BSI C5 in Cloud-Ausschreibungen: Testat, Typ 1 und Typ 2 erklärt

Was der C5 ist

Der Cloud Computing Compliance Criteria Catalogue (C5) ist der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) herausgegebene Kriterienkatalog für die Sicherheit professioneller Cloud-Dienste. Er definiert Mindestanforderungen an Informationssicherheit und Transparenz und richtet sich an Cloud-Anbieter, deren Prüfer und deren Kunden.

2016 erstmals veröffentlicht und seither mehrfach überarbeitet, hat sich der C5 als zentraler Standard im deutschen Cloud-Markt etabliert. Inhaltlich greift er auf anerkannte Normen zurück — unter anderem ISO/IEC 27001, den BSI-Grundschutz und die Cloud Controls Matrix der Cloud Security Alliance.

Ein Testat, kein Zertifikat

Anders als bei ISO 27001 gibt es beim C5 keine Zertifizierung. Stattdessen wird die Einhaltung der Kriterien durch ein Testat eines Wirtschaftsprüfers nachgewiesen, das auf etablierten Prüfungsstandards beruht (IDW PS 951 bzw. ISAE 3402). Das Ergebnis ist ein detaillierter Prüfbericht, der belegt, dass die Sicherheitsmaßnahmen tatsächlich umgesetzt und wirksam sind.

Für Bieter heißt das: Der C5-Nachweis ist kein einfaches Zertifikatslogo, sondern ein umfangreicher Prüfbericht. Wer ihn in einer Ausschreibung fordert oder vorlegt, sollte wissen, welchen Geltungsbereich und welchen Stichtag bzw. Zeitraum er abdeckt.

Typ 1 und Typ 2: der entscheidende Unterschied

Der C5 kennt zwei Arten von Testaten, die sich in ihrer Aussagekraft deutlich unterscheiden:

• Typ 1 beurteilt, ob die Sicherheitskontrollen zu einem bestimmten Stichtag angemessen gestaltet (designt) sind. Es ist eine Momentaufnahme.
• Typ 2 geht weiter: Es beurteilt zusätzlich, ob die Kontrollen über einen Zeitraum hinweg tatsächlich wirksam waren. Der Prüfzeitraum beträgt in der Regel mindestens 3 und höchstens 12 Monate.
• Typ 2 liefert damit den höheren Vertrauensgrad, weil er nicht nur das Konzept, sondern die gelebte Praxis prüft. In anspruchsvollen Ausschreibungen ist deshalb meist Typ 2 gefordert.

Wann der C5 in Ausschreibungen verlangt wird

Für Bundesbehörden ist ein C5-Testat (Typ 2) der etablierte Weg, die Konformität zum BSI-Mindeststandard für die Nutzung externer Cloud-Dienste nachzuweisen. Entsprechend taucht der C5 in Cloud- und Rechenzentrumsausschreibungen der öffentlichen Hand regelmäßig als Eignungs- oder Mindestanforderung auf.

Im Gesundheitswesen ist die Anforderung sogar gesetzlich verankert: Nach dem Digitalisierungsgesetz (DigiG) mit Bezug auf § 391 SGB V dürfen Gesundheitsdaten in der Cloud nur verarbeitet werden, wenn ein gültiges C5-Testat vorliegt — seit dem 1. Juli 2025 ein Testat vom Typ 2. Wer Cloud-Leistungen für diesen Sektor anbietet, kommt am C5 nicht vorbei.

Ein Testat ist kein Freifahrtschein

Ein vorhandenes C5-Testat bedeutet nicht automatisch, dass ein Dienst für jeden Anwendungsfall passt. Entscheidend sind der Geltungsbereich (welche Dienste und Standorte erfasst sind) und die in der Systembeschreibung offengelegten Rahmenbedingungen — etwa Gerichtsbarkeit, Datenverarbeitungsstandort und Offenlegungspflichten gegenüber Behörden.

Sowohl Auftraggeber als auch Bieter sollten daher prüfen, ob das Testat den konkret ausgeschriebenen Leistungsumfang tatsächlich abdeckt. Ein C5-Bericht für einen Teildienst genügt nicht, wenn die Ausschreibung den gesamten Leistungsstack betrifft.

C5 oder ISO 27001 — was gilt wann?

Beide Nachweise hängen zusammen, decken aber Unterschiedliches ab. ISO 27001 belegt ein funktionierendes Informationssicherheits-Managementsystem allgemein und ist branchenübergreifend anerkannt. Der C5 ist spezifisch auf Cloud-Dienste zugeschnitten und prüft konkrete Cloud-Sicherheitskriterien, oft inklusive ihrer Wirksamkeit über einen Zeitraum.

In der Praxis verlangen Cloud-Ausschreibungen häufig den C5 (meist Typ 2), während ISO 27001 als grundlegender Nachweis des Sicherheitsmanagements gefordert wird. Welcher Nachweis konkret zählt, steht in den Vergabeunterlagen — Vergabit macht solche Anforderungen früh sichtbar, sodass sich der oft monatelange Vorlauf für ein Testat rechtzeitig einplanen lässt.