Der neue BSI C5:2026 verändert die Anforderungen an Cloud- und SaaS-Anbieter spürbar. Für Unternehmen, die bereits ein C5-Testat haben oder erstmals eine Prüfung vorbereiten, stellt sich jetzt die zentrale Frage: Was bedeutet der neue Kriterienkatalog für das nächste Testat?
Der C5-Katalog des Bundesamts für Sicherheit in der Informationstechnik ist seit Jahren ein wichtiger Maßstab für die Sicherheit und Transparenz von Cloud-Diensten. Mit C5:2026 wurde der Kriterienkatalog inhaltlich und strukturell überarbeitet; laut BSI orientiert sich die neue Version unter anderem stärker an europäischen Entwicklungen wie dem EUCS und berücksichtigt aktuelle Anforderungen an Cloud-Sicherheit.
Für viele Cloud- und SaaS-Anbieter ist ein C5-Testat längst nicht mehr nur ein freiwilliger Vertrauensnachweis. Kunden, regulierte Branchen, öffentliche Auftraggeber und Geschäftspartner fragen zunehmend konkrete Nachweise zur Informationssicherheit, Transparenz und Kontrollumgebung an.
Mit C5:2026 steigt der Anspruch an diese Nachweise. Der neue Katalog ist umfangreicher als die Vorgängerversion: KPMG verweist beispielsweise auf 168 Kriterien im C5:2026 gegenüber 121 Kriterien in der Vorgängerversion. Besonders betroffen sind unter anderem Prozessdokumentation, Lieferketten, Remote Work, Key Management, Patch Management, Container Management und Confidential Computing.
Für Anbieter bedeutet das: Das nächste C5-Testat sollte nicht erst kurz vor dem Prüfungszeitraum vorbereitet werden.
Im Markt wird häufig von einer BSI C5 Zertifizierung gesprochen. Das ist als Suchbegriff verständlich, fachlich aber nicht ganz präzise.
Im C5-Kontext geht es in der Regel um eine unabhängige Prüfung durch Wirtschaftsprüfer mit einem entsprechenden Prüfbericht bzw. Testat. Deshalb verwenden wir im weiteren Artikel bewusst die Begriffe:
Diese sprachliche Genauigkeit ist nicht nur Formalität. Sie zeigt auch, dass es nicht um ein einfaches Siegel geht, sondern um eine prüfungsnahe Beurteilung von Kontrollen, Prozessen und Nachweisen.
Bei einer C5-Prüfung wird grundsätzlich zwischen Typ 1 und Typ 2 unterschieden.
Ein Typ-1-Bericht beurteilt, ob die beschriebenen Kontrollen zu einem bestimmten Zeitpunkt angemessen ausgestaltet sind. Er beantwortet im Kern die Frage:
Sind die richtigen Kontrollen grundsätzlich vorhanden und geeignet?
Typ 1 ist besonders relevant für Anbieter, die erstmals in eine C5-Prüfung gehen oder einen neuen Cloud-Dienst prüfbar aufstellen möchten.
Ein Typ-2-Bericht geht weiter. Er beurteilt nicht nur, ob Kontrollen angemessen ausgestaltet sind, sondern auch, ob sie über einen definierten Zeitraum wirksam betrieben wurden. Er beantwortet die Frage:
Haben die Kontrollen im Prüfungszeitraum tatsächlich funktioniert?
Für bestehende C5-Testate und Folgetestate ist Typ 2 regelmäßig besonders relevant, weil Kunden und Geschäftspartner nicht nur ein Kontrollkonzept sehen möchten, sondern den Nachweis eines funktionierenden Kontrollbetriebs. Das BSI beschreibt in seinen FAQ den Unterschied zwischen Typ 1 und Typ 2 ebenfalls entlang von Design bzw. Wirksamkeit der internen Maßnahmen.
Aus unserer Sicht ist jetzt kein Aktionismus erforderlich. Aber ein strukturierter Einstieg ist sinnvoll.
Im ersten Schritt sollte geprüft werden, wie weit bestehende Kontrollen, Richtlinien und Nachweise bereits zu C5:2026 passen. Das muss nicht direkt eine vollständige Prüfung sein. Häufig reicht zunächst ein kompakter Readiness-Workshop oder eine Gap-Analyse.
Für Erstprüfungen kann ein Typ-1-Bericht ein sinnvoller Einstieg sein. Für bestehende Testate und wiederkehrende Prüfungen sollte frühzeitig geprüft werden, wie der nächste Typ-2-Zeitraum geplant werden kann.
Wichtig ist dabei: Ein Typ-2-Testat braucht belastbare Nachweise über einen Zeitraum. Diese Nachweise entstehen nicht erst am Ende der Prüfung, sondern im laufenden Betrieb.
Wer bereits ein C5-Testat hat, sollte die nächste Folgetestierung nicht einfach als Wiederholung der letzten Prüfung verstehen. C5:2026 verändert Anforderungen und Nachweislogik. Deshalb sollte rechtzeitig entschieden werden:
Ein häufiger Engpass liegt nicht in einzelnen technischen Kontrollen, sondern in der Abgrenzung des Prüfungsgegenstands und der Qualität der Systembeschreibung. Gerade bei SaaS-Anbietern mit gewachsenen Systemlandschaften, Subdienstleistern oder mehreren Cloud-Komponenten sollte dieser Teil frühzeitig vorbereitet werden.
Für Cloud- und SaaS-Anbieter empfehlen wir einen kompakten Einstieg in vier Schritten:
Dieser Ansatz ist bewusst schlank. Ziel ist nicht, den Prozess unnötig komplex zu machen, sondern früh Klarheit zu schaffen: Was ist vorhanden, was fehlt, und wie kann das nächste Testat planbar vorbereitet werden?
Fazit: C5:2026 ist ein guter Anlass, das nächste Testat neu zu denken
C5:2026 bringt für Cloud- und SaaS-Anbieter zusätzliche Anforderungen und mehr Detailtiefe. Für Unternehmen mit bestehendem Testat ist das kein Grund zur Unsicherheit, aber ein klarer Anlass, die nächste Folgetestierung frühzeitig zu planen.
Besonders wichtig ist dabei die Unterscheidung zwischen Typ 1 und Typ 2. Während Typ 1 den Aufbau der Kontrollen zu einem Stichtag betrachtet, steht bei Typ 2 die Wirksamkeit über einen Zeitraum im Mittelpunkt. Gerade deshalb sollten Nachweise, Verantwortlichkeiten und Kontrollprozesse rechtzeitig vorbereitet werden.
Wer früh startet, kann C5:2026 nicht nur als zusätzliche Anforderung verstehen, sondern als Möglichkeit, das eigene Kontrollsystem und den Prüfungsprozess effizienter aufzustellen.
GDC Digital unterstützt Cloud- und SaaS-Anbieter bei der strukturierten Vorbereitung auf BSI-C5-Testate: Von der ersten Einordnung über die Gap-Analyse bis zur Vorbereitung von Typ-1- und Typ-2-Prüfungen.
BSI C5:2026 ist die überarbeitete Version des Cloud Computing Compliance Criteria Catalogue des Bundesamts für Sicherheit in der Informationstechnik. Der Katalog beschreibt prüfbare Anforderungen an die Sicherheit und Transparenz von Cloud-Diensten.
Typ 1 beurteilt die Angemessenheit der Kontrollen zu einem bestimmten Stichtag. Typ 2 beurteilt zusätzlich die Wirksamkeit der Kontrollen über einen definierten Zeitraum.
C5:2026 ist besonders relevant für Cloud-Anbieter, SaaS-Anbieter, Plattformanbieter und IT-Dienstleister, deren Kunden hohe Anforderungen an Informationssicherheit, Transparenz und prüfbare Nachweise stellen.
Anbieter sollten frühzeitig mit einem Readiness-Check oder einer Gap-Analyse beginnen, insbesondere wenn ein bestehendes C5-Testat in eine Folgetestierung überführt werden soll.
Wir beraten Sie
