C5:2026: Das Bundesamt für Sicherheit aktualisiert seinen Cloud-Computing-Standard
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die neue Version des Cloud Computing Compliance Criteria Catalogue (C5) veröffentlicht. Der überarbeitete Standard C5:2026 soll Unternehmen, Behörden und Organisationen dabei helfen, Cloud-Dienste sicherer zu nutzen und auszuwählen. Seit 2016 gilt der C5 als der deutschlandweit wichtigste Sicherheitsstandard für Cloud-Anbieter und -Nutzer.
Was ist der C5 und welche Funktion hat er?
Der C5-Katalog übersetzt komplexe Sicherheitsanforderungen an zukunftsfähige Cloud-Dienste in prüfbare Kriterien. Das bedeutet: Die abstrakten Anforderungen werden konkretisiert und können von Wirtschaftsprüfern überprüft werden. Nach erfolgreicher Prüfung bescheinigen diese dem Cloud-Anbieter, dass die im Standard festgelegten Sicherheitskriterien erfüllt sind.
Die praktische Relevanz liegt darin, dass der C5 nicht nur Unternehmen und Behörden belastbare Informationen für ihr eigenes Risikomanagement bietet. Der Standard schafft auch marktübergreifend Transparenz und Orientierungshilfen bei der Auswahl von Cloud-Anbietern. Sicherheitsversprechen werden dadurch besser vergleichbar.
Kernfakten zur Neuversion C5:2026
Die überarbeitete Version des Standards berücksichtigt aktuelle technologische Entwicklungen und die gegenwärtige Bedrohungslage. Folgende Themen werden im C5:2026 erstmals oder gezielter als zuvor adressiert:
- Container-Management: Verwaltung und Sicherheit von Container-Technologien
- Post-Quanten-Kryptographie: Kryptografische Verfahren, die auch gegen Quantencomputer resistent sein sollen
- Confidential Computing: Verarbeitung sensitiver Daten in abgesicherten Umgebungen
- Mandantentrennung: Noch gezielter adressiert als in früheren Versionen
- Supply Chain Management: Gezielte Adressierung der Lieferkettensicherheit
Strukturelle und technische Verbesserungen
BSI-Vizepräsident Thomas Caspers hebt hervor, dass C5:2026 nicht nur zusätzliche Sicherheit bringt, sondern auch die Nutzerfreundlichkeit erhöht. Die überarbeitete Struktur mit Unterkriterien und ergänzenden Zusatzkriterien sorgt für mehr Klarheit bei Prüfung, Zuordnung und Auswertung.
Ein besonderes Merkmal: Der Katalog wird künftig nicht nur in englischer und in Kürze auch in deutscher Sprache vorliegen, sondern erstmals auch in einem maschinenlesbaren Format. Dies erleichtert die Integration in Governance-, Risiko- und Compliance-Prozesse (GRC-Prozesse) erheblich, da eine standardisierte, verlässliche Beschreibungssprache für Cloud-Sicherheit entsteht.
Harmonisierung mit anderen Standards und Richtlinien
Der C5:2026 ist inhaltlich und strukturell eng an das europäische Zertifizierungsschema EUCS angelehnt. Bei der Erstellung wurden zudem weitere relevante Anforderungsdokumente berücksichtigt:
- CSA Cloud Controls Matrix Version 4
- ISO/IEC 27001:2022
- NIS-2-Direktive (Europäische Netzwerk- und Informationssicherheitsrichtlinie)
Diese Abstimmung stellt sicher, dass der C5:2026 mit internationalen und europäischen Sicherheitsstandards harmoniert und nicht isoliert dasteht.
Einbeziehung von Praxiserfahrungen
Das BSI hat bei der Erstellung des C5:2026 ein Community Draft durchgeführt. Dadurch flossen praktische Erfahrungen von Cloud-Anbietern, Cloud-Prüfern und Cloud-Beratern direkt in die Neuauflage ein. Dies gewährleistet, dass der Standard nicht nur theoretisch solide, sondern auch in der Praxis anwendbar ist.
Warum ist C5:2026 für die Sicherheitsbranche relevant?
Cloud Computing ist für moderne Organisationen unverzichtbar, birgt aber auch erhebliche Sicherheitsrisiken. Ein verlässlicher Standard wie C5:2026 ermöglicht es Unternehmen und Behörden, fundierte Entscheidungen beim Einsatz von Cloud-Diensten zu treffen. Als Sicherheitsverantwortlicher können Sie damit:
- Cloud-Anbieter auf standardisierter Basis bewerten und vergleichen
- Vertragsverhandlungen mit klaren, prüfbaren Kriterien führen
- Compliance-Anforderungen nachweisen
- Risiken systematisch identifizieren und bewerten
BSI-Präsidentin Claudia Plattner betont, dass C5:2026 einen „zeitgemäßen, praxistauglichen Maßstab" für alle setzt, die Cloud-Dienste nutzen, prüfen, anbieten oder beschaffen. Der Standard unterstreicht damit den Anspruch, Cybersicherheit und Digitalisierung als Einheit zu betrachten.
Ausblick: Souveränitätskriterien folgen
Ergänzend zu den im C5:2026 beschriebenen Sicherheitskriterien für Cloud-Dienste wird das BSI in Kürze allgemeine Souveränitätskriterien für Cloud-Computing-Lösungen veröffentlichen. Diese dürften insbesondere für Organisationen relevant sein, die Datensouveränität und die Kontrolle über ihre Infrastruktur als kritisch einstufen.
Mit der Veröffentlichung von C5:2026 und den angekündigten Souveränitätskriterien demonstriert das BSI seinen kontinuierlichen Einsatz für sichere und vertrauenswürdige Cloud-Dienste in Deutschland. Die internationale Resonanz auf den Standard zeigt, dass dieser Ansatz auch über Deutschlands Grenzen hinaus Bedeutung hat.
