BSI Cloud Computing Compliance Criteria Catalogue · Für Data Center

C5:2026

Cloud-Sicherheitsnachweis für Rechenzentren und Cloud-Anbieter – durch Wirtschaftsprüfer testiert und auf bestehende Managementsysteme aufgesetzt.

C5 als Voraussetzung für
Enterprise- und Hyperscaler-Kunden:

ISO 27001 als Grundlage des C5-Testats

Der C5 setzt ein ISO/IEC-27001-konformes ISMS voraus (OIS-01), das verschärfende Zusatzkriterium sogar eine gültige Zertifizierung. Eine bestehende Zertifizierung deckt den Kern ab, ersetzt aber kein C5-Kriterium: cloud-spezifische Härtung, Mandantentrennung, Transparenzangaben und Kundenkontrollen kommen hinzu.

Heartland führt beides in einem Kontrollsystem zusammen – einmal aufgebaut, mehrfach nachgewiesen.

Was sich mit C5:2026 ändert

C5:2026 löst C5:2020 ab: 168 Kriterien in 17 Bereichen, dazu 6 General Conditions zu Recht, Verfügbarkeit, Subdienstleistern und Datenlokationen. Neu sind das Shared Security Responsibility Model, Threat Intelligence, Confidential Computing und Container-Management sowie schärfere Anforderungen an Identitäten, Kryptographie und Entwicklung.

Wer jetzt startet, setzt direkt auf C5:2026 auf.

Umsetzung des C5 mit Heartland

Heartland baut das Kontrollsystem in Ihrer vorhandenen Tool-Landschaft auf: Dokumentation in SharePoint oder Confluence, Workflows in Microsoft 365 oder Jira, kein zweiter Datenbestand und keine Plattformbindung. Von der Gap-Analyse über Scope und Systembeschreibung bis zur Abstimmung mit dem Prüfer bleibt ein Ansprechpartner verantwortlich.

So entstehen die Nachweise dort, wo ohnehin gearbeitet wird – Jahr für Jahr.

Aufwand und Kosten eines C5-Testats

Die Kosten bestehen aus zwei getrennten Posten: dem Beratungsaufwand für Aufbau und Nachweisführung und dem Honorar des Wirtschaftsprüfers für Typ 1 und Typ 2. Der Beratungsaufwand hängt vom Servicemodell, vom Scope und davon ab, wie weit Ihr ISMS trägt – zusätzliche Lizenzen entstehen im Heartland Approach nicht.

Im C5 Readiness Check beziffern wir beides, bevor Sie entscheiden.