Transparenz für Unternehmen und Behörden BSI aktualisiert mit C5:2026 den Cloud-Sicherheitsstandard

Anbieter zum Thema

Bundesamt für Sicherheit i.d.Informationstechnik

Fujitsu Technology Solutions GmbH

Hyland Software Germany GmbH

Yorizon GmbH & Co. KG

Mit dem überarbeiteten „Cloud Computing Compliance Criteria Catalogue“ (C5) in der Version 2026 macht das Bundesamt für Sicherheit in der Informationstechnik Cloud-Sicherheitsanforderungen besser vergleichbar, vereinfacht Prüfungen und will neue Technologien wie Post-Quanten-Kryptographie erstmals systematisch abdecken.

Cloud Computing gilt als Schlüsseltechnologie der Digitalisierung, doch Vertrauen allein reicht laut Bundesamt für Sicherheit in der Informationstechnik (BSI) nicht aus. Mit C5:2026 legt die Behörde eine neue Generation ihres wichtigsten deutschen Cloud-Standards vor, die Sicherheitsanforderungen in prüfbare Kriterien übersetzt, die Auswahl von Cloud-Anbietern erleichtern und die Auditierbarkeit verbessern soll.

Das BSI ordnet Cloud Computing als essenziell für „die Digitalisierung von Wirtschaft, Verwaltung und Gesellschaft“ ein und macht zugleich deutlich, dass der Nutzen nur dann tragfähig sei, wenn Sicherheitsanforderungen industriegerecht definiert und überprüfbar würden. Genau hier setzt der C5 an, den das BSI seit 2016 als zentralen Maßstab für Cloud-Anbieter und Cloud-Nutzer in Deutschland etabliert hat und nun in einer aktualisierten Fassung vorlegt.

C5:2026 – von Sicherheitsanforderungen zu prüfbaren Kriterien

BSI-Präsidentin Claudia Plattner beschreibt C5:2026 als Generationswechsel des Standards und betont die Rolle des BSI als nationale Cybersicherheitsbehörde. Wörtlich erklärt sie: „Mit dem C5:2026 haben wir die nächste Generation unseres etablierten Kriterienkatalogs für sicheres Cloud Computing veröffentlicht.“ Ziel sei ein „zeitgemäßer, praxistauglicher Maßstab für alle, die Cloud-Dienste nutzen, prüfen, anbieten oder beschaffen“. Plattner hebt zudem den Vergleichsaspekt hervor: Der aktualisierte C5 setze die Wirkung der Vorgänger fort, indem er Sicherheitsversprechen von Cloud-Anbietern künftig noch besser vergleichbar mache und Unternehmen, Behörden und Organisationen helfen, fundierte Entscheidungen zu treffen. Zugleich versteht sie den Katalog als strategisches Element: „Mit dem C5:2026 unterstreichen wir unseren Anspruch, Cybersicherheit und Digitalisierung als Einheit zu denken: Er ist ein wichtiger Baustein für die Cybernation Deutschland, der auch international auf eine breite Resonanz stößt.“

Kern der neuen Version ist der Anspruch, „komplexe Sicherheitsanforderungen an zukunftsfähige Cloud-Dienste in prüfbare Kriterien“ zu übersetzen. Der C5:2026 soll damit nicht nur „belastbare Informationen für das eigene Risikomanagement“ liefern, sondern auch „marktübergreifend Transparenz und Orientierung bei der Auswahl von Cloud-Anbietern“ schaffen.

Zudem wird definiert, wie die Konformität festgestellt wird: Prüfungen nach C5 werden von Wirtschaftsprüferinnen und Wirtschaftsprüfern vorgenommen, die nach erfolgreicher Prüfung testieren, dass ein Anbieter die im Katalog enthaltenen Sicherheitskriterien erfüllt.

Weiterentwicklung hinsichtlich Innovationen und neuer Risiken

Inhaltlich reagiert der C5:2026 laut Text auf „technologische Fortschritte und die aktuelle Bedrohungslage“. Er greift neue Sicherheitsfelder erstmals gezielt auf, darunter Container-Management, Post-Quanten-Kryptographie und Confidential Computing. Gleichzeitig werden etablierte Schwerpunkte weiter nachgeschärft: Mandantentrennung und Supply Chain Management würden „noch gezielter als zuvor adressiert“. Damit positioniert sich der Katalog als Update, das sowohl klassische Cloud-Risiken als auch neue Architektur- und Kryptographiefragen abdecken soll.

Strukturreform und maschinenlesbares Format sollen Nutzung erleichtern

Neben dem Sicherheitsgewinn sei insbesondere die Bedienbarkeit und damit Nutzerfreundlichkeit ein Vorzug des aktualisierten Kriterienkatalogs, hebt BSI-Vizepräsident Thomas Caspers hervor. Entscheidend sei dabei die Überarbeitung der Systematik: „Die überarbeitete Struktur mit Unterkriterien und verschärfenden bzw. ergänzenden Zusatzkriterien sorgt für mehr Klarheit bei Prüfung, Zuordnung und Auswertung.“

Einen weiteren Schritt sieht Caspers in der Bereitstellung in neuen Formaten und Sprachen: Der Katalog werde „nicht nur in englischer und in Kürze auch in deutscher Sprache, sondern erstmals auch in einem maschinenlesbaren Format bereitgestellt“. Das solle die Integration in Governance-, Risiko- und Compliance-Prozesse erleichtern, weil der C5 dadurch „eine gemeinsame, verlässliche Sprache dafür schafft, wie Cloud-Sicherheit beschrieben, geprüft und bewertet werden kann.“

Definition: Gesetze systematisch in maschinenlesbare Form bringen

Was ist Law as Code?

C5:2026 ist inhaltlich und strukturell eng an den Ergebnissen aus den Arbeiten am europäischen Zertifizierungsschema EUCS angelehnt. Darüber hinaus sind bei der Erstellung aktuelle Versionen weiterer relevanter Anforderungsdokumente berücksichtigt worden, ausdrücklich genannt werden die „CSA Cloud Controls Matrix Version 4“, ISO/IEC 27001:2022 sowie die NIS2-Direktive. Damit positioniert das BSI den C5:2026 als Standard, der nationale Anforderungen mit europäischen und international verbreiteten Rahmenwerken verzahnt.

Praxisfeedback aus dem Cloud-Ökosystem

Für die Neuauflage hat das BSI Rückmeldungen aus der Praxis aufgenommen. Über einen „Community Draft“ seien die praktischen Erfahrungen von Cloud-Anbietern, -Prüfern sowie -Beraterinnen und -Beratern in die Entwicklung eingeflossen. Der C5:2026 wird damit als Ergebnis eines iterativen Prozesses dargestellt, der nicht nur regulatorische Entwicklungen, sondern auch Umsetzbarkeit im Markt berücksichtigen soll.

Digitale Resilienz und Cybersecurity

BSI: Zertifizierung bleibt auch nach Software-Updates belastbar

Ausblick: Souveränitätskriterien sollen folgen

Über die Sicherheitskriterien hinaus kündigt das BSI weitere Leitplanken an. Ergänzend zu den im C5 beschriebenen Sicherheitskriterien für Cloud-Dienste werde das BSI in Kürze allgemeine Souveränitätskriterien für Cloud-Computing-Lösungen veröffentlichen. Damit deutet die Behörde an, dass neben technischer und organisatorischer Sicherheit künftig auch Fragen der digitalen Souveränität systematischer bewertet werden sollen.

(ID:50809091)