C5:2026: l'Ufficio federale per la sicurezza aggiorna il proprio standard per il cloud computing
Il Bundesamt für Sicherheit in der Informationstechnik (BSI) ha pubblicato la nuova versione del Cloud Computing Compliance Criteria Catalogue (C5). Lo standard rivisto C5:2026 deve aiutare imprese, autorità e organizzazioni a utilizzare e a selezionare i servizi cloud in modo più sicuro. Dal 2016 il C5 è considerato lo standard di sicurezza più importante in Germania per fornitori e utilizzatori di servizi cloud.
Che cos'è il C5 e quale funzione svolge?
Il catalogo C5 traduce complessi requisiti di sicurezza per servizi cloud orientati al futuro in criteri verificabili. Ciò significa che i requisiti astratti vengono concretizzati e possono essere verificati da revisori contabili. Dopo una verifica positiva, questi ultimi attestano al fornitore cloud che i criteri di sicurezza fissati nello standard sono soddisfatti.
La rilevanza pratica sta nel fatto che il C5 non offre soltanto a imprese e autorità informazioni affidabili per la propria gestione del rischio. Lo standard crea anche trasparenza a livello di mercato e orientamento nella scelta dei fornitori cloud. Le promesse di sicurezza diventano così più facilmente confrontabili.
Dati essenziali sulla nuova versione C5:2026
La versione rivista dello standard tiene conto degli attuali sviluppi tecnologici e dell'attuale scenario di minaccia. I temi seguenti vengono affrontati nel C5:2026 per la prima volta o in modo più mirato rispetto al passato:
- Container management: gestione e sicurezza delle tecnologie container
- Crittografia post-quantistica: procedure crittografiche che devono risultare resistenti anche ai computer quantistici
- Confidential computing: elaborazione di dati sensibili in ambienti protetti
- Separazione dei tenant: affrontata in modo ancora più mirato rispetto alle versioni precedenti
- Supply chain management: attenzione specifica alla sicurezza della catena di fornitura
Miglioramenti strutturali e tecnici
Il vicepresidente del BSI Thomas Caspers sottolinea che C5:2026 non porta soltanto maggiore sicurezza, ma aumenta anche la facilità d'uso. La struttura rivista, con sottocriteri e criteri aggiuntivi integrativi, garantisce maggiore chiarezza nella verifica, nell'attribuzione e nella valutazione.
Una caratteristica particolare: in futuro il catalogo non sarà disponibile soltanto in lingua inglese e, a breve, anche in tedesco, ma per la prima volta anche in un formato leggibile dalle macchine. Ciò facilita notevolmente l'integrazione nei processi di governance, rischio e compliance (processi GRC), poiché nasce un linguaggio descrittivo standardizzato e affidabile per la sicurezza del cloud.
Armonizzazione con altri standard e direttive
Il C5:2026 è strettamente allineato, per contenuti e struttura, allo schema di certificazione europeo EUCS. Nella sua elaborazione sono stati inoltre presi in considerazione altri documenti di requisiti rilevanti:
- CSA Cloud Controls Matrix versione 4
- ISO/IEC 27001:2022
- Direttiva NIS-2 (direttiva europea sulla sicurezza delle reti e dell'informazione)
Questo coordinamento garantisce che il C5:2026 sia armonizzato con gli standard di sicurezza internazionali ed europei e non resti isolato.
Integrazione delle esperienze pratiche
Nell'elaborazione del C5:2026 il BSI ha realizzato un Community Draft. In questo modo le esperienze pratiche di fornitori cloud, revisori cloud e consulenti cloud sono confluite direttamente nella nuova edizione. Ciò garantisce che lo standard non sia solo teoricamente solido, ma anche applicabile nella pratica.
Perché C5:2026 è rilevante per il settore della sicurezza?
Il cloud computing è imprescindibile per le organizzazioni moderne, ma comporta anche notevoli rischi per la sicurezza. Uno standard affidabile come C5:2026 consente a imprese e autorità di prendere decisioni fondate nell'impiego dei servizi cloud. In qualità di responsabile della sicurezza è così possibile:
- valutare e confrontare i fornitori cloud su basi standardizzate
- condurre le trattative contrattuali con criteri chiari e verificabili
- dimostrare la conformità ai requisiti di compliance
- identificare e valutare i rischi in modo sistematico
La presidente del BSI Claudia Plattner sottolinea che C5:2026 fissa un «parametro attuale e adatto alla pratica» per tutti coloro che utilizzano, verificano, offrono o acquistano servizi cloud. Lo standard ribadisce così l'ambizione di considerare cybersicurezza e digitalizzazione come un'unità.
Prospettive: seguiranno i criteri di sovranità
A integrazione dei criteri di sicurezza per i servizi cloud descritti nel C5:2026, il BSI pubblicherà a breve criteri generali di sovranità per le soluzioni di cloud computing. Questi dovrebbero risultare particolarmente rilevanti per le organizzazioni che considerano critiche la sovranità dei dati e il controllo sulla propria infrastruttura.
Con la pubblicazione di C5:2026 e dei criteri di sovranità annunciati, il BSI dimostra il proprio impegno costante per servizi cloud sicuri e affidabili in Germania. L'eco internazionale dello standard mostra che questo approccio ha rilevanza anche oltre i confini tedeschi.
