BSI C5

Der Cloud Computing Compliance Criteria Catalogue – kurz C5 – wurde 2016 vom Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlicht und 2020 grundlegend überarbeitet. Er definiert Mindestanforderungen an die Informationssicherheit von Cloud-Diensten und richtet sich sowohl an Anbieter, die ihre Sicherheitsleistung nachweisen wollen, als auch an Kunden, die einen Cloud-Dienst bewerten müssen. Die Fassung C5:2020 umfasst rund 120 Basiskriterien in 17 Themenbereichen – von Organisation der Informationssicherheit über Identitäts- und Berechtigungsmanagement, Kryptografie und Schlüsselmanagement bis hin zu Betrieb, Protokollierung, Umgang mit Sicherheitsvorfällen und Beendigung des Vertragsverhältnisses. Zusätzliche Kriterien adressieren erhöhte Anforderungen, etwa an besonders schutzbedürftige Daten.

C5 ist ausdrücklich keine Zertifizierung, sondern eine Attestierung: Ein unabhängiger Wirtschaftsprüfer prüft den Cloud-Dienst nach den Standards ISAE 3000 (Revised) beziehungsweise IDW PS 951 n. F. und erstellt einen Prüfbericht. Unterschieden wird zwischen Typ 1 – Angemessenheit der Ausgestaltung der Kontrollen zu einem Stichtag – und Typ 2, der zusätzlich die Wirksamkeit der Kontrollen über einen Prüfzeitraum von in der Regel sechs bis zwölf Monaten belegt. Für die Praxis ist fast ausschließlich Typ 2 aussagekräftig. Charakteristisch für C5 sind die sogenannten Umfeldparameter: Der Anbieter muss transparent offenlegen, in welchen Ländern Daten verarbeitet und gespeichert werden, welchem Rechtsraum und welchen behördlichen Zugriffsmöglichkeiten er unterliegt und welche Subdienstleister eingebunden sind – Informationen, die für die datenschutzrechtliche Bewertung eines Dienstes oft wichtiger sind als die Kontrollen selbst.

C5 ist gesetzlich nicht verpflichtend, hat sich in Deutschland aber als faktischer Marktstandard etabliert – insbesondere in der öffentlichen Beschaffung sowie in regulierten Branchen, in denen die aufsichtsrechtlichen Anforderungen an die Auslagerung von IT-Dienstleistungen (etwa im Finanzsektor unter DORA) einen belastbaren Nachweis über die Sicherheit der Auslagerung verlangen. Inhaltlich überschneidet sich C5 stark mit ISO/IEC 27001 und ISO/IEC 27017; ein bestehendes ISMS-Zertifikat kann Vorleistungen für die C5-Attestierung liefern, ersetzt sie aber nicht, weil C5 tiefer in den Cloud-Betrieb hineinreicht und mehr Transparenz verlangt. Ein europäisches Cloud-Zertifizierungsschema (EUCS) wird seit Jahren unter der Verordnung (EU) 2019/881 (Cybersecurity Act) vorbereitet, ist wegen des Streits über Souveränitätsanforderungen aber bis heute nicht in Kraft gesetzt – C5 bleibt damit vorerst der maßgebliche Nachweis im deutschen Markt.