BSI C5:2026 : rendre la sécurité du cloud démontrable

Qu'est-ce que le BSI C5 ?

Le C5 est un catalogue de critères publié par l'Office fédéral allemand de la sécurité des technologies de l'information (BSI). Il définit les exigences minimales de sécurité de l'information pour les services cloud et rend comparable le niveau de sécurité des différents fournisseurs.

Point important, le C5 n'est pas un certificat BSI classique. Le respect des critères est attesté par des auditeurs indépendants selon la norme d'assurance internationale ISAE 3000. Le résultat est un rapport d'attestation C5 que les clients cloud demandent et évaluent.

Il existe deux types d'assurance :

• Type 1 (évaluation de la conception) : l'auditeur confirme que les mesures de sécurité sont conçues de façon appropriée à une date donnée.
• Type 2 (efficacité opérationnelle) : l'auditeur confirme en outre que les mesures ont fonctionné efficacement sur une période. Le Type 2 est la variante la plus probante et est de plus en plus exigé dans les secteurs réglementés.

À qui une attestation C5 s'adresse-t-elle — et à qui non ?

Le C5 vous concerne si…

… vous fournissez des services cloud et devez démontrer la confiance et la comparabilité sur le marché allemand ou européen. Dans plusieurs secteurs, une attestation C5 constitue de fait une condition d'accès au marché :

• Santé : depuis juillet 2025, une attestation C5 Type 2 est obligatoire pour les services cloud qui traitent des données de patients (article 393 SGB V / DigiG).
• Administration publique : pour les achats de cloud par les autorités fédérales allemandes, le C5 est de fait obligatoire.
• Secteur financier : l'attestation C5 est reconnue comme preuve complémentaire pour les exigences de gestion des risques liés aux TIC au titre de DORA.

… ou si vous consommez des services cloud et devez évaluer de manière structurée le niveau de sécurité de vos fournisseurs dans le cadre de votre propre gestion des risques.

Le C5 n'est probablement pas directement pertinent pour vous si…

… votre organisation ne propose pas de services cloud et ne recourt pas au cloud pour des données réglementées ou particulièrement sensibles. Pour une informatique exploitée purement en local et sans cloud, le C5 ne joue aucun rôle immédiat.

La même nuance s'applique ici : si vous faites partie d'une chaîne d'approvisionnement cloud en tant que fournisseur ou sous-traitant, vos clients peuvent malgré tout exiger de vous des preuves C5.

Qu'est-ce qui a changé avec le C5:2026 ?

Le C5:2026 s'appuie sur le C5:2020 mais répond à six années d'évolutions technologiques et réglementaires. Les principales mises à jour :

• Plus de critères, nouvelle structure. 168 critères au lieu de 121, désormais assortis de sous-critères clairement délimités, plus faciles à mettre en correspondance avec les contrôles internes.
• Nouveaux domaines thématiques. Traités spécifiquement pour la première fois : la gestion des conteneurs, le confidential computing et la cryptographie post-quantique.
• Exigences renforcées. Entre autres, la séparation des locataires, la gestion de la chaîne d'approvisionnement et la gestion des identités et des accès ont été rendues plus strictes (avec une référence explicite aux modèles zero-trust).
• Compatibilité européenne. Le C5:2026 est aligné sur le schéma de certification européen EUCS (niveau Substantial) et prend en compte ISO/IEC 27001:2022, la CSA Cloud Controls Matrix v4 et NIS2.
• Critères additionnels différenciés. Les critères additionnels sont désormais distingués entre « renforçants » et « complémentaires ».

Une période de transition s'applique aux attestations C5:2020 existantes : le C5:2026 devrait devenir contraignant pour les nouvelles périodes d'évaluation Type 2 à partir de juin 2027.

Le défi typique de la préparation au C5

Un audit C5 est étendu et coûteux. Lors de la préparation, nous observons trois problèmes récurrents :

• Preuves dispersées entre équipes et outils. Les preuves des 168 critères vivent dans des tickets, des wikis, des e-mails et des tableurs. L'auditeur les demande — et la recherche recommence à chaque fois.
• Effort annuel au lieu d'une préparation continue. Pour les attestations Type 2, l'efficacité doit être démontrée sur toute la période. Les organisations qui ne commencent à collecter que peu avant l'audit se retrouvent avec des lacunes.
• Le changement de version comme risque de projet. Passer du C5:2020 au C5:2026 implique un travail de delta. Sans une mise en correspondance propre des mesures existantes, cela se transforme en repartir de zéro.

Comment Sightadel simplifie la préparation au C5

Sightadel est le portail de conformité de la Pervigon Security Suite. Il représente le C5:2026 sous la forme d'un catalogue de critères structuré auquel vous associez des mesures, des responsables et des preuves — avec un statut d'avancement consultable à tout moment.

Le C5 avec Sightadel en pratique

1. 1
   Mettre en correspondance.Associez les mesures existantes aux 168 critères du C5:2026. Résultat : un premier statut d'avancement par domaine thématique.
2. 2
   Combler les lacunes.Analyse des écarts, plan d'action priorisé avec responsables et échéances — centré sur les nouveaux sujets (conteneurs, confidential computing, post-quantique).
3. 3
   Maintenir les preuves.Joignez les preuves en continu, documentez l'efficacité sur toute la période du Type 2.
4. 4
   Accompagner l'attestation.Fournissez à l'auditeur l'état requis de manière structurée.

La conformité C5 comme un état, pas un projet annuel

Une attestation C5 n'est pas un événement ponctuel mais une preuve récurrente. Sightadel maintient votre statut d'avancement en permanence à jour — au fil des changements de version, auditable, et sans que chaque audit déclenche un nouveau projet.