C5:2026

Der C5 setzt ein ISO-27001-konformes ISMS voraus (OIS-01), das verschärfende Zusatzkriterium sogar eine gültige Zertifizierung. Eine bestehende Zertifizierung deckt den Kern ab, ersetzt aber kein C5-Kriterium: cloud-spezifische Härtung, Mandantentrennung, Transparenzangaben und Kundenkontrollen kommen hinzu.

Heartland führt beides in einem Kontrollsystem zusammen – einmal aufgebaut, mehrfach nachgewiesen.

C5:2026 löst C5:2020 ab: 168 Kriterien in 17 Bereichen, dazu 6 General Conditions zu Recht, Verfügbarkeit, Subdienstleistern und Datenlokationen. Neu sind das Shared Security Responsibility Model, Threat Intelligence, Confidential Computing und Container-Management sowie schärfere Anforderungen an Identitäten, Kryptographie und Entwicklung.

Wer jetzt startet, setzt direkt auf C5:2026 auf.

Heartland baut das Kontrollsystem in Ihrer vorhandenen Tool-Landschaft auf: Dokumentation in SharePoint oder Confluence, Workflows in Microsoft 365 oder Jira, kein zweiter Datenbestand und keine Plattformbindung. Von der Gap-Analyse über Scope und Systembeschreibung bis zur Abstimmung mit dem Prüfer bleibt ein Ansprechpartner verantwortlich.

So entstehen die Nachweise dort, wo ohnehin gearbeitet wird – Jahr für Jahr.

Die Kosten bestehen aus zwei getrennten Posten: dem Beratungsaufwand für Aufbau und Nachweisführung und dem Honorar des Wirtschaftsprüfers für Typ 1 und Typ 2. Der Beratungsaufwand hängt vom Servicemodell, vom Scope und davon ab, wie weit Ihr ISMS trägt – zusätzliche Lizenzen entstehen im Heartland Approach nicht.

Im C5 Readiness Check beziffern wir beides, bevor Sie entscheiden.