Teil 3 unserer dreiteiligen Serie zum neuen BSI-Kriterienkatalog für Cloud-Sicherheit
In Teil 1 und Teil 2 ging es um Relevanz, Systematik und den Kriterienkatalog des C5:2026. Zum Abschluss unseres Cloud-Computing-Security-Sommer-Sprints wird es praktisch: Wie kommt man eigentlich zu einem C5-Testat, was steckt hinter Typ 1 und Typ 2 – und wie gehen Anbieter und Nutzer die Übergangsphase am besten an?
Wer prüft – und nach welchen Regeln?
Hier unterscheidet sich der C5 deutlich vom IT-Grundschutz: Ein C5-Testat darf ausschließlich von Wirtschaftsprüfern ausgestellt werden. Die Prüfungsmethodik orientiert sich am International Standard on Assurance Engagements 3000 (ISAE 3000) – demselben Rahmenwerk, das auch hinter SOC-2-Berichten steht. Das erklärt, warum sich C5-Testate und SOC-2-Reports in der Praxis oft gut kombinieren lassen.
Eine kleine Fußnote der 2026er-Fassung: Die Hinweise zur kontinuierlichen Prüfung, die C5:2020 noch zu jedem Kriterium mitlieferte, sind entfallen. Schade eigentlich – gerade in Zeiten von Continuous Compliance wäre das ein zeitgemäßer Baustein gewesen.
Typ 1 oder Typ 2 – der entscheidende Unterschied
C5-Prüfungen gibt es in zwei Geschmacksrichtungen, und der Unterschied ist alles andere als akademisch:
Typ 1 – die Angemessenheitsprüfung. Der Auditor bewertet zu einem Stichtag, ob die Kontrollen angemessen ausgestaltet und eingerichtet sind, um die C5-Kriterien zu erfüllen („Suitability of the Design”). Es geht also um die Frage: Ist das Kontrollsystem richtig gebaut?
Typ 2 – die Wirksamkeitsprüfung. Hier wird zusätzlich über einen Prüfungszeitraum von typischerweise sechs bis zwölf Monaten nachgewiesen, dass die Kontrollen tatsächlich funktioniert haben („Operating Effectiveness”). Grundlage ist ein vorhandener Typ-1-Bericht; belegt wird mit Stichproben und Protokollen.
Am Beispiel Monitoring wird der Unterschied greifbar: Beim Typ-1-Testat genügt der Nachweis, dass die Monitoringsoftware vorhanden und korrekt konfiguriert ist. Beim Typ-2-Testat muss belegt werden, dass das Monitoring über den gesamten Zeitraum lückenlos lief und das Meldewesen bei Schwellenwertüberschreitungen wirklich angeschlagen hat. Ein Typ-2-Testat ist damit die deutlich belastbarere Aussage – und genau deshalb das, wonach anspruchsvolle Kunden fragen.
Alle Basiskriterien – wirklich alle?
Für ein Testat müssen sämtliche Basiskriterien vollständig erfüllt sein. Nicht jedes Kriterium passt allerdings auf jedes Servicemodell – ein reiner SaaS-Dienst hat naturgemäß andere Zuständigkeiten als ein IaaS-Anbieter. Für solche Fälle beschreibt Abschnitt 3.4.3 des C5:2026 das Verfahren, mit dem nicht anwendbare Kriterien sauber behandelt werden. Bei inhaltlichen oder formalen Fragen zur Anwendung einzelner Kriterien lässt sich zudem das BSI direkt kontaktieren.
Ein C5-Testat ist kein Freifahrtschein. Es gilt nur für die Dienste, die der Anbieter in den Prüfumfang aufgenommen hat.
Und ein Praxishinweis für die Nutzerseite: Wer nicht genau hinschaut, wiegt sich womöglich für Services in Sicherheit, die nie geprüft wurden.
Der Fahrplan: 1. Juni 2027
Ab dem 1. Juni 2027 müssen neue Prüfungen auf C5:2026 basieren. Bis dahin darf noch nach dem Vorgänger testiert werden. Realistisch wird es allerdings noch etwa zwei Jahre dauern, bis die Mehrheit der Anbieter vollständig auf den neuen Standard umgestellt hat.
Unsere Empfehlungen für das weitere Vorgehen
Für Cloud-Anbieter:
- Gap-Analyse jetzt starten. Die Referenztabelle mit den 129 modifizierten und 39 neuen Kriterien ist Ihr Startpunkt. Die erstmals verfügbaren YAML-Dateien machen es leicht, den Abgleich werkzeuggestützt statt in Excel zu fahren.
- Direkt auf Typ 2 zielen. Wer jetzt beginnt, sollte nicht den Umweg über ein isoliertes Typ-1-Testat planen, sondern von Anfang an den Wirksamkeitsnachweis anpeilen. Der Prüfungszeitraum von sechs bis zwölf Monaten bedeutet: Wer erst 2027 anfängt, Evidenzen zu sammeln, kommt zu spät.
- EUCS mitdenken. C5:2026 lehnt sich eng an die Arbeitsfassung des europäischen Zertifizierungsschemas an. Wer heute C5-konform baut, bereitet sich damit gleich auf die europäische Zertifizierungslandschaft vor.
- Souveränität als Verkaufsargument nutzen. Mit den C3A-Kriterien von BSI und ANSSI lässt sich Cloud-Autonomie erstmals strukturiert bewerten. Für europäische Anbieter ist das eine Steilvorlage gegenüber den Hyperscalern – nutzen Sie sie.
Für Cloud-Nutzer:
- Testate aktiv einfordern – und den Prüfumfang prüfen. Fragen Sie konkret: Welche Dienste sind abgedeckt? Typ 1 oder Typ 2? Nach welcher C5-Version?
- Shared Responsibility ernst nehmen. Ein C5-Testat ist kein Freifahrtschein. Es bleibt ein erheblicher Teil an Maßnahmen, den Sie als Nutzer selbst umsetzen und kontrollieren müssen – von der Konfiguration bis zu branchenspezifischen Sicherheitsstandards. Das Testat deckt den Anbieter ab, nicht Ihre Nutzung.
- C5-Anforderungen ins Lieferantenmanagement einbauen. Wer NIS2 umsetzt, hat die Lieferkettensicherheit ohnehin auf dem Tisch. C5-Testate sind dafür ein hervorragendes, standardisiertes Nachweismittel – einmal im Lieferantenregister erfasst, mehrfach verwendbar.
Unser Fazit zum Sommer-Sprint
Der C5:2026 erfindet das Rad nicht neu – und das ist seine Stärke. Er schärft nach, wo es nötig ist (Kryptografie, Lieferketten, Remote-Arbeit, Container), schließt an die europäische Zertifizierungslandschaft an und wird durch die Maschinenlesbarkeit endlich werkzeugtauglich. Für sichere Cloud-Nutzung in Deutschland bleibt er der zentrale Baustein.
Wenn Sie wissen wollen, wo Ihr Unternehmen oder Ihr Cloud-Dienst heute steht: Genau solche Standortbestimmungen sind unser Handwerk.
regelwerker begleitet mittelständische Unternehmen bei Informationssicherheit und Compliance – hemdsärmelig, handwerklich, ohne Beraterprosa. Sprechen Sie uns an.