Was ist BSI C5?
BSI C5 ist der Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik zur Prüfung der Informationssicherheit professioneller Cloud-Dienste; der Nachweis erfolgt per Prüfbericht beziehungsweise Testat, nicht als BSI-Produktzertifizierung.
Technische Einordnung: C5 richtet sich an Cloud-Diensteanbieter, unabhängige Prüfer und Cloud-Kunden. Eine Prüfung kann freiwillig beauftragt oder in einem gesetzlichen Spezialregime verlangt werden. Der Katalog selbst schafft keine allgemeine, sektorübergreifende gesetzliche C5-Pflicht.
Der Normwortlaut
Normtext: Für den gesetzlichen Sonderfall der Verarbeitung von Sozial- und Gesundheitsdaten durch die in § 393 Absatz 1 SGB V genannten Stellen bestimmen § 393 Absätze 3 und 4 SGB V:
Eine Verarbeitung nach Absatz 1 ist nur zulässig, wenn zusätzlich zu den Anforderungen des Absatzes 2 1. nach dem Stand der Technik angemessene technische und organisatorische Maßnahmen zur Gewährleistung der Informationssicherheit ergriffen worden sind, 2. ein aktuelles C5-Testat der datenverarbeitenden Stelle im Hinblick auf die C5-Basiskriterien für die im Rahmen des Cloud-Computing-Dienstes eingesetzten Cloud-Systeme und die eingesetzte Technik vorliegt und 3. die im Prüfbericht des Testats enthaltenen, korrespondierenden Kriterien für Kunden umgesetzt sind.
Ab dem 1. Juli 2025 gilt als aktuelles C5-Testat im Sinne des Absatzes 3 Nummer 2 ein aktuelles C5-Typ2-Testat. Wird ein informationstechnisches System nach dem 30. Juni 2025 erstmalig in Verkehr gebracht, gilt als aktuelles C5-Testat im Sinne des Absatzes 3 Nummer 2 für die ersten 18 Monate nach dem Inverkehrbringen ein C5-Typ1-Testat, ab dem 19. Monat nach dem Inverkehrbringen ein C5-Typ2-Testat. Eine Verarbeitung nach Absatz 3 Nummer 2 ist ferner auch zulässig, soweit für die datenverarbeitende Stelle anstelle eines aktuellen C5-Testats ein Testat oder Zertifikat nach einem Standard vorliegt, dessen Befolgung ein im Vergleich zum C5-Standard vergleichbares oder höheres Sicherheitsniveau sicherstellt.
Quelle: § 393 Absätze 3 und 4 SGB V.
Rechtliche Einordnung: Die drei Anforderungen gelten kumulativ und zusätzlich zu Absatz 2. Absatz 4 verlangt seit dem 1. Juli 2025 grundsätzlich ein aktuelles C5-Typ2-Testat. Für ein informationstechnisches System, das nach dem 30. Juni 2025 erstmals in Verkehr gebracht wird, genügt in den ersten 18 Monaten nach dem Inverkehrbringen ein C5-Typ1-Testat; ab dem 19. Monat ist ein C5-Typ2-Testat erforderlich. Ein anderer Nachweis kann nur unter § 393 Absatz 4 Satz 3 SGB V in Verbindung mit der C5GleichwV an die Stelle des C5-Testats treten.
Für wen ist BSI C5 relevant?
Technisch ist C5 für professionelle Cloud-Anbieter, deren Prüfer und Kunden relevant. Gesetzlich betrifft § 393 SGB V nur Leistungserbringer im Sinne des Vierten Kapitels SGB V, Kranken- und Pflegekassen sowie ihre jeweiligen Auftragsdatenverarbeiter, soweit sie Sozial- oder Gesundheitsdaten mittels eines Cloud-Computing-Dienstes verarbeiten. Das Testat muss der datenverarbeitenden Stelle zugeordnet sein.
Eine C5-Testierung belegt nicht automatisch, dass sämtliche sonstigen gesetzlichen, vertraglichen oder kundenseitigen Anforderungen erfüllt sind.
Wann wird ein C5-Nachweis gesetzlich verlangt?
Im dargestellten Gesundheitswesen-Sonderfall ist nicht beliebige Cloud-Nutzung der Auslöser, sondern eine Verarbeitung nach § 393 Absatz 1 SGB V. Zusätzlich muss die Verarbeitung nach Absatz 2 im Inland, in einem Mitgliedstaat der Europäischen Union, in einem nach § 35 Absatz 7 SGB I gleichgestellten Staat oder – bei einem Angemessenheitsbeschluss nach Artikel 45 DSGVO – in einem Drittstaat erfolgen. Die datenverarbeitende Stelle muss über eine Niederlassung im Inland verfügen.
Außerdem müssen angemessene technische und organisatorische Maßnahmen nach dem Stand der Technik bestehen, der Prüfungsumfang die eingesetzten Cloud-Systeme und die eingesetzte Technik erfassen und die korrespondierenden Kundenkriterien umgesetzt sein.
Was unterscheidet Typ 1 und Typ 2?
Technische Einordnung: Ein Typ-1-Bericht beurteilt Gestaltung und Implementierung des dienstleistungsbezogenen internen Kontrollsystems zu einem bestimmten Zeitpunkt. Ein Typ-2-Bericht beurteilt zusätzlich die Wirksamkeit der Kontrollen über einen Zeitraum. Die Aussage bleibt jeweils auf den beschriebenen Dienst, Prüfungsgegenstand, Zeitraum und Kriterienumfang begrenzt.
Ein Prüfbericht ist deshalb weder eine Sicherheitsgarantie noch eine BSI-Produktzertifizierung. Nach der Behördeninformation des BSI werden Prüfungen unabhängig beauftragt und durchgeführt; das BSI führt keine zentrale Liste testierter Cloud-Diensteanbieter.
Können andere Standards ein C5-Testat ersetzen?
Nur im Anwendungsbereich des § 393 SGB V und nur unter sämtlichen Zusatzvoraussetzungen der C5GleichwV können ISO/IEC 27001, ISO 27001 auf Basis von IT-Grundschutz oder die Cloud Controls Matrix Version 4.0 als Ersatznachweis dienen. Eine Zertifizierung nach einem dieser Standards ist für sich allein nicht mit einem C5-Testat gleichzusetzen.
Erforderlich sind kumulativ der bestehende Nachweis und ein Maßnahmenplan, der nicht abgedeckte C5-Basiskriterien, Maßnahmen zur Lückenschließung und eine Meilensteinplanung dokumentiert. Materielle Lücken sind binnen höchstens zwölf Monaten ab Erstellung der Meilensteinplanung zu schließen; Maßnahmen für Typ 1 sind binnen 18 Monaten und für Typ 2 binnen 24 Monaten ab Erstellung vorzusehen. Maßnahmenplan und Nachweis sind den in der Verordnung bezeichneten Auftraggebern oder zuständigen Aufsichtsbehörden auf Verlangen unverzüglich vorzulegen.
Welche Fristen oder Schwellen gelten?
C5 selbst enthält keine allgemeine gesetzliche Frist oder Schwelle. Die Typ-2-Vorgabe seit dem 1. Juli 2025 und die auf 18 Monate begrenzte Typ-1-Übergangsregel gelten ausschließlich im Anwendungsbereich des § 393 SGB V. Die Übergangsregel setzt voraus, dass das informationstechnische System nach dem 30. Juni 2025 erstmals in Verkehr gebracht wurde. Bei einem Ersatznachweis kommen die Fristen der C5GleichwV hinzu.
Wie ist ein C5-Bericht auszuwerten?
Behördenpraxis und technische Einordnung: Nach dem BSI-Auswertungsleitfaden sollen Kunden den konkreten Prüfbericht für ihre Bewertung heranziehen. Entscheidend sind insbesondere der tatsächlich geprüfte Cloud-Dienst, Prüfungsumfang und Berichtszeitraum, festgestellte Abweichungen sowie die korrespondierenden Kundenkriterien. Letztere bleiben vom Kunden organisatorisch und technisch umzusetzen.
Häufige Fehlannahmen
- „C5 ist für jede Cloud gesetzlich vorgeschrieben.“ Nein. Der Kriterienkatalog begründet selbst keine allgemeine Pflicht; § 393 SGB V ist ein abgegrenztes Spezialregime.
- „Ein C5-Bericht ist eine BSI-Zertifizierung.“ Nein. Es handelt sich um einen unabhängig erstellten Prüfbericht beziehungsweise ein Testat, nicht um eine BSI-Produktzertifizierung.
- „Typ 1 und Typ 2 sagen dasselbe aus.“ Nein. Typ 2 umfasst zusätzlich die Wirksamkeit der Kontrollen über einen Zeitraum.
- „Eine ISO-27001-Zertifizierung ersetzt C5 immer.“ Nein. Im §-393-Fall ist ein Ersatz nur mit sämtlichen Voraussetzungen der C5GleichwV möglich.
- „Das Testat erledigt alle Pflichten des Kunden.“ Nein. Korrespondierende Kundenkriterien müssen weiterhin umgesetzt werden; auch weitere gesetzliche und vertragliche Anforderungen bleiben zu prüfen.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte sind risikobezogene Empfehlungen und schaffen außerhalb einschlägiger Gesetze oder Verträge keine allgemeine C5-Pflicht.
- Für jeden Dienst anhand von Datenart, Nutzung und eigener Rolle klären, ob § 393 SGB V oder ein anderes Spezialregime einschlägig ist.
- Den angebotenen Cloud-Dienst, Prüfungsumfang, Berichtszeitraum und festgestellte Abweichungen mit der geplanten Nutzung abgleichen.
- Korrespondierende Kundenkriterien Verantwortlichen zuweisen, technisch und organisatorisch umsetzen und die Umsetzung nachhalten.
- Im §-393-Fall Aktualität und Typ des Testats, die erfassten Systeme und Techniken, Standorte, Inlandsniederlassung und Übergangsfristen kontrollieren.
- Bei einem Ersatznachweis sämtliche Voraussetzungen, Maßnahmen und Vorlagefristen der C5GleichwV dokumentiert überwachen.
Für die Geschäftsleitung
C5 liefert einen strukturierten Sicherheitsnachweis für einen bestimmten Cloud-Dienst und Prüfungsumfang, aber keine umfassende Sicherheitsgarantie. Die zentrale Entscheidung lautet, ob C5 freiwillig als Bewertungsmaßstab genutzt wird oder ein Spezialregime wie § 393 SGB V einen aktuellen Nachweis verlangt. Als Nachweis sollten der konkrete Bericht, seine Aktualität und Reichweite, Abweichungen sowie die dokumentierte Umsetzung der Kundenkriterien verfügbar sein.
