BSI C5:2026 – Deutsche Fassung des Kriterienkatalogs erschienen

Deutsche Version des C5:2026 ab sofort verfügbar

Am 12. August 2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die deutsche Fassung des Cloud Computing Compliance Criteria Catalogue (C5) in der Version 2026 veröffentlicht. Nachdem die finale Version im März 2026 zunächst auf Englisch erschienen war, steht der grundlegend überarbeitete Nachfolger des C5:2020 nun auch in einer deutschsprachigen Version den Cloud-Anbietern, Prüfern und Cloud-Kunden zur Verfügung.

Zum Download: BSI C5:2026 – Anforderungskatalog (deutsche Fassung)

Die wichtigsten Neuerungen im Überblick

• Erweiterter Umfang: 168 Kriterien statt bislang 121 – darunter 48 vollständig neue Kriterien.
• Neue Struktur: Jedes Kriterium gliedert sich in inhaltlich abgegrenzte Unterkriterien, angelehnt an das europäische Cloud-Zertifizierungsschema EUCS.
• Klassifizierte Zusatzkriterien: Zusatzkriterien werden nun explizit als verschärfend („additional sharpen”) oder ergänzend („additional complement”) ausgewiesen.
• Aktuelle Technologien: Erstmals explizite Anforderungen zu Container-Management, Supply-Chain-Management, Post-Quanten-Kryptographie und Confidential Computing.
• Regulatorische Anbindung: Berücksichtigung von EUCS (Level Substantial), NIS2, ISO/IEC 27001:2022 und der CSA Cloud Controls Matrix v4.
• Maschinenlesbar: Neben PDF und Excel erstmals auch als YAML-Dateien verfügbar.

Was bedeutet das für die Praxis?

Verbindlich anzuwenden ist der C5:2026 für Typ-1-Prüfungen mit Stichtagen ab dem 1. Juni 2027 sowie für Typ-2-Prüfungen, deren Prüfungszeitraum ab diesem Datum beginnt. Eine freiwillige frühere Anwendung ist bereits jetzt möglich. Cloud-Anbieter sollten die Übergangszeit nutzen, um Abweichungen zum C5:2020 zu identifizieren und ihr internes Kontrollsystem rechtzeitig anzupassen.

Sie haben Fragen zur Umstellung auf den C5:2026 oder zur Vorbereitung Ihres nächsten C5-Audits? Kontaktieren Sie uns – wir unterstützen Sie gerne.