Das BSI informiert: C5:2026 – Neuer Sicherheitsstandard für Cloud Computing vorgestellt
Cloud Computing gilt als zentraler Baustein der digitalen Transformation in Wirtschaft, Verwaltung und Gesellschaft. Gleichzeitig steigen die Anforderungen an Sicherheit, Transparenz und Verlässlichkeit von Cloud-Diensten kontinuierlich. Um diesen Anforderungen gerecht zu werden, sind einheitliche und überprüfbare Standards unerlässlich. Mit dem aktualisierten Kriterienkatalog C5:2026 reagiert die Cybersicherheitsbehörde auf technologische Entwicklungen und eine verschärfte Bedrohungslage. Der neue Standard soll Unternehmen und Behörden eine belastbare Grundlage für sichere Cloud-Nutzung bieten.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt mit dem Cloud Computing Compliance Criteria Catalogue (C5) bereits seit 2016 einen zentralen Sicherheitsstandard für Cloud-Anbieter und -Nutzer in Deutschland bereit. Mit der neuen Version C5:2026 wird dieser Ansatz konsequent weiterentwickelt. Der Katalog übersetzt komplexe Sicherheitsanforderungen in prüfbare Kriterien und schafft damit eine fundierte Basis für Risikomanagement, Anbieterbewertung und Beschaffungsprozesse.
Die Prüfungen nach C5 erfolgen durch Wirtschaftsprüfer, die nach erfolgreicher Auditierung bestätigen, dass ein Cloud-Anbieter die definierten Sicherheitsanforderungen erfüllt. Damit erhöht der Standard nicht nur die Transparenz im Markt, sondern erleichtert auch die Vergleichbarkeit unterschiedlicher Cloud-Dienste.
Inhaltlich berücksichtigt der neue C5 aktuelle technologische Entwicklungen und Bedrohungsszenarien. Themen wie Container-Management, Post-Quanten-Kryptographie und Confidential Computing werden erstmals systematisch integriert. Gleichzeitig werden bestehende Aspekte wie Mandantentrennung und Supply Chain Management weiter geschärft, um den steigenden Sicherheitsanforderungen gerecht zu werden.
BSI-Präsidentin Claudia Plattner betont, dass der C5:2026 als moderner und praxistauglicher Maßstab für Cloud-Sicherheit dient und Unternehmen sowie Behörden bei fundierten Entscheidungen unterstützt. Auch international stößt der Standard zunehmend auf Resonanz. BSI-Vizepräsident Thomas Caspers hebt zudem die verbesserte Nutzerfreundlichkeit hervor: Eine überarbeitete Struktur mit Unter- und Zusatzkriterien sowie die erstmalige Bereitstellung in maschinenlesbarer Form erleichtern die Integration in Governance-, Risiko- und Compliance-Prozesse.
Der C5:2026 orientiert sich eng an europäischen und internationalen Entwicklungen, insbesondere am geplanten EU-Zertifizierungsschema EUCS. Darüber hinaus wurden relevante Standards wie die CSA Cloud Controls Matrix Version 4, ISO/IEC 27001:2022 und die NIS2-Richtlinie berücksichtigt. In die Weiterentwicklung flossen zudem praktische Erfahrungen aus einem Community-Draft mit Cloud-Anbietern, Prüfern und Beratern ein.
Ergänzend zu den Sicherheitskriterien plant das BSI die Veröffentlichung weiterer Souveränitätskriterien für Cloud-Lösungen. Diese sollen künftig zusätzliche Orientierung bei der Bewertung von Cloud-Angeboten bieten.
