No início de abril de 2026, o Serviço Federal Alemão de Segurança da Informação (BSI) publicou a terceira geração do seu catálogo de critérios para serviços de cloud. O C5:2026 substitui o C5:2020, que durante seis anos foi a referência em segurança de cloud na Alemanha. Quem fornece serviços de cloud e tem ou planeia obter um relatório de atestação C5 deve ocupar-se agora do calendário. É que a data de referência para a transição está mais próxima do que parece à primeira vista.
Em que consiste o C5
O Cloud Computing Compliance Criteria Catalogue descreve os requisitos de segurança mínimos que um serviço de cloud deve cumprir. Destina-se a fornecedores de infraestrutura, plataformas e software como serviço. Não existe um certificado em sentido estrito. Em vez disso, um auditor independente (revisor oficial de contas) audita segundo a norma de garantia de fiabilidade ISAE 3000 e emite um relatório de atestação. No tipo 1, é verificada a adequação das medidas numa data de referência; no tipo 2, também a sua eficácia ao longo de um período, normalmente de seis a doze meses.
Para a maioria dos fornecedores, o C5 não é legalmente obrigatório. Na prática, porém, é exigido por entidades adjudicantes públicas, pelo setor da saúde e por muitas empresas na escolha de serviços de cloud. Para os fornecedores no mercado alemão, é assim muitas vezes um bilhete de entrada.
O que há de novo
A ideia de base mantém-se: critérios básicos como nível mínimo, critérios adicionais para necessidades de proteção mais elevadas, auditoria por um auditor independente. O catálogo continua dividido em 17 áreas temáticas. O que mudou foi sobretudo a profundidade. Muitos requisitos estão divididos em critérios individuais mais finos e formulados com maior precisão. Do ponto de vista técnico, vários temas são acrescentados ou significativamente alargados:
- Contentores e orquestração. A operação de ambientes em contentores é descrita de forma muito mais concreta do que até agora.
- Cadeia de fornecimento. A transparência sobre o software utilizado e os fornecedores ganha peso, incluindo listas de componentes de software (SBOM).
- Criptografia e algoritmos pós-quânticos. A secção sobre cifragem é mais detalhada e trata a transição para algoritmos que devem resistir também a futuros computadores quânticos, por exemplo através de abordagens híbridas.
- Confidential computing. A proteção dos dados durante o processamento é abordada pela primeira vez de forma autónoma.
- Separação entre clientes. A separação dos dados de diferentes clientes é definida com maior precisão.
Além disso, o catálogo está alinhado com a ISO/IEC 27001:2022 e tem em conta o esquema europeu de certificação para serviços de cloud (EUCS). O BSI utiliza ainda o C5:2026 como base para os seus critérios, publicados separadamente, sobre a soberania dos serviços de cloud.
A partir de quando se aplica o novo catálogo
A data decisiva é 1 de junho de 2027. Para as auditorias cujo período de auditoria comece nessa data ou depois dela, só é admitido o C5:2026. Até lá, as auditorias podem continuar a ser realizadas segundo o C5:2020. Uma transição antecipada é expressamente possível. Os relatórios de atestação existentes segundo o C5:2020 mantêm a sua validade. Para as auditorias que terminem pouco antes da data de referência, o BSI prevê regras transitórias específicas. Os pormenores devem ser acordados com o seu auditor.
Um cálculo simples mostra o que isto significa na prática. Um relatório de tipo 2 pressupõe que as medidas foram eficazes durante todo o período de auditoria. Quem fizer começar o seu próximo período de auditoria no verão de 2027 tem de cumprir os novos critérios logo no início desse período. A preparação – ou seja, análise de lacunas, adaptação de processos e tecnologia, documentação – recai assim no próximo semestre.
Como abordar a transição
- Clarificar o calendário. Verifique com o seu auditor quando começa o seu próximo período de auditoria e se este abrange a data de referência.
- Análise de lacunas. Associe as suas medidas existentes aos novos critérios. Assim vê o que se mantém, o que foi reforçado e o que é novo.
- Dar prioridade aos novos temas. A operação de contentores, as listas de componentes de software e o planeamento criptográfico exigem muitas vezes antecedência na área técnica e nas compras. Comece por aí.
- Manter evidências ao longo do tempo. No tipo 2, o que conta não é o estado na data de referência, mas a eficácia ao longo do período. Defina quem produz que evidências e quando.
- Aproveitar sinergias. Quem tem um SGSI segundo a ISO 27001 ou está abrangido pela NIS2 já dispõe de muitas bases. Os critérios específicos de cloud acrescem, ainda assim.
O que isto significa para a sua empresa
Se tiver um relatório de atestação C5:2020 válido, não há uma necessidade urgente de agir quanto ao relatório em si. Mas há quanto à preparação do próximo período de auditoria. Planeie já a análise de lacunas, para que os novos critérios sejam eficazes a tempo. Se estiver a começar agora com o C5, construa diretamente com base no C5:2026.
No Sightadel, percorre os critérios do C5:2026 de forma guiada e associa as evidências uma única vez, mesmo que contem também para a ISO 27001 ou a NIS2. O relatório de atestação é emitido por um auditor independente. Mais informações na página sobre o BSI C5. Para experimentar: Experimente grátis durante 14 dias.
Situação em: 2 de outubro de 2026 · Não constitui aconselhamento jurídico. Prevalece a norma ou a lei na versão em vigor.
