Das BSI hat mit C5:2026 eine umfassende Neuauflage seines Cloud-Sicherheitskriterienkatalogs veröffentlicht, die 129 überarbeitete und 39 neue Kriterien umfasst und erstmals Themen wie Verschlüsselungsherausforderungen und sichere Datenverarbeitung explizit adressiert. Für Unternehmen, die Cloud-Dienste im öffentlichen Sektor, bei Behörden oder im Gesundheitswesen einsetzen, ist ein C5-Testat eines Wirtschaftsprüfers verpflichtend. Da KI-Systeme zunehmend in kritischen Infrastrukturen auf Cloud-Plattformen betrieben werden, definiert C5:2026 de facto die verbindliche Sicherheitsbasis für deren Betrieb. Entscheider müssen prüfen, ob ihre Cloud-Anbieter ab dem Stichtag 1. Juli 2026 über ein gültiges Testat nach dem neuen Standard verfügen, um regulatorische Anforderungen zu erfüllen.

BSI aktualisiert C5-Kriterienkatalog: Was Unternehmen beim Cloud-Einsatz von KI-Systemen jetzt beachten müssen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit C5:2026 eine umfassend überarbeitete Fassung seines Cloud Computing Compliance Criteria Catalogue veröffentlicht. Die neue Version umfasst laut BSI 129 überarbeitete und 39 neue Kriterien. Für Unternehmen in regulierten Sektoren, die Cloud-Dienste für KI-Anwendungen nutzen, hat das unmittelbare Konsequenzen.

Was ist der C5-Kriterienkatalog?

Der C5 definiert Mindestanforderungen für sicheres Cloud Computing. Er richtet sich primär an professionelle Cloud-Anbieter, deren Prüfer und deren Kunden. Erstmals veröffentlichte das BSI den Katalog im Jahr 2016. Seitdem wurden nach Angaben des BSI bereits über hundert Testate für nationale, europäische und globale Cloud-Anbieter erteilt. Auch kleine und mittelständische Anbieter nutzen den Katalog.

Mit C5:2026 steht nun die dritte Generation des Regelwerks bereit. Während die Vorgängerversion C5:2020 schwerpunktmäßig die Umsetzung des EU Cybersecurity Acts adressierte, konzentriert sich die Neuauflage auf neuere Herausforderungen: Verschlüsselung, sichere Verarbeitung und ein erweitertes Mapping zu anderen Standards.

Vier praktische Implikationen für Entscheider

1. Verpflichtende Testate im öffentlichen Sektor und im Gesundheitswesen

Für die Cloud-Nutzung im öffentlichen Sektor, bei Behörden und im Gesundheitswesen ist ein C5-Testat verpflichtend. Cloud-Anbieter weisen ihre Konformität durch ein Testat eines Wirtschaftsprüfers nach, üblicherweise nach ISAE 3000 oder dem deutschen Pendant IDW PS 860. Unternehmen, die KI-Systeme in diesen Bereichen betreiben, müssen sicherstellen, dass ihre Cloud-Dienstleister über ein gültiges Testat verfügen.

2. Wahlfreiheit bei Nachweisformaten außerhalb regulierter Sektoren

Außerhalb regulierter Sektoren steht es Cloud-Kunden laut BSI grundsätzlich frei, welche Art von Nachweis sie akzeptieren. Neben einem Testat sind auch IT-Revisionsberichte oder Selbstauskünfte möglich. Unternehmen müssen die für sie geltenden rechtlichen Rahmenbedingungen im Einzelfall prüfen. Der C5 dient dabei als Grundlage für ein kundenseitiges Risikomanagementsystem.

3. Neue Anforderungen an Verschlüsselung und sichere Verarbeitung

Die 39 neuen Kriterien in C5:2026 adressieren ausdrücklich Themen wie Verschlüsselungsherausforderungen und sichere Verarbeitung. Das ist für KI-Workloads besonders relevant: Inferenz und Training auf Cloud-Infrastrukturen erfordern klare Regelungen zur Datenhaltung und -verarbeitung. Unternehmen, die etwa große Sprachmodelle über Cloud-APIs nutzen, sollten prüfen, ob ihre Anbieter die aktualisierten Kriterien abdecken. Weiterführende Einordnung zu BSI-Richtlinien für sichere KI-Systeme und zum BSI-Grundschutz für generative KI im Mittelstand finden Sie in unseren verwandten Artikeln.

4. Übergangsfrist ab 1. Juli beachten

Laut Heise iX gilt ab dem 1. Juli eine neue Frist, ab der die aktualisierten Anforderungen verbindlich werden. Unternehmen, die bestehende Testate nach C5:2020 nutzen, sollten den Übergang aktiv planen und bei ihren Cloud-Anbietern den Status der Rezertifizierung abfragen.

Einordnung in den regulatorischen Kontext

Der C5 steht nicht isoliert. Er ergänzt europäische Anforderungen wie den EU AI Act und das NIST AI Risk Management Framework, die ebenfalls Governance- und Sicherheitsanforderungen für KI-Systeme definieren. Unternehmen, die KI in kritischen Infrastrukturen einsetzen, stehen damit vor einer zunehmend dichten Schicht aufeinander abgestimmter Compliance-Anforderungen.

Für den Mittelstand, der Cloud-basierte KI-Dienste einsetzt, empfiehlt sich eine systematische Prüfung: Welche Cloud-Anbieter sind C5-testiert, in welcher Version, und decken die Testate die genutzten Dienste und Verarbeitungsszenarien tatsächlich ab?

Quellen

• BSI: C5-Einführung für Cloud-Kunden und Anbieter
• BSI: Cloud Computing Compliance Criteria Catalogue (englisch)
• Heise iX: BSI aktualisiert C5-Kriterienkatalog für Cloud-Sicherheit

Häufige Fragen

Was ist der C5-Kriterienkatalog des BSI und für wen gilt er?

Der Cloud Computing Compliance Criteria Catalogue (C5) des Bundesamts für Sicherheit in der Informationstechnik (BSI) legt Mindestanforderungen für sicheres Cloud-Computing fest. Er richtet sich primär an professionelle Cloud-Dienstleister, deren Prüfer sowie an Cloud-Kunden. Erstmals 2016 veröffentlicht, hat sich der Katalog am Markt etabliert: Laut BSI wurden bereits über hundert Testate für nationale, europäische und globale Cloud-Anbieter ausgestellt. Auch kleine und mittelständische Anbieter nutzen den Katalog.

Was bringt die aktuelle Version C5:2026 konkret Neues?

Mit C5:2026 hat das BSI den Katalog grundlegend überarbeitet. Die neue Fassung umfasst 129 überarbeitete sowie 39 neue Kriterien. Inhaltliche Schwerpunkte der Aktualisierung sind unter anderem aktuelle Herausforderungen bei der Verschlüsselung, die sichere Verarbeitung von Daten sowie ein erweitertes Mapping zu bestehenden Standards. Damit reagiert das BSI auf technologische Entwicklungen, die seit der Vorgängerversion C5:2020 an Bedeutung gewonnen haben.

Müssen Unternehmen aus kritischen Bereichen zwingend ein C5-Testat vorweisen?

Für Cloud-Nutzung im öffentlichen Sektor, bei Behörden und im Gesundheitswesen ist ein C5-Testat verpflichtend. In anderen Bereichen steht es Cloud-Kunden grundsätzlich frei, welche Art von Nachweis sie akzeptieren. Neben dem gängigen Testat nach ISAE 3000 oder nationalen Pendants wie IDW PS 860 sind auch IT-Revisionsberichte oder Selbstauskünfte möglich, sofern keine internen oder externen Verpflichtungen zur Testatspflicht bestehen. Die rechtlichen Rahmenbedingungen müssen Kunden im jeweiligen Einzelfall selbst prüfen.

Wie können Cloud-Anbieter ihre C5-Konformität nachweisen?

Cloud-Anbieter weisen ihre Konformität mit den C5-Kriterien in der Regel durch ein Testat eines Wirtschaftsprüfers nach. Die häufigste Form ist ein Testat nach dem internationalen Standard ISAE 3000. Alternativ kommen nationale Standards wie der US-amerikanische SOC 2 oder der deutsche IDW PS 860 zum Einsatz. Das Testat belegt gegenüber Kunden und Aufsichtsbehörden, dass die definierten Sicherheitsanforderungen für Cloud-Dienste erfüllt sind.

Welchen praktischen Nutzen hat der C5 für Unternehmen, die Cloud-Dienste beschaffen?

Der C5 dient Cloud-Kunden als wichtige Orientierungshilfe bei der Anbieterauswahl. Da der Katalog auf einer standardisierten Prüfung und Berichterstattung basiert, macht er die Informationssicherheit verschiedener Anbieter transparent und vergleichbar. Kunden können die vorliegenden Testate im Rahmen ihrer eigenen Risikoanalyse bewerten und darauf aufbauend ein individuelles Risikomanagement aufsetzen. Gerade für Entscheider in regulierten Branchen schafft dies eine belastbare Grundlage für Beschaffungsentscheidungen.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.