No início de abril de 2026, o Serviço Federal Alemão de Segurança da Informação (BSI) publicou a terceira geração do seu catálogo de critérios para serviços em nuvem. O C5:2026 substitui o C5:2020, que durante seis anos foi a referência em segurança em nuvem na Alemanha. Quem oferece serviços em nuvem e tem ou planeja obter um relatório de asseguração C5 deve olhar agora para o cronograma. Isso porque a data-base para a transição está mais próxima do que parece à primeira vista.
O que é o C5
O Cloud Computing Compliance Criteria Catalogue descreve os requisitos mínimos de segurança que um serviço em nuvem deve cumprir. Ele se destina a provedores de infraestrutura, plataformas e software como serviço. Não existe um certificado em sentido estrito. Em vez disso, um auditor independente (empresa de auditoria) audita segundo a norma de asseguração ISAE 3000 e emite um relatório de asseguração. No tipo 1, é verificada a adequação das medidas em uma data-base; no tipo 2, também a sua eficácia ao longo de um período, normalmente de seis a doze meses.
Para a maioria dos provedores, o C5 não é legalmente obrigatório. Na prática, porém, ele é exigido por contratantes públicos, pelo setor de saúde e por muitas empresas na escolha de serviços em nuvem. Para os provedores no mercado alemão, ele costuma ser, portanto, um requisito de entrada.
O que há de novo
A ideia básica continua a mesma: critérios básicos como nível mínimo, critérios adicionais para necessidades de proteção mais altas, auditoria por um auditor independente. O catálogo continua dividido em 17 áreas temáticas. O que mudou foi principalmente a profundidade. Muitos requisitos foram divididos em critérios individuais mais detalhados e formulados com mais precisão. Do ponto de vista técnico, vários temas foram incluídos ou significativamente ampliados:
- Contêineres e orquestração. A operação de ambientes em contêineres é descrita de forma muito mais concreta do que antes.
- Cadeia de suprimentos. A transparência sobre o software utilizado e os fornecedores ganha peso, incluindo listas de componentes de software (SBOM).
- Criptografia e algoritmos pós-quânticos. A seção sobre criptografia é mais detalhada e trata da transição para algoritmos que também devem resistir a futuros computadores quânticos, por exemplo por meio de abordagens híbridas.
- Confidential computing. A proteção dos dados durante o processamento é tratada pela primeira vez de forma independente.
- Separação entre clientes. A separação dos dados de diferentes clientes é definida com mais precisão.
Além disso, o catálogo está alinhado à ISO/IEC 27001:2022 e considera o esquema europeu de certificação para serviços em nuvem (EUCS). O BSI também usa o C5:2026 como base para os seus critérios, publicados separadamente, sobre a soberania dos serviços em nuvem.
A partir de quando o novo catálogo vale
A data decisiva é 1º de junho de 2027. Para as auditorias cujo período de auditoria comece nessa data ou depois dela, só é aceito o C5:2026. Até lá, as auditorias ainda podem ser realizadas segundo o C5:2020. Uma transição antecipada é expressamente possível. Os relatórios de asseguração existentes segundo o C5:2020 continuam válidos. Para as auditorias que terminem pouco antes da data-base, o BSI prevê regras de transição específicas. Os detalhes devem ser combinados com o seu auditor.
Uma conta simples mostra o que isso significa na prática. Um relatório tipo 2 pressupõe que as medidas foram eficazes durante todo o período de auditoria. Quem fizer o seu próximo período de auditoria começar em meados de 2027 precisa cumprir os novos critérios já no início desse período. A preparação – ou seja, análise de lacunas, ajuste de processos e tecnologia, documentação – cai, portanto, no próximo semestre.
Como conduzir a transição
- Esclarecer o cronograma. Verifique com o seu auditor quando começa o seu próximo período de auditoria e se ele abrange a data-base.
- Análise de lacunas. Mapeie as suas medidas existentes para os novos critérios. Assim você vê o que continua igual, o que foi reforçado e o que é novo.
- Priorizar os novos temas. A operação de contêineres, as listas de componentes de software e o planejamento criptográfico costumam exigir antecedência na área técnica e em compras. Comece por eles.
- Manter evidências ao longo do tempo. No tipo 2, o que conta não é a situação na data-base, e sim a eficácia ao longo do período. Defina quem produz quais evidências e quando.
- Aproveitar sinergias. Quem tem um SGSI segundo a ISO 27001 ou está sujeito à NIS2 já tem muitas bases. Os critérios específicos de nuvem, no entanto, vêm em acréscimo.
O que isso significa para a sua empresa
Se você tem um relatório de asseguração C5:2020 válido, não há necessidade urgente de agir quanto ao relatório em si. Mas há quanto à preparação do próximo período de auditoria. Planeje já a análise de lacunas, para que os novos critérios estejam eficazes a tempo. Se você está começando agora com o C5, construa diretamente com base no C5:2026.
No Sightadel, você percorre os critérios do C5:2026 de forma guiada e vincula as evidências uma única vez, mesmo que elas também contem para a ISO 27001 ou a NIS2. O relatório de asseguração é emitido por um auditor independente. Mais informações na página sobre o BSI C5. Para testar: Teste grátis por 14 dias.
Atualizado em: 2 de outubro de 2026 · Não constitui consultoria jurídica. Vale a norma ou a lei na versão em vigor.
