C5: Wie bekommt man ein C5-Testat?

„Wir würden gern das C5-Testat bestellen. Wie lange brauchen Sie dafür?“

Die Frage ist verständlich. Sie führt nur sofort zu ungefähr zwölf Gegenfragen: Für welchen Cloud-Dienst? Mit welchen Systemgrenzen? Nach welcher C5-Version? Typ 1 oder Typ 2? Welche Subdienstleister wirken mit? Gibt es schon eine Systembeschreibung? Welche Kontrollen sind eingerichtet? Welche Nachweise entstehen daraus?

Spätestens an dieser Stelle wird klar: Ein C5-Testat bestellt man nicht wie ein Führungszeugnis. Es wird auch nicht vom BSI nach Durchsicht eines Formulars vergeben. Der Cloud-Anbieter baut und beschreibt ein internes Kontrollsystem für einen konkreten Dienst. Ein unabhängiger Prüfer untersucht dieses System und gibt darüber ein Urteil ab.

Das fertige Ergebnis ist kein schmuckes Zertifikat für die Eingangshalle, sondern ein umfangreicher Prüfbericht. Dorthin führt ein ziemlich gut planbarer Weg – wenn man nicht versucht, am Ende anzufangen.

Die kurze Antwort

Wer ein C5-Testat bekommen möchte, muss im Kern sieben Dinge tun:

1. den zu prüfenden Cloud-Dienst und seine Grenzen festlegen,
2. die anzuwendenden C5-Kriterien bestimmen,
3. ein internes Kontrollsystem für den Dienst einrichten,
4. Kontrollen, Verantwortlichkeiten und Nachweise sauber beschreiben,
5. Typ 1 oder Typ 2 und die Prüfungsform festlegen,
6. einen qualifizierten unabhängigen Prüfer beauftragen,
7. die Prüfung durchlaufen und den Prüfbericht entgegennehmen.

Einen Antrag beim BSI gibt es dafür nicht. Das BSI veröffentlicht den Kriterienkatalog, führt die Prüfung aber nicht selbst durch und stellt auch kein C5-Zertifikat aus.

Der aktuelle fachliche Ausgangspunkt ist der C5:2026-Kriterienkatalog des BSI. Er beschreibt nicht nur die Sicherheitskriterien, sondern auch ergänzende Anforderungen an Prüfungsauftrag, Prüfer, Prüfungsgegenstand, Nachweise und Berichterstattung.

Schritt 1: Den Cloud-Dienst sauber abgrenzen

C5 prüft nicht pauschal „das Unternehmen“. Geprüft wird das interne Kontrollsystem, das für Entwicklung und Betrieb eines bestimmten Cloud-Dienstes relevant ist.

Deshalb beginnt das Projekt mit scheinbar banalen Fragen:

• Welcher Dienst soll im Bericht stehen?
• Welche Varianten, Regionen und Betriebsmodelle gehören dazu?
• Welche Organisationseinheiten entwickeln und betreiben ihn?
• Welche Standorte, Plattformen und technischen Komponenten sind relevant?
• Welche Tätigkeiten werden von Subdienstleistern erbracht?
• Wo beginnt die Verantwortung des Cloud-Kunden?

Ein schön klingender Produktname reicht nicht. Der Prüfungsgegenstand muss so beschrieben sein, dass ein sachkundiger Leser versteht, welche Leistung und welches System tatsächlich betrachtet wurden.

Das ähnelt der Scope-Arbeit in einem Informationssicherheitsmanagementsystem nach ISO 27001, ist aber konsequent auf den Cloud-Dienst und sein dienstleistungsbezogenes Kontrollsystem zugeschnitten. Warum ein ISO 27001-Zertifikat das C5-Testat nicht ersetzt, erklären wir im Artikel C5 und ISO 27001 im Vergleich.

Schritt 2: Kriterien und C5-Version festlegen

Die Basiskriterien bilden den Mindestumfang einer C5-Prüfung. Zusatzkriterien können hinzukommen, wenn Kunden, Schutzbedarf oder Verträge das sinnvoll machen.

Nicht anwendbare Kriterien darf ein Anbieter begründet ausschließen. „Das haben wir nicht umgesetzt“ ist allerdings keine Begründung für die Nichtanwendbarkeit. Der Ausschluss muss aus Art und Ausgestaltung des Dienstes oder aus den tatsächlich verwendeten Verfahren folgen. Ein Kriterium nur deshalb wegzulassen, weil der Nachweis unbequem wird, wäre ausgesprochen praktischer Kokolores.

Zusätzlich muss geklärt werden, welche Katalogversion für Stichtag oder Prüfungszeitraum gilt. C5:2026 ist für Typ-1-Stichtage ab dem 1. Juni 2027 und für Typ-2-Zeiträume anzuwenden, die an oder nach diesem Tag beginnen. Eine frühere Anwendung ist zulässig. Ein Typ-2-Zeitraum, der vor dem Stichtag beginnt und danach endet, soll nicht halb mit C5:2020 und halb mit C5:2026 geprüft werden.

Diese Entscheidung gehört an den Anfang. Wer mitten im Prüfungszeitraum die Kriteriengrundlage austauscht, baut sich unnötig zwei bewegliche Ziele gleichzeitig.

Schritt 3: Typ 1 oder Typ 2 wählen

Typ 1 betrachtet das System zu einem bestimmten Stichtag. Der Prüfer beurteilt insbesondere, ob die Systembeschreibung sachgerecht ist und ob die Kontrollen angemessen ausgestaltet und eingerichtet sind.

Typ 2 betrachtet zusätzlich, ob die Kontrollen während eines festgelegten Zeitraums wirksam durchgeführt wurden. Dafür müssen über Monate belastbare Nachweise entstehen.

Vor Typ 2 ist kein Typ-1-Bericht vorgeschrieben. Typ 1 kann bei einem neuen Cloud-Dienst oder beim Erstauftrag trotzdem ein sinnvoller Einstieg sein. C5:2026 begrenzt ihn aber auf den Erstauftrag; aufeinanderfolgende Typ-1-Prüfungen sind nicht als Dauerlösung vorgesehen.

Für Typ 2 soll der Zeitraum grundsätzlich mindestens drei Monate umfassen und zwölf Monate nicht überschreiten. Begründete Ausnahmen sind möglich. Die Unterschiede und die kleine Falle mit dem angeblich immer sechsmonatigen Prüfungszeitraum behandeln wir ausführlich in C5 Typ 1 oder Typ 2.

Schritt 4: Die Prüfungsform bestimmen

Der übliche Hauptweg ist die Prüfung einer Erklärung. Der Cloud-Anbieter erstellt eine Systembeschreibung und eine schriftliche Erklärung der Unternehmensleitung. Der Prüfer beurteilt diese Darstellung, die ausgestalteten Kontrollen und – bei Typ 2 – ihre Wirksamkeit.

Daneben kennt C5 die direkte Prüfung. Dabei stellt der Anbieter keine eigene Systembeschreibung bereit. Der Prüfer erhebt die relevanten Grundsätze, Verfahren und Maßnahmen selbst und beschreibt das System im Bericht.

Das kann ein Sonderweg für Anbieter sein, deren dienstbezogenes Kontrollsystem noch nicht ausreichend in einer eigenen Systembeschreibung dokumentiert ist. Es ist aber kein Weg ohne Vorarbeit. Der Prüfer kann nur aufnehmen und prüfen, was tatsächlich existiert. Ein ungeordnetes Bündel aus Richtlinien, Zurufen und Admin-Erinnerungen wird durch die direkte Prüfung nicht plötzlich zu einem belastbaren Kontrollsystem.

Schritt 5: Den geeigneten Prüfer auswählen

C5-Prüfungen müssen als Aufträge mit hinreichender Sicherheit nach ISAE 3000 oder einer nationalen Entsprechung durchgeführt werden. In Deutschland kommen typischerweise Wirtschaftsprüfer beziehungsweise Wirtschaftsprüfungsgesellschaften zum Einsatz.

Entscheidend ist nicht nur der Briefkopf. Das Prüfungsteam muss unabhängig sein und die nötige Erfahrung mit IT-Prüfungen, Cloud-Sicherheit und den formalen Prüfungsanforderungen besitzen. C5:2026 nennt dafür konkrete Anforderungen und anerkannte Qualifikationen. Auf Wunsch des Auftraggebers soll der Prüfer geeignete Nachweise zur Qualifikation des Teams vorlegen.

Fragen Sie vor der Beauftragung deshalb unter anderem:

• Welche Erfahrung hat das Team mit C5 und vergleichbaren Prüfungen?
• Wer verantwortet und überwacht den Auftrag?
• Welche Kriterienversion wird zugrunde gelegt?
• Wie werden Dienstumfang und Subdienstleister behandelt?
• Welche Vorarbeiten werden vom Cloud-Anbieter erwartet?
• Wie sieht der geplante Zeitablauf aus?
• Wie werden bereits vorhandene Prüfungen und Nachweise berücksichtigt?

Eine bestehende ISO 27001-Zertifizierung, SOC-Prüfung oder andere unabhängige Prüfung kann Vorarbeiten erleichtern. Sie wird aber nicht einfach als Joker auf den Tisch gelegt, der beliebig viele C5-Kriterien erledigt.

Schritt 6: Eine ehrliche Gap-Analyse durchführen

Jetzt beginnt die eigentliche Arbeit. Für jedes anwendbare Kriterium sollten Sie mindestens festhalten:

Diese Tabelle trennt Kontrollen von Wunschdenken. „Wir überprüfen Berechtigungen regelmäßig“ klingt ordentlich. Ohne Verantwortlichen, Auslöser, Datenbasis, Ergebnis und Nachweis ist es aber noch keine prüfbare Kontrolle.

Hilfreich ist dabei der Blick auf bestehende Verfahren. Die sichere Auswahl und Steuerung von Cloud-Diensten und die laufende Überwachung von Lieferanten liefern oft bereits Kontrollen, die für Subdienstleister und Abhängigkeiten gebraucht werden.

Schritt 7: Das Kontrollsystem wirklich betreiben

Eine Richtlinie ist keine durchgeführte Kontrolle. Sie kann eine Kontrolle beschreiben, auslösen oder unterstützen. Geprüft wird aber, ob die benötigten Verfahren und Maßnahmen eingerichtet sind und bei Typ 2 über den Zeitraum wirksam funktionieren.

Beispiele:

• Eine Backup-Richtlinie reicht nicht; Backups müssen laufen, Fehler müssen behandelt und Rücksicherungen sinnvoll erprobt werden.
• Ein Berechtigungskonzept reicht nicht; Rechte müssen vergeben, überprüft und entzogen werden.
• Ein Incident-Prozess reicht nicht; Meldungen müssen erkannt, bewertet, behandelt und nachvollziehbar abgeschlossen werden.
• Ein Lieferantenprozess reicht nicht; kritische Dienstleister müssen ausgewählt, vereinbart und überwacht werden.

Am besten erzeugt jede Kontrolle ihren Nachweis möglichst automatisch oder als natürlichen Teil der Arbeit. Wird erst kurz vor der Prüfung eine Excel-Tabelle aus Erinnerungen zusammengebaut, prüft der Prüfer vor allem die erstaunliche Kreativität des Projektteams.

Ein gutes Internes Audit mit nachvollziehbaren Feststellungen kann vor dem C5-Auftrag viele Lücken sichtbar machen. Festgestellte Abweichungen sollten anschließend so behandelt werden, dass nicht nur die sichtbare Pfütze aufgewischt, sondern auch das Leck gefunden wird. Dazu passt unser Praxisleitfaden zum Behandeln von Abweichungen.

Schritt 8: Systembeschreibung und Erklärung vorbereiten

Bei der Prüfung einer Erklärung bildet die Systembeschreibung einen wesentlichen Teil des Prüfungsgegenstands. Sie beschreibt unter anderem den Dienst, seine Umgebung, Systemgrenzen, relevante Verfahren, Kontrollen, Subdienstleister, Kundenkontrollen und wesentliche Veränderungen.

Hinzu kommt die schriftliche Erklärung der gesetzlichen Vertreter. Darin übernimmt die Unternehmensleitung Verantwortung für die sachgerechte Beschreibung und – je nach Berichtstyp – für Ausgestaltung, Einrichtung und Wirksamkeit der Kontrollen.

Das ist keine freundliche Einleitung, die der Prüfer selbst schreibt und der Geschäftsführer dann zwischen zwei Terminen unterschreibt. Die Unternehmensleitung erklärt etwas über das eigene Kontrollsystem. Sie sollte deshalb wissen, was beschrieben wird, welche Abweichungen bestehen und worauf sich ihre Aussage stützt.

Schritt 9: Bei Typ 2 den Prüfungszeitraum leben

Der Typ-2-Zeitraum ist keine Wartefrist, die einfach verstreicht. In dieser Zeit müssen Kontrollen tatsächlich durchgeführt und Nachweise erzeugt werden.

Ein prüfungsfähiges Kontrollregister hilft dabei. Für jede Kontrolle sollte sichtbar sein, wann sie fällig war, ob sie durchgeführt wurde, welches Ergebnis entstand und wie Ausnahmen behandelt wurden. Wenn Verantwortliche wechseln, Systeme migriert werden oder Kontrollen ausfallen, gehört auch das in die Nachvollziehbarkeit.

Wer nach sechs Monaten feststellt, dass die monatliche Prüfung nur dreimal stattgefunden hat, kann den Kalender nicht nachträglich reparieren. Er kann die Abweichung analysieren, angemessen behandeln und transparent machen. Gerade darin zeigt sich, ob ein Kontrollsystem lebt.

Schritt 10: Die eigentliche Prüfung durchlaufen

Der Prüfer liest nicht nur Dokumente. Je nach Kontrolle kommen beispielsweise infrage:

• Befragungen verantwortlicher Mitarbeiter,
• Beobachtung einer Kontrollausführung,
• Einsichtnahme in Dokumente, Konfigurationen und elektronische Dateien,
• Nachvollzug eines Vorgangs,
• Auswahl und Prüfung von Stichproben.

Bei Typ 2 wird besonders interessant, welche Grundgesamtheit existiert und wie daraus Stichproben gezogen werden. Wenn eine Kontrolle zwölfmal hätte stattfinden müssen, sollte der Anbieter zeigen können, welche zwölf Fälle dazugehören. Ein Ordner mit sieben zufällig gut aussehenden Nachweisen beantwortet diese Frage nicht.

Die Prüfungshandlungen und Ergebnisse werden im Bericht entlang der Kontrollen dargestellt. Abweichungen verschwinden nicht automatisch, nur weil das Gesamturteil noch positiv ausfällt.

Was passiert bei Abweichungen?

Eine Abweichung bedeutet nicht automatisch, dass das gesamte Projekt gescheitert ist. Der Prüfer betrachtet unter anderem Ursache, Behandlung, Überwachungsaktivitäten und mögliche kompensierende Kontrollen.

Je nach Bedeutung und Umfang kann das Urteil unverändert bleiben, eingeschränkt oder versagt werden. Kann der Prüfer keine ausreichenden und geeigneten Nachweise erlangen, kommt ebenfalls eine Einschränkung oder Versagung in Betracht.

Für den Anbieter ist deshalb frühzeitige Offenheit meist klüger als Prüfungsfolklore. Eine erkannte, analysierte und sauber behandelte Abweichung sagt etwas anderes über das Kontrollsystem aus als ein Mangel, der erst durch den Prüfer zufällig unter einem Teppich entdeckt wird.

Was bekommt man am Ende?

Bei der Prüfung einer Erklärung umfasst der Bericht insbesondere:

• den Bericht und das Urteil des unabhängigen Prüfers,
• die Erklärung der gesetzlichen Vertreter,
• die Systembeschreibung des Cloud-Anbieters,
• die Kontrollen, Prüfungshandlungen und Ergebnisse,
• gegebenenfalls zusätzliche, klar abgegrenzte Informationen des Anbieters.

Der Bericht benennt außerdem seine vorgesehenen Nutzer und enthält eine Verwendungsbeschränkung. Er ist kein beliebig vereinfachbares Werbeabzeichen. Kunden müssen Dienstumfang, Berichtstyp, Zeitraum, Kriterien, Abweichungen, Subdienstleister und eigene korrespondierende Kontrollen verstehen.

Ob Ihr Unternehmen einen solchen Nachweis rechtlich überhaupt benötigt, ist eine andere Frage als der hier beschriebene Projektablauf. Für den besonderen Anwendungsfall des Gesundheitswesens behandeln wir das separat unter C5-Pflicht nach § 393 SGB V.

Typische Fehler auf dem Weg zum C5-Testat

• Den Bericht für das ganze Unternehmen planen: Geprüft wird ein konkreter Cloud-Dienst mit definierten Grenzen.
• Mit Richtlinien statt Kontrollen arbeiten: Papier beschreibt Sicherheit, es führt sie nicht aus.
• Typ 2 erst am Ende vorbereiten: Nachweise müssen während des Prüfungszeitraums entstehen.
• Subdienstleister spät entdecken: Die Art ihrer Einbindung beeinflusst Beschreibung und Prüfung.
• Die Unternehmensleitung erst zur Unterschrift holen: Ihre Erklärung ist ein zentraler Bestandteil des Auftrags.
• Das Testat als Zertifikat vermarkten: Das Ergebnis ist ein detaillierter Prüfbericht mit konkretem Gegenstand und konkreten Grenzen.
• Nach Typ 1 stehen bleiben: Typ 1 ist der mögliche Einstieg, nicht der Dauerparkplatz.

Interesse geweckt?

Sie möchten Ihren Cloud-Dienst auf einen C5-Auftrag vorbereiten, den Scope abgrenzen und ein belastbares Kontroll- und Nachweissystem aufbauen? Sprechen Sie mit uns.

Rechtlicher Hinweis: Dieser Artikel erläutert den praktischen C5-Prüfungsablauf und ist keine Rechtsberatung. Ob und welcher C5-Nachweis in Ihrem konkreten Vertrags- oder Gesetzeskontext erforderlich ist, muss gesondert geprüft werden.