BSI C5:2026 und was Cloud-Anbieter dazu wissen müssen

Dienstag, 25. August 2026 / Published in

SITS-Beiträge-Header-Bild-C5-testat-2026

Mit der Veröffentlichung des BSI C5:2026 hat das Bundesamt für Sicherheit in der Informationstechnik den etablierten Cloud-Prüfungsstandard konsequent weiterentwickelt.

Dabei handelt es sich nicht um einen vollständig neuen Standard. Vielmehr wurden bestehende Anforderungen präzisiert und gezielt um Themen ergänzt, die durch neue Cloud-Architekturen, regulatorische Entwicklungen und praktische Prüfungserfahrungen an Bedeutung gewonnen haben.

Für Cloud-Anbieter stellt sich damit vor allem die Frage: Was ändert sich und wie früh sollte man sich auf die neuen Anforderungen vorbereiten?

Was ist ein C5-Testat?

Der Cloud Computing Compliance Criteria Catalogue (C5) des BSI definiert Anforderungen an die Informationssicherheit von Cloud-Diensten.

Im Rahmen einer unabhängigen Prüfung wird beurteilt, ob ein Cloud-Anbieter die relevanten Anforderungen angemessen umgesetzt hat. Das C5-Testat dient damit als wichtiger Nachweis gegenüber Kunden, Geschäftspartnern und öffentlichen Auftraggebern.

Besonders relevant ist dabei die Unterscheidung zwischen C5 Typ 1 und C5 Typ 2.

C5-Typ 1 vs. C5-Typ 2: Unterschied in der Prüftiefe

C5-Typ 1: Der Einstieg in die C5-Welt

Eine Typ-1-Prüfung beurteilt, ob die für den Cloud-Service eingerichteten Kontrollen zu einem definierten Stichtag angemessen ausgestaltet und implementiert wurden.

Ein Typ-1-Testat beantwortet im Wesentlichen folgende Frage: Sind die vorgesehenen Sicherheitsmaßnahmen geeignet, die C5-Anforderungen zu erfüllen?

Eine Typ-1-Prüfung eignet sich insbesondere für Unternehmen,

die erstmals ein C5-Testat anstreben,
deren Cloud-Service neu aufgebaut wurde,
die zeitnah einen belastbaren Nachweis gegenüber Kunden benötigen oder
den strukturierten Einstieg in die C5-Welt suchen.

C5-Typ 2: Der etablierte Nachweis gegenüber Kunden

Bei einer Typ-2-Prüfung wird zusätzlich bewertet, ob die eingerichteten Kontrollen über einen definierten Zeitraum tatsächlich wirksam funktioniert haben.

Anstelle der reinen Konzeption steht damit eine andere Frage im Vordergrund: Werden die definierten Prozesse im Tagesbetrieb auch gelebt?

Deshalb gilt ein Typ-2-Testat in vielen Branchen als der umfassendere Nachweis einer wirksamen Cloud-Compliance.

Typ-2-Prüfungen eignen sich vor allem für Unternehmen,

deren Sicherheitsorganisation bereits etabliert ist,
die Enterprise-Kunden oder öffentliche Auftraggeber betreuen,
die langfristig Vertrauen schaffen möchten oder
deren Kunden ausdrücklich ein Typ-2-Testat verlangen.

Die wichtigsten Neuerungen im BSI C5:2026

Der BSI C5:2026 legt unter anderem einen stärkeren Fokus auf:

Container- und Plattformtechnologien
Supply Chain Security
Kryptographie
Confidential Computing
Datenlokationen und Regionen
technische Souveränität
Shared Responsibility zwischen Cloud-Anbieter, Kunde und Subdienstleistern
erweiterte Transparenzanforderungen

Die Änderungen betreffen dabei nicht ausschließlich technische Maßnahmen. Sie wirken sich ebenso auf organisatorische Prozesse, Verantwortlichkeiten, Dokumentationen und Nachweise aus.

Unternehmen sollten daher prüfen, ob bestehende Kontrollen angepasst oder erweitert werden müssen und ob die erforderlichen Nachweise im laufenden Betrieb zuverlässig erzeugt werden.

Ab wann gilt C5:2026?

Ab dem 1. Juni 2027 sind die neuen Kriterien für neue Typ-1-Prüfungen sowie für Typ-2-Prüfungen mit entsprechendem Prüfungszeitraum anzuwenden.

Gerade bei Typ-2-Prüfungen ist eine frühzeitige Vorbereitung wichtig. Da hier die Wirksamkeit von Kontrollen über einen Zeitraum betrachtet wird, müssen die relevanten Prozesse nicht nur rechtzeitig implementiert, sondern auch nachweisbar durchgeführt werden.

Wer sich erst kurz vor einer geplanten Prüfung mit den neuen Anforderungen beschäftigt, riskiert unnötige Nachweislücken und Projektverzögerungen.

Frühzeitig auf C5:2026 vorbereiten
Unternehmen mit einem bestehenden C5-Kontrollsystem müssen mit C5:2026 nicht bei null anfangen. Sinnvoll ist jedoch ein frühzeitiger Abgleich zwischen den bestehenden Kontrollen und den neuen beziehungsweise präzisierten Anforderungen.

Ein C5 Readiness Assessment hilft dabei,

bestehende Kontrollen zu bewerten,
mögliche Lücken zu identifizieren,
Verantwortlichkeiten zu klären,
notwendige Maßnahmen zu priorisieren und
die Prüfungsfähigkeit der erforderlichen Nachweise sicherzustellen.

Fazit

Der BSI C5:2026 ist keine vollständige Neuerfindung des Standards, sondern eine konsequente Weiterentwicklung für moderne Cloud-Umgebungen.

Für Cloud-Anbieter bedeutet das vor allem: Bestehende Sicherheits- und Compliance-Prozesse sollten rechtzeitig überprüft und auf die neuen Anforderungen ausgerichtet werden.

Insbesondere bei einer geplanten Typ-2-Prüfung sollte die Vorbereitung nicht erst kurz vor dem Audit beginnen. Entscheidend ist, dass Kontrollen frühzeitig implementiert, im Tagesgeschäft gelebt und nachvollziehbar dokumentiert werden.

In unserem C5 Readiness Assessment berücksichtigen wir bereits heute die wesentlichen Änderungen des BSI C5:2026 und schaffen für Sie Planungssicherheit für Ihre kommenden Prüfungen.

Sie planen ein erstmaliges C5-Testat oder möchten Ihr bestehendes Kontrollsystem auf C5:2026 vorbereiten? Sprechen Sie uns an.