Quelle: BSI | Datum: 2026-04-07
Sicheres Cloud-Computing, BSI veröffentlicht C5:2026
Zusammenfassung
Das BSI hat C5:2026 als aktualisierten Kriterienkatalog für sicheres Cloud Computing veröffentlicht. C5 bleibt der zentrale deutsche Referenzrahmen für Cloud-Anbieter, Cloud-Kunden und Prüfer. Für DE/EU-Organisationen ist das relevant, weil der Standard regelmäßig in Ausschreibungen, Lieferantenbewertungen und Governance-Anforderungen referenziert wird.
Faktenkernpunkte
- Neues Release C5:2026, veröffentlicht am 2026-04-07.
- C5 adressiert Mindestanforderungen an sicheres Cloud Computing und richtet sich an Anbieter, Kunden und Prüfer.
- BSI positioniert C5 explizit als praxistauglichen Maßstab für Nutzung, Prüfung, Angebot und Beschaffung von Cloud-Diensten.
Analyse & Bewertung
Management-Perspektive
Hohe Relevanz für Cloud Sourcing, Third Party Risk und NIS2 Governance. Bezug zu ISO 27001/27002 vor allem A.5.23 (Informationssicherheit bei Nutzung von Cloud-Diensten), A.5.19 bis A.5.22 (Lieferanten) und A.8.8 (Management technischer Schwachstellen).
Technische Perspektive
Keine akute Incident-Lage, aber mittelbarer Handlungsdruck für Kontrollkataloge, Anbieter-Assessments, Logging-, IAM- und Resilienzanforderungen.
Risiko & Priorität
- Eintrittswahrscheinlichkeit: hoch, weil viele Organisationen C5 in Einkauf, Due Diligence und Audit referenzieren.
- Auswirkung: mittel bis hoch, weil Vertragswerke, Kontrolltests und Cloud-Bewertungen angepasst werden müssen.
- Gesamtrisiko/Priorität: mittel, P2
Empfehlungen
Kurzfristig (0–7 Tage)
C5:2026 gegen bestehende Supplier-Questionnaires, Auditpläne und Cloud-Policies mappen.
Mittelfristig (8–30 Tage)
Verträge, Kontrollnachweise und interne Cloud-Freigaben aktualisieren.
Strategisch (>30 Tage)
C5:2026 fest in Beschaffungs- und Rezertifizierungsprozesse integrieren.
Zuständig: CISO, IT Ops, Risk/Compliance, Einkauf, Legal
Weiterführende Links
Status: Neu | Tags: BSI, Cloud, C5, NIS2, Third Party Risk