Der Cloud Computing Compliance Criteria Catalogue (C5) des BSI ist der deutsche De-facto-Standard für die Sicherheit von Cloud-Diensten. Die aktuelle Fassung C5:2020 umfasst 121 Kriterien in 17 Themenbereichen – von Organisation und Personal über Identitätsmanagement bis zu Umgang mit Schwachstellen.
Der Nachweis erfolgt durch ein Testat eines Wirtschaftsprüfers nach ISAE 3000: Typ 1 bestätigt die Angemessenheit der Kontrollen zu einem Stichtag, Typ 2 zusätzlich deren Wirksamkeit über einen Zeitraum. Besondere Relevanz hat C5 im Gesundheitswesen: § 393 SGB V verlangt für die Verarbeitung von Sozial- und Gesundheitsdaten in der Cloud ein aktuelles C5-Testat.
Prüfen, ob Sie als Cloud-Anbieter ein Testat brauchen (z. B. wegen § 393 SGB V oder Kundenanforderungen).
Dienste, Standorte und Subdienstleister festlegen, die das Testat abdecken soll.
Gap-Analyse gegen alle 121 Kriterien; Kontrollbeschreibungen und Nachweise vorbereiten.
Lücken schließen – typisch: Schwachstellenmanagement, Logging, Notfalltests und Lieferantensteuerung.
Regelmäßige Penetrationstests als Nachweis für die OPS-/DEV-Kriterien dokumentieren.
Wirtschaftsprüfer für ISAE-3000-Prüfung mandatieren; erst Typ 1, im Folgejahr Typ 2 anstreben.
C5 selbst ist kein Gesetz – aber ohne Testat verlieren Sie Ausschreibungen und dürfen bestimmte Daten nicht verarbeiten: § 393 SGB V macht das C5-Testat zur Zulassungsvoraussetzung für Cloud-Dienste im Gesundheitswesen; die öffentliche Hand fordert C5 regelmäßig in Vergaben.
Mehrere C5-Kriterien (u. a. OPS-18 ff. zum Schwachstellenmanagement und DEV zur sicheren Entwicklung) setzen regelmäßige Sicherheitstests voraus – ein dokumentierter Penetrationstest ist ein zentraler Nachweis im Testat-Verfahren.
Pentest für Ihr C5-TestatAlle Angaben dieses Artikels stützen sich auf die folgenden Primärquellen (Stand: 2026-07-17).