Das BSI hat am 7. April 2026 den aktualisierten Kriterienkatalog C5:2026 veröffentlicht, der die Version C5:2020 ablöst und erstmals eine deutsche Interpretation des EU-Cloud-Certification-Schemas einschließt. Für Unternehmen, die KI-Systeme in regulierten Branchen betreiben, verschärfen sich die Anforderungen konkret: Im Gesundheitswesen ist eine C5-Typ-2-Zertifizierung gesetzlich vorgeschrieben, gleiches gilt für Finanzdienstleister, Banken und staatliche Stellen. Wer Cloud-Infrastrukturen für KI-Anwendungen nutzt, muss prüfen, ob seine Anbieter die neuen Kriterien erfüllen. Der Katalog definiert zudem verbindlich Begriffe wie Zonen, Partitionen und Standorte, was Auslegungsspielräume bei Audits und Verträgen erheblich einschränkt.
BSI aktualisiert C5-Katalog: Was Cloud-Sicherheit für KI-Systeme in Deutschland jetzt bedeutet
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 7. April 2026 eine aktualisierte Version seines Kriterienkataloges für sicheres Cloud-Computing veröffentlicht. Der neue Standard C5:2026 löst die bislang gültige Version C5:2020 ab und legt fest, welche Mindeststandards Cloud-Anbieter im sicheren Betrieb erfüllen müssen.
C5:2026: Was sich ändert
C5:2026 bringt neben aktualisierten Betriebsanforderungen auch eine deutsche Interpretation des EU-Cloud-Certification-Schemas (EUCS). Ein zentrales Ziel des Katalogs bleibt dabei unverändert: Begrifflichkeiten und Betriebsabläufe so präzise zu definieren, dass die Anforderungen eindeutig auslegbar sind. Dazu gehören etwa Definitionen grundlegender Konzepte wie “gemeinsame Zone”, “Partition” und “Location” im Cloud-Betrieb, auf denen die eigentlichen Kernkriterien aufbauen.
Der Katalog geht auf eine erste Version aus dem Jahr 2016 zurück. Laut Microsoft-Compliance-Dokumentation bestand die C5:2020-Version aus 114 Anforderungen in 17 Bereichen und basierte auf international anerkannten Standards wie ISO/IEC 27001:2013, der Cloud Security Alliance Cloud Controls Matrix 3.0.1 sowie den BSI-eigenen IT-Grundschutzkatalogen.
Praktische Implikationen für Unternehmen, die KI-Systeme in der Cloud betreiben
1. Gesetzliche Voraussetzung in regulierten Sektoren
Für zahlreiche Branchen ist eine C5-Konformität keine freiwillige Entscheidung. Laut Heise gelten die BSI-Vorgaben im digitalen deutschen Gesundheitswesen, bei digitalen Finanzdienstleistungen, im Bankensektor sowie bei staatlichen Stellen als maßgeblich. Im Gesundheitswesen wird explizit eine Typ-2-Zertifizierung vorausgesetzt. Unternehmen, die KI-gestützte Anwendungen in diesen Sektoren betreiben oder planen, müssen prüfen, ob ihre Cloud-Infrastruktur unter C5:2026 zertifiziert ist oder wird.
2. Anforderungen gelten auch für Cloud-Dienstleister, die KI-Dienste hosten
C5 richtet sich nicht nur an Endanwender, sondern an Cloud-Dienstanbieter selbst. Wer als Unternehmen einen externen KI-Dienst nutzt, der auf einer nicht-zertifizierten Cloud-Infrastruktur läuft, trägt im regulierten Umfeld ein compliance-rechtliches Risiko. Die Auswahl des Hosting-Partners wird damit zu einem zentralen Due-Diligence-Schritt.
3. EUCS-Alignment schafft perspektivisch mehr Vergleichbarkeit
Durch die Integration einer deutschen Interpretation des EU-Cloud-Certification-Schemas in C5:2026 entsteht eine engere Verzahnung mit europäischen Anforderungen. Für Unternehmen, die KI-Systeme EU-weit einsetzen, könnte dies mittelfristig die Vergleichbarkeit von Zertifizierungen erleichtern. Unmittelbare rechtliche Gleichwertigkeit ergibt sich daraus jedoch nicht automatisch.
4. Begriffsklarheit als Compliance-Grundlage
Die explizite Definition von Betriebskonzepten im Katalog ist für Unternehmen praktisch relevant: Verträge mit Cloud-Anbietern und interne Sicherheitsrichtlinien sollten auf denselben Definitionen beruhen, die C5:2026 vorschreibt. Abweichende oder unklare Vertragsbegriffe können im Audit zu Problemen führen.
Was Entscheider jetzt tun sollten
Unternehmen, die KI-Anwendungen in regulierten deutschen Märkten betreiben, sollten zeitnah prüfen, ob ihre Cloud-Anbieter eine C5:2026-Zertifizierung anstreben oder bereits vorweisen. Da der neue Standard die 2020er-Version ablöst, sind bestehende Typ-2-Testate auf ihre Aktualität hin zu bewerten. Die Einbindung von Datenschutz- und IT-Sicherheitsverantwortlichen in diese Bewertung ist ratsam.
Quellen
- BSI-Kriterienkatalog für Cloud-Computing C5 verlangt mehr – Heise Online, 07.04.2026
- Cloud Computing-Konformitätskriterienkatalog (C5) – Microsoft Compliance Dokumentation
Häufige Fragen
Was ist der BSI C5-Katalog und wofür wird er verwendet?
Der Cloud Computing Compliance Criteria Catalog (C5) wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) erstmals 2016 veröffentlicht. Er legt verbindliche Mindestanforderungen für den sicheren Betrieb von Cloud-Diensten fest. Der Katalog basiert auf internationalen Standards wie ISO/IEC 27001:2013 und umfasst 114 Anforderungen in 17 Bereichen. Neben Behörden nutzt ihn zunehmend auch die Privatwirtschaft als Referenzrahmen.
Was ändert sich mit der neuen Version C5:2026?
C5:2026 löst die bisherige Version C5:2020 ab. Das BSI hat die aktualisierte Fassung am 7. April 2026 veröffentlicht. Neu ist unter anderem eine deutsche Interpretation des EU-Cloud-Certification-Schemas. Zudem schärft der Katalog Begriffsdefinitionen für den Cloud-Betrieb, etwa zu Zonen, Partitionen und Standorten, um sicherzustellen, dass einheitliche Konzepte einheitlich verstanden und umgesetzt werden.
In welchen Branchen ist eine C5-Zertifizierung gesetzlich vorgeschrieben?
Eine C5-Zertifizierung ist in mehreren regulierten Bereichen verpflichtend oder de facto Standard. Im deutschen Gesundheitswesen wird eine Typ-2-Zertifizierung vorausgesetzt. Auch im Bankensektor, bei digitalen Finanzdienstleistungen, bei der Verarbeitung von Passbilddaten sowie bei staatlichen Stellen gilt C5 als maßgebliche Anforderung. Anbieter von KI-Systemen, die in diesen Sektoren eingesetzt werden, müssen dies bei der Wahl ihrer Cloud-Infrastruktur berücksichtigen.
Was bedeutet der Unterschied zwischen einer Typ-1- und einer Typ-2-Zertifizierung nach C5?
Bei einer Typ-1-Zertifizierung prüfen Auditoren die Eignung der Sicherheitskontrollen eines Cloud-Anbieters zu einem bestimmten Stichtag. Eine Typ-2-Zertifizierung geht weiter: Hier wird die tatsächliche Wirksamkeit der Kontrollen über einen definierten Zeitraum hinweg geprüft. Für besonders sensible Bereiche wie das digitale Gesundheitswesen schreibt der Gesetzgeber die anspruchsvollere Typ-2-Prüfung vor.
Warum ist C5 für Unternehmen relevant, die KI-Dienste über die Cloud betreiben?
KI-Anwendungen in regulierten Branchen laufen häufig auf Public-Cloud-Infrastrukturen, die C5-konform sein müssen. Der Katalog stellt sicher, dass Cloud-Anbieter nachweislich definierte Sicherheitsstandards einhalten. Für Entscheider bedeutet das: Wer KI-Systeme etwa im Gesundheits- oder Finanzsektor betreibt, muss prüfen, ob der gewählte Cloud-Anbieter eine gültige C5-Zertifizierung vorweisen kann, da sonst regulatorische Anforderungen nicht erfüllt werden.
