische Unternehmen bei Informationssicherheit und Compliance – hemdsärmelig, handwerklich, ohne Beraterprosa. Sprechen Sie uns an.