Anfang April 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die dritte Generation seines Kriterienkatalogs für Cloud-Dienste veröffentlicht. Der C5:2026 löst den C5:2020 ab, der sechs Jahre lang die Referenz für Cloud-Sicherheit in Deutschland war. Wer Cloud-Dienste anbietet und ein C5-Testat hat oder plant, sollte sich jetzt mit dem Zeitplan beschäftigen. Denn der Stichtag für die Umstellung liegt näher, als es auf den ersten Blick scheint.
Worum es beim C5 geht
Der Cloud Computing Compliance Criteria Catalogue beschreibt, welche Sicherheitsanforderungen ein Cloud-Dienst mindestens erfüllen sollte. Er richtet sich an Anbieter von Infrastruktur, Plattformen und Software als Dienst. Ein Zertifikat im engeren Sinn gibt es nicht. Stattdessen prüft ein Wirtschaftsprüfer nach dem Prüfungsstandard ISAE 3000 und erteilt ein Testat. Beim Typ 1 wird die Angemessenheit der Maßnahmen zu einem Stichtag geprüft, beim Typ 2 zusätzlich ihre Wirksamkeit über einen Zeitraum, meist sechs bis zwölf Monate.
Gesetzlich verpflichtend ist der C5 für die meisten Anbieter nicht. In der Praxis fordern ihn aber öffentliche Auftraggeber, das Gesundheitswesen und viele Unternehmen bei der Auswahl von Cloud-Diensten an. Für Anbieter im deutschen Markt ist er damit oft eine Eintrittskarte.
Was neu ist
Die Grundidee bleibt gleich: Basiskriterien als Mindestniveau, Zusatzkriterien für höheren Schutzbedarf, Prüfung durch einen unabhängigen Prüfer. Der Katalog ist weiterhin in 17 Themengebiete gegliedert. Geändert hat sich vor allem die Tiefe. Viele Anforderungen sind feiner in Einzelkriterien aufgeteilt und präziser formuliert. Fachlich kommen mehrere Themen hinzu oder werden deutlich ausgebaut:
- Container und Orchestrierung. Der Betrieb containerisierter Umgebungen wird wesentlich konkreter beschrieben als bisher.
- Lieferkette. Transparenz über eingesetzte Software und Zulieferer bekommt mehr Gewicht, einschließlich Stücklisten für Software (SBOM).
- Kryptographie und Post-Quanten-Verfahren. Der Abschnitt zur Verschlüsselung ist ausführlicher und behandelt den Übergang zu Verfahren, die auch gegen künftige Quantenrechner bestehen sollen, etwa durch hybride Ansätze.
- Confidential Computing. Der Schutz von Daten während der Verarbeitung wird erstmals eigens aufgegriffen.
- Mandantentrennung. Die Trennung der Daten verschiedener Kunden wird genauer gefasst.
Außerdem ist der Katalog auf ISO/IEC 27001:2022 abgestimmt und greift das europäische Zertifizierungsschema für Cloud-Dienste (EUCS) auf. Das BSI nutzt den C5:2026 zudem als Grundlage für seine separat veröffentlichten Kriterien zur Souveränität von Cloud-Diensten.
Ab wann der neue Katalog gilt
Der entscheidende Termin ist der 1. Juni 2027. Für Prüfungen, deren Prüfzeitraum an oder nach diesem Datum beginnt, ist nur noch der C5:2026 zulässig. Bis dahin können Prüfungen weiter nach C5:2020 durchgeführt werden. Eine frühere Umstellung ist ausdrücklich möglich. Bestehende Testate nach C5:2020 behalten ihre Gültigkeit. Für Prüfungen, die kurz vor dem Stichtag enden, sieht das BSI besondere Übergangsregeln vor. Die Details stimmen Sie mit Ihrem Prüfer ab.
Was das praktisch bedeutet, zeigt eine einfache Rechnung. Ein Typ-2-Testat setzt voraus, dass die Maßnahmen über den gesamten Prüfzeitraum wirksam waren. Wer seinen nächsten Prüfzeitraum im Sommer 2027 beginnen lässt, muss die neuen Kriterien bereits zu Beginn dieses Zeitraums erfüllen. Die Vorbereitung dafür, also Lückenanalyse, Anpassung von Prozessen und Technik, Dokumentation, fällt damit in das kommende Halbjahr.
Wie Sie die Umstellung angehen
- Zeitplan klären. Prüfen Sie mit Ihrem Wirtschaftsprüfer, wann Ihr nächster Prüfzeitraum beginnt und ob er den Stichtag berührt.
- Lückenanalyse. Ordnen Sie Ihre bestehenden Maßnahmen den neuen Kriterien zu. So sehen Sie, was unverändert gilt, was verschärft wurde und was neu ist.
- Neue Themen priorisieren. Container-Betrieb, Software-Stücklisten und Kryptographie-Planung brauchen oft Vorlauf in Technik und Einkauf. Fangen Sie dort an.
- Nachweise über die Zeit führen. Für Typ 2 zählt nicht der Zustand am Stichtag, sondern die Wirksamkeit über den Zeitraum. Legen Sie fest, wer welche Nachweise wann erzeugt.
- Synergien nutzen. Wer ein ISMS nach ISO 27001 betreibt oder unter NIS2 fällt, hat viele Grundlagen bereits. Cloud-spezifische Kriterien kommen trotzdem hinzu.
Was das für Sie bedeutet
Haben Sie ein gültiges C5:2020-Testat, besteht kein akuter Handlungsdruck für das Testat selbst. Sehr wohl aber für die Vorbereitung des nächsten Prüfzeitraums. Planen Sie die Lückenanalyse jetzt, damit die neuen Kriterien rechtzeitig wirksam sind. Starten Sie neu mit dem C5, bauen Sie direkt nach dem C5:2026 auf.
In Sightadel arbeiten Sie die Kriterien des C5:2026 geführt durch und hängen Nachweise einmal an, auch wenn sie zugleich für ISO 27001 oder NIS2 zählen. Das Testat erteilt ein unabhängiger Wirtschaftsprüfer. Mehr auf der Seite zu BSI C5. Selbst ausprobieren: 14 Tage kostenlos testen.
Stand: 2. Oktober 2026 · Keine Rechtsberatung. Maßgeblich sind Norm bzw. Gesetz in der geltenden Fassung.
