Début avril 2026, l’Office fédéral de la sécurité des technologies de l’information (BSI) a publié la troisième génération de son catalogue de critères pour les services cloud. Le C5:2026 remplace le C5:2020, qui a servi pendant six ans de référence pour la sécurité du cloud en Allemagne. Si vous proposez des services cloud et détenez ou envisagez une attestation C5, il est temps de vous pencher sur le calendrier. Car l’échéance de la transition est plus proche qu’il n’y paraît à première vue.
De quoi s’agit-il avec le C5
Le Cloud Computing Compliance Criteria Catalogue décrit les exigences de sécurité minimales qu’un service cloud devrait remplir. Il s’adresse aux fournisseurs d’infrastructures, de plateformes et de logiciels en tant que service. Il n’existe pas de certificat au sens strict. Un auditeur indépendant (expert-comptable) réalise l’audit selon la norme d’audit ISAE 3000 et délivre une attestation. Le type 1 évalue l’adéquation des mesures à une date donnée, le type 2 évalue en outre leur efficacité sur une période, généralement de six à douze mois.
Pour la plupart des fournisseurs, le C5 n’est pas une obligation légale. Dans la pratique, il est toutefois exigé par les acheteurs publics, le secteur de la santé et de nombreuses entreprises lorsqu’ils choisissent des services cloud. Pour les fournisseurs présents sur le marché allemand, il constitue donc souvent un ticket d’entrée.
Ce qui change
Le principe reste le même : des critères de base comme niveau minimal, des critères complémentaires pour des besoins de protection plus élevés, un audit par un auditeur indépendant. Le catalogue reste structuré en 17 domaines thématiques. Ce qui a surtout changé, c’est le niveau de détail. De nombreuses exigences sont découpées plus finement en critères individuels et formulées plus précisément. Sur le fond, plusieurs thèmes font leur apparition ou sont nettement développés :
- Conteneurs et orchestration. L’exploitation d’environnements conteneurisés est décrite de manière bien plus concrète qu’auparavant.
- Chaîne d’approvisionnement. La transparence sur les logiciels utilisés et les sous-traitants gagne en importance, y compris les nomenclatures logicielles (SBOM).
- Cryptographie et algorithmes post-quantiques. La section sur le chiffrement est plus détaillée et traite de la transition vers des algorithmes censés résister aussi aux futurs ordinateurs quantiques, par exemple au moyen d’approches hybrides.
- Confidential computing. La protection des données pendant leur traitement est abordée pour la première fois en tant que telle.
- Séparation des clients. La séparation des données des différents clients est définie plus précisément.
Par ailleurs, le catalogue est aligné sur l’ISO/IEC 27001:2022 et reprend le schéma européen de certification de cybersécurité pour les services cloud (EUCS). Le BSI utilise également le C5:2026 comme base pour ses critères de souveraineté des services cloud, publiés séparément.
À partir de quand le nouveau catalogue s’applique
La date décisive est le 1er juin 2027. Pour les audits dont la période d’audit commence à cette date ou après, seul le C5:2026 est admis. D’ici là, les audits peuvent encore être réalisés selon le C5:2020. Un passage anticipé est expressément possible. Les attestations existantes selon le C5:2020 restent valables. Pour les audits qui se terminent peu avant l’échéance, le BSI prévoit des règles transitoires particulières. Convenez des détails avec votre auditeur.
Un calcul simple montre ce que cela signifie en pratique. Une attestation de type 2 suppose que les mesures ont été efficaces sur toute la période d’audit. Si votre prochaine période d’audit commence à l’été 2027, vous devez remplir les nouveaux critères dès le début de cette période. La préparation, c’est-à-dire l’analyse des écarts, l’adaptation des processus et de la technique et la documentation, tombe donc dans le semestre à venir.
Comment aborder la transition
- Clarifier le calendrier. Vérifiez avec votre auditeur indépendant quand commence votre prochaine période d’audit et si elle est concernée par l’échéance.
- Analyse des écarts. Mettez en correspondance vos mesures existantes avec les nouveaux critères. Vous verrez ainsi ce qui reste inchangé, ce qui a été renforcé et ce qui est nouveau.
- Prioriser les nouveaux thèmes. L’exploitation de conteneurs, les nomenclatures logicielles et la planification cryptographique demandent souvent un délai de préparation côté technique et achats. Commencez par là.
- Tenir les preuves dans la durée. Pour le type 2, ce n’est pas l’état à une date donnée qui compte, mais l’efficacité sur la période. Définissez qui produit quelles preuves et quand.
- Exploiter les synergies. Si vous exploitez un SMSI selon l’ISO 27001 ou relevez de NIS2, vous disposez déjà de nombreuses bases. Les critères spécifiques au cloud s’y ajoutent malgré tout.
Ce que cela signifie pour vous
Si vous détenez une attestation C5:2020 valide, il n’y a pas d’urgence pour l’attestation elle-même. Il y en a bien une, en revanche, pour la préparation de la prochaine période d’audit. Planifiez l’analyse des écarts dès maintenant afin que les nouveaux critères soient efficaces à temps. Si vous débutez avec le C5, partez directement du C5:2026.
Dans Sightadel, vous parcourez les critères du C5:2026 de manière guidée et associez vos preuves une seule fois, même lorsqu’elles comptent aussi pour l’ISO 27001 ou NIS2. L’attestation est délivrée par un auditeur indépendant (expert-comptable). Plus d’informations sur la page BSI C5. Essayez par vous-même : Essai gratuit de 14 jours.
État : 2 octobre 2026 · Ceci n’est pas un conseil juridique. Seule la norme ou la loi dans sa version en vigueur fait foi.
