Szene aus dem echten Leben eines IT-Leiters: Der Einkauf eines großen Kunden schickt einen Fragebogen. Frage 14: „Liegt ein BSI-C5-Testat Ihres Cloud-Anbieters vor?“ Ihr Anbieter hat ein ISO-27001-Zertifikat, sauber, aktuell, mit Siegel. Reicht das?
Das BSI beantwortet die Frage in zwei Sätzen, die man zusammen lesen muss. Erstens: Der C5 nimmt alle Kriterien der ISO/IEC 27001 in seine Basiskriterien auf [1]. Zweitens: Ein ISO-27001-Zertifikat bringt nicht automatisch ein C5-Testat, weil die beiden Verfahren nicht zusammenhängen [1].
Inhaltlich steckt ISO 27001 also in C5. Formal ersetzt das eine das andere nicht. Wer Frage 14 mit dem ISO-Zertifikat beantwortet, hat die Frage nicht beantwortet.
Der Unterschied in einer Tabelle
| ISO/IEC 27001 | BSI C5 | |
|---|---|---|
| Wer stellt aus? | Zertifizierungsstelle | Wirtschaftsprüfer [1] |
| Ergebnis | Zertifikat | Testat (Prüfbericht) [1] |
| Was wird bewertet? | Managementsystem für Informationssicherheit | Kontrollen eines Cloud-Dienstes gegen den C5-Katalog, je nach Typ zu einem Stichtag oder über einen Zeitraum [1] |
| Blick | Zukunft: Zertifikat gilt bis zum Ablauf | Vergangenheit: Testat beschreibt einen abgeschlossenen Zeitraum [1] |
| Inhalt zu Cloud-Themen | allgemein | eigene Kriterien, im C5:2026 unter anderem Container-Management, Post-Quanten-Kryptographie und Confidential Computing [2] |
Die letzte Zeile erklärt, warum Kunden mit Cloud-Fragen lieber C5 sehen. ISO 27001 sagt, dass ein Unternehmen Sicherheit systematisch steuert. C5 sagt, ob konkrete Kontrollen eines konkreten Cloud-Dienstes funktioniert haben.
Was der Prüfer im C5-Bericht sieht, das im ISO-Zertifikat fehlt
Ein ISO-Zertifikat ist meist eine Seite. Ein C5-Bericht ist ein Dokument, in dem der Prüfer zu den einzelnen Kriterien beschreibt, was er geprüft hat. Bei Typ 2 steht darin auch, ob Kontrollen im Prüfzeitraum wirksam waren [1]. Für die Abteilung, die Ihren Anbieter bewerten muss, ist das der eigentliche Wert: Sie kann nachlesen statt glauben.
Das ist auch der Grund, warum ein Statement wie „wir sind ISO-zertifiziert und damit C5-konform“ beim Lesen stocken lassen sollte. Inhaltlich verwandt, formal etwas anderes.
Die Uhr läuft: C5:2026
Das BSI hat Ende März 2026 die neue Fassung C5:2026 als finale Version veröffentlicht [3]. Sie orientiert sich unter anderem an ISO/IEC 27001:2022, der CSA Cloud Controls Matrix v4 und der NIS2-Richtlinie [2]. Neu sind auch Unterkriterien und Zusatzkriterien, die Basiskriterien verschärfen oder ergänzen [3].
Verbindlich wird der neue Katalog für Typ-1-Prüfungen mit Stichtag ab dem 1. Juni 2027 und für Typ-2-Prüfzeiträume, die ab dem 1. Juni 2027 beginnen. Früher umsteigen ist erlaubt [4]. Ein Typ-2-Zeitraum, der vor diesem Datum beginnt und danach endet, wird noch komplett nach C5:2020 geprüft. Mischen soll man die beiden Fassungen nicht [4].
Für Sie heißt das ganz praktisch: Bis mindestens Mitte 2027 werden Sie Berichte nach C5:2020 sehen. Fragen Sie trotzdem bei jedem Bericht nach, welche Fassung zugrunde liegt. Ab 2027 ist das eine echte Unterscheidung.
Welcher Nachweis zählt denn nun?
Unsere Faustregel für Betriebe, die selbst keinen Cloud-Dienst anbieten, sondern einen einkaufen:
- Fragt der Kunde ausdrücklich nach C5, legen Sie das C5-Testat Ihres Cloud-Anbieters vor, Typ 2, mit Prüfzeitraum und Geltungsbereich. Ein ISO-Zertifikat reicht dann nicht.
- Fragt der Kunde allgemein nach Informationssicherheit, ist ISO 27001 oft die erwartete Antwort. C5 kann ergänzen.
- Fragt niemand, dokumentieren Sie trotzdem, welche Dienste mit welchem Nachweis Sie nutzen. Der Fragebogen kommt meist dann, wenn es eilt.
Ob Ihre Daten überhaupt in einer fremden Cloud liegen müssen, ist eine Frage davor. DripBack betreibt KI-Anwendungen mit lokal laufenden Open-Source-Modellen, auf eigenen Servern in Deutschland oder direkt beim Kunden. Dann prüfen Sie keinen fremden Prüfbericht, sondern Ihre eigene Umgebung.
Weiterlesen in der Serie „C5 ohne Nebel“
Ihr Anbieter schreibt „C5-Testat vorhanden“ auf die Website. Sehr gut. Aber für welche Dienste, welchen Zeitraum, welchen Typ? Bei einem großen deutschen Anbieter lautete die Antwort in der eigenen Pressemitteilung: Typ 1, drei Dienste. Wie Sie das bei jedem Anbieter in einer Viertelstunde herausfinden:
→ Teil 3: C5-Testat eines Anbieters prüfen, in 15 Minuten
← Teil 1: Es gibt keine C5-Zertifizierung. Was es stattdessen gibt
Quellen
[1] BSI, C5-FAQ, abgerufen 30.10.2026: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/C5-FAQ/kriterienkatalog-c5-faq_node.html
[2] BSI, Pressemitteilung „Sicheres Cloud-Computing: BSI veröffentlicht C5:2026“, 07.04.2026: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260407_C5_Cloud_Computing.html
[3] BSI, Seite C5:2026, abgerufen 30.10.2026: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/C5_2025/C5_2025.html
[4] BSI, Cloud Computing Compliance Criteria Catalogue (C5:2026), Version 1.0.1, Abschnitt zum Anwendungszeitpunkt: https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/CloudComputing/ComplianceControlsCatalogue/2026/C5_2026.pdf