Das BSI veröffentlicht den C5:2026 – Der neue Maßstab für sichere Cloud-Dienste

Cloud-Dienste sind heute aus modernen IT-Landschaften nicht mehr wegzudenken. Gleichzeitig steigen die Anforderungen an Informationssicherheit, Transparenz und regulatorische Compliance kontinuierlich. Mit der Veröffentlichung des neuen Kriterienkatalogs C5:2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) nun auf diese Entwicklungen reagiert und den etablierten Cloud-Sicherheitsstandard umfassend überarbeitet.

Für Unternehmen, die Cloud-Services nutzen oder anbieten, lohnt sich daher ein genauer Blick auf die Neuerungen – und auf die Frage, warum eine C5-Bescheinigung zunehmend zu einem entscheidenden Vertrauens- und Wettbewerbsfaktor wird.

Was ist der C5?

Der „Cloud Computing Compliance Criteria Catalogue“ (C5) des BSI definiert Mindestanforderungen an die Sicherheit von Cloud-Diensten. Ziel ist es, ein transparentes und nachvollziehbares Sicherheitsniveau für Cloud-Angebote zu schaffen. Besonders in regulierten Branchen – etwa im Gesundheitswesen, im öffentlichen Sektor oder in kritischen Infrastrukturen – hat sich der C5 in den vergangenen Jahren als wichtiger Standard etabliert.

Warum wurde der C5 überarbeitet?

Die Vorgängerversion C5:2020 stammt aus einer Zeit, in der viele aktuelle Technologien und regulatorische Entwicklungen noch nicht die heutige Relevanz hatten. Seitdem haben sich sowohl die Bedrohungslage als auch die technischen Anforderungen an Cloud-Umgebungen deutlich verändert.

Mit C5:2026 reagiert das BSI insbesondere auf:

• neue regulatorische Anforderungen wie NIS-2 und DORA,
• aktualisierte internationale Standards wie ISO/IEC 27001:2022,
• moderne Cloud-Architekturen und containerisierte Umgebungen,
• gestiegene Anforderungen an Lieferketten- und Subdienstleister-Sicherheit,
• neue Bedrohungsszenarien im Bereich Kryptografie und Mandantentrennung.

Während die grundlegende Struktur mit 17 Themenbereichen erhalten bleibt, wurde der Kriterienkatalog C5:2026 inhaltlich deutlich erweitert und konkretisiert. Damit soll sichergestellt werden, dass der C5 auch künftig ein zeitgemäßer Maßstab für sichere Cloud-Services bleibt.

Warum ist eine C5-Bescheinigung wichtig?

Eine C5-Bescheinigung ist weit mehr als ein formaler Nachweis. Sie schafft Vertrauen – sowohl bei Kunden als auch bei Partnern und Aufsichtsbehörden. Für Cloud-Anbieter wird eine C5-Bescheinigung zunehmend zu einem entscheidenden Wettbewerbsfaktor. Viele Unternehmen erwarten heute bereits einen entsprechenden Nachweis, insbesondere bei sensiblen Daten oder kritischen Geschäftsprozessen. Darüber hinaus zeigt eine C5-Bescheinigung, dass Informationssicherheit vom Cloud-Anbieter nicht nur konzeptionell berücksichtigt wird, sondern auch organisatorisch und technisch nachhaltig umgesetzt ist.

Fazit

Mit dem C5:2026 entwickelt das BSI den etablierten Cloud-Sicherheitsstandard konsequent weiter und passt ihn an aktuelle technologische sowie regulatorische Anforderungen an. Die neuen Anforderungen erhöhen zwar den Aufwand für Cloud-Anbieter, gleichzeitig schaffen sie mehr Transparenz, Sicherheit und Vertrauen. Für Unternehmen, die Cloud-Dienste einsetzen oder anbieten, wird der C5 damit künftig noch stärker zum zentralen Nachweis für ein angemessenes Sicherheitsniveau.