A principios de abril de 2026, la Oficina Federal de Seguridad de la Información (BSI) de Alemania publicó la tercera generación de su catálogo de criterios para servicios en la nube. El C5:2026 sustituye al C5:2020, que durante seis años fue la referencia de la seguridad en la nube en Alemania. Si ofrece servicios en la nube y tiene o planea un informe de atestación C5, debería ocuparse ahora del calendario. La fecha límite para el cambio está más cerca de lo que parece a primera vista.
De qué trata el C5
El Cloud Computing Compliance Criteria Catalogue describe qué requisitos de seguridad debería cumplir como mínimo un servicio en la nube. Se dirige a los proveedores de infraestructura, plataformas y software como servicio. No existe un certificado en sentido estricto. En su lugar, un auditor independiente (auditor de cuentas) audita conforme a la norma de auditoría ISAE 3000 y emite un informe de atestación. En el tipo 1 se audita la idoneidad de las medidas en una fecha concreta; en el tipo 2, además, su eficacia durante un periodo, normalmente de seis a doce meses.
Para la mayoría de los proveedores, el C5 no es obligatorio por ley. En la práctica, sin embargo, lo exigen los organismos públicos contratantes, el sector sanitario y muchas empresas al seleccionar servicios en la nube. Para los proveedores en el mercado alemán es, por tanto, a menudo una condición de entrada.
Qué hay de nuevo
La idea básica se mantiene: criterios básicos como nivel mínimo, criterios adicionales para necesidades de protección más altas, auditoría por un auditor independiente. El catálogo sigue estructurado en 17 áreas temáticas. Lo que ha cambiado sobre todo es la profundidad. Muchos requisitos se dividen con más detalle en criterios individuales y se formulan con mayor precisión. En cuanto al contenido, se añaden varios temas o se amplían de forma notable:
- Contenedores y orquestación. La operación de entornos en contenedores se describe de forma mucho más concreta que hasta ahora.
- Cadena de suministro. La transparencia sobre el software y los proveedores utilizados gana peso, incluidas las listas de materiales de software (SBOM).
- Criptografía y métodos poscuánticos. La sección sobre cifrado es más detallada y trata la transición a métodos que deben resistir también a los futuros ordenadores cuánticos, por ejemplo mediante enfoques híbridos.
- Computación confidencial. Por primera vez se aborda de forma específica la protección de los datos durante su procesamiento.
- Separación de clientes. La separación de los datos de distintos clientes se define con más precisión.
Además, el catálogo está alineado con la ISO/IEC 27001:2022 y recoge el esquema europeo de certificación para servicios en la nube (EUCS). El BSI utiliza también el C5:2026 como base para sus criterios sobre la soberanía de los servicios en la nube, publicados por separado.
Desde cuándo se aplica el nuevo catálogo
La fecha decisiva es el 1 de junio de 2027. Para las auditorías cuyo periodo de auditoría comience en esa fecha o después, solo se admite el C5:2026. Hasta entonces, las auditorías pueden seguir realizándose conforme al C5:2020. Se permite expresamente un cambio anticipado. Los informes de atestación existentes conforme al C5:2020 mantienen su validez. Para las auditorías que terminan poco antes de la fecha límite, el BSI prevé reglas transitorias especiales. Los detalles debe acordarlos con su auditor.
Lo que esto significa en la práctica lo muestra un cálculo sencillo. Un informe de atestación de tipo 2 requiere que las medidas hayan sido eficaces durante todo el periodo de auditoría. Si su próximo periodo de auditoría empieza en el verano de 2027, deberá cumplir los nuevos criterios ya al inicio de ese periodo. La preparación, es decir, el análisis de brechas, la adaptación de procesos y tecnología y la documentación, cae por tanto en el próximo semestre.
Cómo abordar el cambio
- Aclarar el calendario. Compruebe con su auditor independiente cuándo empieza su próximo periodo de auditoría y si afecta a la fecha límite.
- Análisis de brechas. Asigne sus medidas existentes a los nuevos criterios. Así verá qué sigue igual, qué se ha endurecido y qué es nuevo.
- Priorizar los nuevos temas. La operación de contenedores, las listas de materiales de software y la planificación criptográfica suelen requerir tiempo de preparación en tecnología y compras. Empiece por ahí.
- Mantener evidencias a lo largo del tiempo. Para el tipo 2 no cuenta el estado en la fecha de referencia, sino la eficacia durante el periodo. Determine quién genera qué evidencias y cuándo.
- Aprovechar sinergias. Si opera un SGSI conforme a la ISO 27001 o está sujeto a NIS2, ya dispone de muchas bases. Aun así, se añaden criterios específicos de la nube.
Qué significa esto para usted
Si tiene un informe de atestación C5:2020 válido, no hay presión inmediata en cuanto al informe en sí. Sí la hay, en cambio, para preparar el próximo periodo de auditoría. Planifique ahora el análisis de brechas para que los nuevos criterios sean eficaces a tiempo. Si empieza de cero con el C5, constrúyalo directamente sobre el C5:2026.
En Sightadel trabaja los criterios del C5:2026 de forma guiada y adjunta las evidencias una sola vez, aunque cuenten también para la ISO 27001 o NIS2. El informe de atestación lo emite un auditor independiente. Más información en la página sobre BSI C5. Pruébelo usted mismo: Pruébelo gratis 14 días.
Revisado a: 2 de octubre de 2026 · No constituye asesoramiento jurídico. Prevalece la norma o la ley en su versión vigente.
