Definition: BSI C5
BSI C5 ist ein prüfungsbasierter Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik, der Mindestanforderungen an die Sicherheit festlegt, die ein Cloud-Anbieter über einen unabhängigen Prüfbericht nachweisen muss.
Kernmerkmale von BSI C5
C5 wird über ein Testat eines qualifizierten externen Prüfers nachgewiesen, nicht über ein vom BSI selbst ausgestelltes Zertifikat, und deckt den konkreten Cloud-Dienst im Prüfumfang ab, nicht die gesamte Organisation des Anbieters. Es sollte nicht mit BSI IT-Grundschutz verwechselt werden, der allgemeinen BSI-Methodik für Organisationen insgesamt statt speziell für Cloud-Dienste.
- Aufgebaut auf 17 Themenbereichen, von der Organisation der Informationssicherheit bis zu Beschaffung und Vorfallmanagement
- Erfordert einen unabhängigen Prüfbericht statt eines vom BSI ausgestellten Zertifikats
- Unterscheidet Typ 1 (Angemessenheit der Maßnahmen zu einem Stichtag) von Typ 2 (Wirksamkeit über mindestens sechs Monate)
- Deckt nur die im Bericht konkret benannten Dienste ab
BSI C5 vs. ISO 27001
ISO 27001 zertifiziert, dass eine Organisation ein strukturiertes Informationssicherheits-Managementsystem für ihr gesamtes Geschäft betreibt, mit Kontrollen, die sie selbst auswählt. C5 schreibt stattdessen einen festen, cloud-spezifischen Kriterienkatalog vor, der über ein Prüfertestat statt über ein Zertifikat nachgewiesen wird, ähnlich wie SOC 2 im US-Markt. Beide ergänzen sich: Ein Anbieter kann ein ISO-27001-Zertifikat für sein ISMS und zugleich ein C5-Typ-2-Testat für einen einzelnen Dienst besitzen, und das BSI hat ein Mapping zwischen C5 und SOC 2 veröffentlicht. Für Mittelständler sagt ISO 27001, dass ein Anbieter Sicherheit allgemein gut umsetzt; C5 sagt, dass der konkrete Cloud-Dienst die deutschen Cloud-Anforderungen erfüllt.
Bedeutung von BSI C5 im Enterprise-KI-Umfeld
C5 ist für KI-nutzende Organisationen relevant, weil die meisten Enterprise-KI-Workloads auf Hyperscaler-Infrastruktur laufen, wodurch das Testat des Anbieters zum ersten Prüfpunkt jeder KI-Deployment-Bewertung wird. Der Bitkom Cloud-Report 2025 fand, dass 97 Prozent der deutschen Unternehmen Vertrauenswürdigkeit des Anbieters bei der Auswahl wichtig finden, wobei Sicherheit und Compliance als wichtigstes Kriterium gelten. Teams, die KI-Lieferantenrisikomanagement betreiben, verlangen zunehmend ein aktuelles C5-Testat, bevor eine Cloud-KI-Plattform produktiv freigegeben wird.
Methoden und Verfahren für BSI C5
Ein C5-Testat entsteht über einen definierten Prüfweg, nicht über eine Selbstauskunft.
Wahl zwischen Typ 1 und Typ 2
Der erste C5-Prüfzyklus eines Anbieters ist meist Typ 1 und bestätigt, dass die Kontrollen zu einem Stichtag angemessen gestaltet sind. Das BSI rät von wiederholten Typ-1-Prüfungen ab und erwartet, dass Anbieter für laufende Sicherheit zu Typ 2 wechseln.
- Typ 1 prüft die Angemessenheit der Kontrollgestaltung zu einem Stichtag, geeignet nur für die Erstprüfung
- Typ 2 prüft zusätzlich die operative Wirksamkeit über mindestens sechs Monate
- Die meisten Hyperscaler und deutschen Cloud-Anbieter führen inzwischen jährlich wiederkehrende Typ-2-Testate
Umfang des Kriterienkatalogs
C5:2020 definiert 121 Kriterien in 17 Themenbereichen, jeweils in Unterkriterien gegliedert, die auf das interne Kontrollsystem des Anbieters abgebildet werden. C5:2026 erweitert dies auf 168 Kriterien und ergänzt neue Bereiche für Container-Management, Confidential Computing und Post-Quanten-Kryptografie.
Beauftragung eines qualifizierten Prüfers
Die Prüfung muss von einem Prüfer mit anerkannter IT-Spezialisierung nach dem Prüfungsstandard ISAE 3000 durchgeführt werden, demselben Rahmenwerk, das auch SOC-2-Prüfungen zugrunde liegt. Testate werden meist unter NDA an Kunden weitergegeben statt veröffentlicht, sodass Käufer sie direkt über Vertrieb oder Kundenbetreuung anfordern.
Wichtige Kennzahlen für BSI C5
Anbieter und Käufer verfolgen einige wenige Kennzahlen zur C5-Bereitschaft.
Testat-Abdeckung und Status
- Testat-Typ: Typ 1 oder Typ 2
- Berichtsalter: Monate seit Ende des geprüften Zeitraums
- Kriterienabdeckung: Themenbereiche ohne dokumentierte Ausnahmen
- Verfügbarkeit von Bridge Letters: bestätigt Kontinuität zwischen zwei Prüfzeiträumen
Tiefe der Lieferantenprüfung
Einkaufs- und Sicherheitsteams verankern die C5-Prüfung zunehmend im Standard-Onboarding von Anbietern statt sie einmalig anzufordern. Der Bitkom Cloud-Report 2025 fand, dass 67 Prozent der deutschen Unternehmen eine vertrauenswürdige Anbieterherkunft inzwischen zur Pflicht machen, gegenüber 58 Prozent im Vorjahr.
Behebung von Feststellungen
Prüfer dokumentieren Kontrollabweichungen, die während des Typ-2-Beobachtungszeitraums auffallen, und wie schnell ein Anbieter diese behebt, zeigt operative Reife über den reinen Testat-Typ hinaus.
Risikofaktoren und Kontrollen bei BSI C5
C5 birgt eigene Risiken, wenn es als einmalige Formalität statt als laufender Prozess behandelt wird.
C5 als einmaliges Häkchen behandeln
Ein einmal eingeholtes und nie wieder geprüftes Testat gerät aus dem Rahmen, sobald ein Anbieter neue Dienste oder Regionen einführt, die nie geprüft wurden.
- Änderungen im Prüfumfang bei neuen Diensten oder Regionen übersehen
- Das Testat auslaufen lassen, ohne Verlängerung oder Bridge Letter anzufordern
- Kein interner Verantwortlicher, der den Testat-Kalender des Anbieters verfolgt
Testat mit Zertifizierung verwechseln
Weil C5 ein Prüfertestat statt eines vom BSI ausgestellten Zertifikats hervorbringt, erwarten manche Käufer ein öffentliches Register zur Statusprüfung, dabei ist der direkt beim Anbieter angeforderte Bericht selbst der einzig verlässliche Nachweis.
KI-Workload-Umfang im Testat unterschätzen
Unternehmen, die Cloud-KI mit On-Premise-KI oder souveräner KI kombinieren, gehen oft davon aus, dass der gesamte Anbieter abgedeckt ist, obwohl ein C5-Testat nur konkret benannte Dienste auflistet. Ein neu eingeführter KI-Inferenzdienst kann bis zum nächsten Prüfzyklus außerhalb eines bestehenden Testats liegen.
Praxisbeispiel
Ein 140-Mitarbeiter-Großhändler für Industrieteile in Nordrhein-Westfalen migrierte sein ERP und ein KI-gestütztes Rechnungsverarbeitungstool auf eine Public-Cloud-Plattform. Der Aufsichtsrat verlangte vor Freigabe der Migration einen Nachweis, dass der Anbieter die deutschen Sicherheitserwartungen erfüllt, da mehrere Kunden aus dem öffentlichen Sektor eine entsprechende Lieferkettenprüfung verlangten. Der IT-Leiter forderte das aktuelle C5-Typ-2-Testat des Anbieters an und glich dessen Themenbereiche mit der bestehenden Lieferantenrisiko-Checkliste des Unternehmens ab, statt bei null anzufangen. Die Prüfung war innerhalb von drei Wochen abgeschlossen, deutlich vor dem Projekttermin, und das Testat wurde zur Referenz für künftige Lieferantenprüfungen.
- Aktuelles C5-Typ-2-Testat des Anbieters angefordert und geprüft
- C5-Themenbereiche mit dem bestehenden Lieferantenrisiko-Fragebogen abgeglichen
- Bridge-Letter-Prozess dokumentiert, um Kontinuität bei der Verlängerung zu verfolgen
- Jährlichen Prüfrhythmus passend zum Prüfzyklus des Anbieters festgelegt
Aktuelle Entwicklungen und Auswirkungen
C5 durchläuft einen Übergang, während der Katalog selbst wächst.
Einführung von C5:2026
Veröffentlicht im April 2026, ergänzt C5:2026 Themenbereiche, die es zuvor nicht gab, und erhöht die Kriterienzahl deutlich.
- Kriterienzahl steigt von 121 auf 168 in 17 Themenbereichen
- Neue Abdeckung für Container-Management, Confidential Computing und Post-Quanten-Kryptografie
- Verpflichtend für Prüfzeiträume ab dem 1. Juni 2027, frühzeitige Einführung wird empfohlen
Wachsende Prüfung der Anbieterherkunft
Der Bitkom Cloud-Report 2025 fand, dass 78 Prozent der deutschen Unternehmen die Abhängigkeit von US-Cloud-Anbietern für zu hoch halten, und 67 Prozent machen eine vertrauenswürdige Anbieterherkunft inzwischen zur Pflicht. Gartner prognostiziert für 2026 weltweite Ausgaben für souveräne Cloud-Infrastruktur von 80 Milliarden US-Dollar, ein Trend, der Käufer dazu bringt, C5-Testate schon früher im Verkaufsprozess anzufordern.
C5 als Baustein für sektorale Regeln
Betreiber mit KRITIS-Pflichten verweisen zunehmend auf das C5-Testat eines Lieferanten als dokumentierten Nachweis in ihren eigenen Lieferketten-Risikobewertungen, was doppelte Prüfarbeit über überlappende Rahmenwerke hinweg reduziert.
Fazit
BSI C5 hat sich von einer deutschen Nischenanforderung zu einem Standardprüfpunkt bei der Auswahl von Cloud- und KI-Anbietern entwickelt, und der Umstieg auf C5:2026 macht den Katalog umfassender statt weniger relevant. Für den Mittelstand liegt die praktische Aufgabe darin, einen wiederholbaren Prozess für das Anfordern, Prüfen und Erneuern von Anbietertestaten aufzubauen, statt C5 als einmalige Beschaffungsfrage zu behandeln. Weil sich C5 mit ISO 27001 und zunehmend mit KRITIS-Lieferantenanforderungen überschneidet, summiert sich die investierte Prüfarbeit über künftige Anbieterpflichten hinweg. Unternehmen, die die Aktualität ihrer Testate parallel zum Cloud-KI-Rollout verfolgen, vermeiden die Lücken, die am häufigsten auffallen, wenn ein neuer Dienst ungeprüft in Produktion geht.
Häufig gestellte Fragen
Was unterscheidet BSI C5 von ISO 27001?
ISO 27001 zertifiziert, dass eine Organisation ein strukturiertes Sicherheits-Managementsystem für ihr gesamtes Geschäft betreibt, mit selbst gewählten Kontrollen. BSI C5 schreibt einen festen, cloud-spezifischen Kriterienkatalog vor, der über ein Prüfertestat nachgewiesen wird, und beide werden meist gemeinsam gehalten statt als Alternativen.
Lohnt sich die Prüfung eines C5-Testats für ein Unternehmen mit weniger als 200 Mitarbeitenden?
Ja, besonders bevor Kernsysteme wie das ERP zu einem neuen Cloud- oder KI-Anbieter wechseln, da ein aktuelles C5-Testat wenig Aufwand zum Anfordern kostet, aber das Anbieterrisiko spürbar senkt. Es zählt besonders für Unternehmen, die an Kunden aus dem öffentlichen Sektor oder mit KRITIS-Pflichten liefern, die diese Sorgfaltspflicht selbst erfüllen müssen.
Was kostet die Prüfung eines Anbietertestats für ein Mittelstandsunternehmen?
Das Anfordern und Prüfen eines bestehenden C5-Testats kostet in der Regel nur internen Aufwand, da der Bericht unter NDA vom Anbieter bereitgestellt wird und nicht vom Käufer beauftragt werden muss. Kosten entstehen nur, wenn ein Unternehmen selbst Cloud-Infrastruktur betreibt, die ein eigenes C5-Testat erfordert.
Wie verhält sich BSI C5 zu DSGVO und EU-KI-Verordnung?
C5 ersetzt keine DSGVO-Pflichten, aber seine Kriterien zu Zugriffskontrolle und Vorfallmanagement unterstützen eine nach DSGVO erforderliche Auftragsverarbeiter-Bewertung. Unter der EU-KI-Verordnung können Anbieter von Hochrisiko-KI-Systemen auf Cloud-Infrastruktur das C5-Testat eines Zulieferers in ihrer eigenen Risikodokumentation anführen.
Wie lange dauert es, bis ein Anbieter ein C5-Typ-2-Testat erhält?
Ein Typ-2-Testat setzt nach Einführung der Kontrollen einen Beobachtungszeitraum von mindestens sechs Monaten voraus, dazu kommen mehrere Wochen für die Prüfung selbst. Käufer, die ein bestehendes Testat prüfen, schließen ihre Bewertung meist innerhalb weniger Wochen ab.
Brauchen wir eigene IT-Sicherheitsressourcen, um ein Anbietertestat zu bewerten?
Nicht zwingend. Viele Mittelstandsunternehmen lassen die bestehende IT-Leitung oder einen externen Berater die Themenbereiche des Testats mit der eigenen Risiko-Checkliste abgleichen, eine Aufgabe, die keine eigene Sicherheitsabteilung erfordert.
