C5 Typ 1 oder Typ 2: Was ist der Unterschied?

Stellen Sie sich vor, Sie möchten wissen, ob jemand ordentlich Auto fahren kann.

Für Typ 1 schaut ein Prüfer an einem bestimmten Tag nach: Besitzt der Fahrer einen Führerschein? Ist das Auto verkehrstüchtig? Sind die Regeln bekannt? Ist grundsätzlich alles so eingerichtet, dass eine vernünftige Fahrt möglich wäre?

Für Typ 2 wird es ungemütlicher. Jetzt möchte der Prüfer zusätzlich wissen, ob der Fahrer auch über mehrere Monate bei Regen, Berufsverkehr und schlechter Laune ordentlich gefahren ist. Er sitzt natürlich nicht bei jeder einzelnen Fahrt auf dem Beifahrersitz. Aber manchmal schon. Er betrachtet Stichproben, Protokolle, Wartungsnachweise und aufgetretene Probleme.

Die zugespitzte Kurzfassung lautet:

• Typ 1: „Heute könnte das funktionieren.“
• Typ 2: „Es hat über einen längeren Zeitraum tatsächlich funktioniert.“

Wie bei jeder Analogie knirscht es an den Rändern. Für den Unterschied zwischen C5 Typ 1 und Typ 2 trägt sie aber erstaunlich weit.

Die kurze Antwort

Ein C5-Typ-1-Bericht beurteilt das Kontrollsystem eines Cloud-Anbieters zu einem bestimmten Stichtag. Der Prüfer betrachtet insbesondere, ob der Cloud-Dienst sachgerecht beschrieben ist und ob die Kontrollen angemessen ausgestaltet und eingerichtet sind.

Ein C5-Typ-2-Bericht geht einen entscheidenden Schritt weiter. Er beurteilt zusätzlich, ob die Kontrollen während eines festgelegten Prüfungszeitraums wirksam durchgeführt wurden.

Typ 1 ist damit kein wertloses Papier und auch keine reine Theorieprüfung. Er sagt aber nichts Belastbares darüber aus, ob eine Kontrolle in den vergangenen Monaten zuverlässig funktioniert hat. Typ 2 liefert genau dafür den stärkeren Nachweis.

Die Unterscheidung stammt aus der unabhängigen Prüfung des internen Kontrollsystems eines Cloud-Dienstes. Warum es dabei um einen Prüfungsbericht und nicht um ein gewöhnliches Zertifikat geht, erklären wir ausführlich in unserem Vergleich von C5 und ISO 27001.

Was prüft C5 Typ 1 genau?

Der aktuelle C5:2026-Kriterienkatalog des BSI beschreibt Typ 1 als Betrachtung zu einem festgelegten Stichtag.

Bei der üblichen Prüfung einer Erklärung beurteilt der Prüfer insbesondere:

1. Stellt die Systembeschreibung das für den Cloud-Dienst relevante interne Kontrollsystem sachgerecht dar?
2. Sind die beschriebenen Kontrollen angemessen ausgestaltet?
3. Waren diese Kontrollen zum Stichtag eingerichtet beziehungsweise implementiert?

Nehmen wir als Beispiel die regelmäßige Überprüfung administrativer Berechtigungen. Der Anbieter hat dafür ein Verfahren beschrieben, Verantwortliche benannt, einen Prüfturnus festgelegt und eine geeignete Auswertung eingerichtet. Am Stichtag ist also alles vorhanden, was für eine vernünftige Durchführung benötigt wird.

Was Typ 1 nicht nachweist: Ob diese Überprüfung während der vergangenen Monate wirklich zuverlässig, vollständig und mit den vorgesehenen Konsequenzen durchgeführt wurde.

Das ist der Unterschied zwischen einer sinnvoll gebauten Bremsanlage und dem Nachweis, dass sie im Alltag auch wiederholt funktioniert hat.

Typ 1 ist keine bloße Dokumentenprüfung

Eine verbreitete Verkürzung lautet: „Bei Typ 1 schaut der Prüfer nur, ob Richtlinien geschrieben wurden.“

Das wäre zu dünn. Der Prüfer betrachtet nicht nur hübsche Formulierungen, sondern auch die Ausgestaltung und Einrichtung der Kontrollen. Je nach Kontrolle kann er beispielsweise:

• verantwortliche Mitarbeiter befragen,
• Konfigurationen und technische Einstellungen einsehen,
• Verfahrensbeschreibungen und Aufzeichnungen prüfen,
• die Durchführung eines Ablaufs beobachten,
• einen Vorgang nachvollziehen oder erneut ausführen lassen.

Auch im Typ-1-Bericht werden die Prüfungshandlungen beschrieben. Nur die zusätzliche Wirksamkeitsprüfung über einen längeren Zeitraum fehlt.

Ein Unternehmen kann sich deshalb nicht am Abend vor dem Prüferbesuch drei Richtlinien schreiben und ernsthaft erwarten, damit sei das Thema erledigt. Die Kontrollen müssen zum Stichtag tatsächlich eingerichtet sein. Bloßes Papier mit bedeutungsschwerer Überschrift ist noch kein Kontrollsystem.

Was kommt bei C5 Typ 2 hinzu?

Typ 2 enthält die Betrachtung von Beschreibung, Ausgestaltung und Einrichtung ebenfalls. Hinzu kommt die entscheidende Frage:

Wurden die Kontrollen während des festgelegten Zeitraums wirksam durchgeführt?

Bei unserer Berechtigungsprüfung möchte der Prüfer nun beispielsweise sehen:

• welche Überprüfungen im Zeitraum fällig waren,
• ob sie tatsächlich durchgeführt wurden,
• welche Stichproben er daraus ziehen kann,
• ob unzulässige oder nicht mehr benötigte Rechte erkannt wurden,
• ob daraus Änderungen entstanden sind,
• ob Ausnahmen begründet und genehmigt wurden,
• ob die verwendeten Informationen vollständig und zuverlässig waren.

Bei einer technischen Kontrolle kann der Nachweis ganz anders aussehen. Eine automatisierte Überwachung lässt sich etwa anhand von Konfiguration, Alarmen, Tickets, Protokollen und behandelten Störungen prüfen. Bei Backups interessieren Durchführung, Fehlermeldungen, Wiederholungen und Rücksicherungstests. Bei Schwachstellenmanagement können Scanergebnisse, Bewertungen, Fristen und geschlossene Tickets relevant werden.

Typ 2 fragt also nicht nur: „Gibt es den Prozess?“ Er fragt: „Was hat der Prozess im Alltag getan?“

Typ 1 und Typ 2 im direkten Vergleich

Typ 2 ist aussagekräftiger, aber keine Garantie für die Zukunft. Ein Bericht kann außerdem nur Aussagen über den beschriebenen Dienst, die einbezogenen Systeme, Kriterien und Kontrollen treffen. Ein tadelloser Bericht für Dienst A sagt nicht automatisch etwas über Dienst B desselben Anbieters aus.

Darum gehört der Bericht in die sichere Auswahl und Steuerung von Cloud-Diensten – und nicht ungelesen in einen Lieferantenordner mit dem Namen Zertifikate.

Wie lang ist der Prüfungszeitraum bei Typ 2?

C5:2026 nennt für einen Typ-2-Auftrag grundsätzlich einen Mindestzeitraum von mindestens drei Monaten. Bei einem kürzeren Zeitraum kann der Prüfer nach Einschätzung des BSI keine ausreichenden Nachweise zur Wirksamkeit der Kontrollen erlangen.

Der Höchstzeitraum sollte grundsätzlich zwölf Monate nicht überschreiten. In begründeten Ausnahmefällen kann er länger sein, beispielsweise um den C5-Auftrag mit anderen Prüfungen abzustimmen.

Die oft gehörte Aussage „Typ 2 bedeutet immer sechs Monate“ ist damit zu pauschal. Sechs Monate können ein sinnvoller Prüfungszeitraum sein. Sie sind aber nicht die allgemeine Definition von Typ 2.

Noch wichtiger: Ein längerer Zeitraum erzeugt mehr Nachweismöglichkeiten. Er erzeugt allerdings auch mehr Gelegenheiten, bei denen eine Kontrolle ausfallen, verspätet durchgeführt oder falsch dokumentiert werden kann. Genau das ist der Sinn der Sache. Alltag ist nun einmal unordentlicher als ein Stichtag.

Muss man zuerst Typ 1 machen?

Nein. C5:2026 stellt ausdrücklich klar, dass vor einem Typ-2-Bericht nicht erst ein Typ-1-Bericht erlangt werden muss.

Typ 1 kann für einen neuen Cloud-Dienst oder einen Erstauftrag trotzdem sinnvoll sein. Der Anbieter erhält relativ früh eine unabhängige Aussage zur Systembeschreibung und zur Ausgestaltung seiner Kontrollen, obwohl für eine längere Wirksamkeitsprüfung noch kein ausreichender Zeitraum vergangen ist.

Der Kriterienkatalog setzt Typ 1 aber eine klare Grenze: Typ-1-Berichte sind auf den Erstauftrag zu beschränken und sollen nicht für aufeinanderfolgende Aufträge verwendet werden. Nachfolgende Aufträge erfordern Typ 2.

Ein Anbieter soll also nicht alle paar Monate einen neuen Stichtag fotografieren und damit dauerhaft vermeiden, dass jemand nach dem Betrieb dazwischen fragt.

Was bedeutet das für neue Cloud-Dienste?

Bei einem ganz neuen Dienst können einzelne Kontrollen noch nicht häufig genug durchgeführt worden sein. Eine jährliche Notfallübung kann schlecht dreimal nachgewiesen werden, wenn der Dienst erst seit vier Monaten existiert.

C5:2026 erlaubt für Erstaufträge deshalb geeignete Nachweise über die Einrichtung solcher Kontrollen. Das können beispielsweise Planungen, Vorlagen oder Nachweise aus einer passend konfigurierten Nicht-Produktionsumgebung sein. Das macht Typ 1 als Einstieg praktisch brauchbar.

Es macht ihn aber nicht zu Typ 2. Wer zeigen möchte, dass die Kontrollen im wirklichen Betrieb konsequent angewendet wurden, braucht den Prüfungszeitraum und die Wirksamkeitsprüfung.

Welche Rolle spielt § 393 SGB V?

Für bestimmte Cloud-Verarbeitungen im Gesundheitswesen ist die Unterscheidung nicht nur eine Frage der Aussagekraft. § 393 SGB V verlangt seit dem 1. Juli 2025 grundsätzlich ein aktuelles C5-Typ-2-Testat.

Für ein informationstechnisches System, das nach dem 30. Juni 2025 erstmals in Verkehr gebracht wurde, sieht das Gesetz eine Anlaufregel vor: Während der ersten 18 Monate kann Typ 1 genügen; ab dem 19. Monat ist Typ 2 erforderlich.

Das ist eine besondere gesetzliche Regel und nicht mit der allgemeinen Beschreibung der Berichtstypen zu verwechseln. Ob Ihr Unternehmen und Ihr Dienst überhaupt in diesen Anwendungsbereich fallen, behandeln wir separat im Artikel „Braucht Ihr Unternehmen ein C5-Testat?“.

C5:2020 oder C5:2026?

Der neue Kriterienkatalog C5:2026 enthält eine Übergangsregel:

• Bei Typ-1-Berichten ist C5:2026 für Stichtage ab dem 1. Juni 2027 anzuwenden.
• Bei Typ-2-Berichten ist C5:2026 für Prüfungszeiträume anzuwenden, die am oder nach dem 1. Juni 2027 beginnen.
• Eine frühere Anwendung ist zulässig.
• Beginnt ein Typ-2-Zeitraum vor dem 1. Juni 2027 und endet danach, soll vollständig C5:2020 verwendet werden. Beide Fassungen sollen nicht innerhalb desselben Auftrags vermischt werden.

Gerade während der Übergangszeit reicht deshalb die Frage „Typ 1 oder Typ 2?“ nicht. Sie müssen zusätzlich nach Kriterienversion, Stichtag beziehungsweise Zeitraum und dem genau erfassten Cloud-Dienst fragen.

Welche Nachweise braucht Typ 2 praktisch?

Wer einen Typ-2-Bericht anstrebt, sollte Nachweise nicht erst kurz vor der Prüfung zusammensuchen. Kontrollen müssen so betrieben werden, dass ihre Durchführung nachvollziehbar bleibt.

Typische Nachweisquellen sind:

• Tickets und Freigaben,
• automatisch erzeugte Protokolle,
• Prüf- und Kontrolllisten,
• Auswertungen aus technischen Werkzeugen,
• Besprechungsprotokolle und Entscheidungen,
• dokumentierte Ausnahmen,
• festgestellte Fehler und ihre Behandlung,
• Nachweise über Wiederholungen oder Eskalationen,
• Zeitstempel und Versionsstände.

Dabei gilt derselbe Grundsatz wie bei guten Internen Audits: Die Feststellung „Das machen wir regelmäßig“ ist noch kein Nachweis. Unser Artikel über das richtige Dokumentieren Interner Audits zeigt, wie Prüfgrundlage, Stichprobe, Nachweis und Bewertung sauber auseinandergehalten werden.

Werden Mängel festgestellt, sollten sie nicht bis zum Wirtschaftsprüfer liegen bleiben. Wie Korrektur, Ursachenanalyse und Korrekturmaßnahme zusammengehören, erklären wir im Praxisleitfaden zum Behandeln von Abweichungen.

Typische Fehler

• Typ 1 als Theorieprüfung abtun: Auch Typ 1 verlangt eingerichtete Kontrollen und konkrete Prüfungshandlungen.
• Typ 1 dauerhaft wiederholen: C5:2026 begrenzt Typ 1 auf den Erstauftrag.
• Typ 2 mit einer festen Sechsmonatsfrist gleichsetzen: Der Kriterienkatalog sieht grundsätzlich mindestens drei und höchstens zwölf Monate vor.
• Nachweise erst am Ende erzeugen: Ein rückwirkend gebautes Protokoll beweist nicht zuverlässig, dass die Kontrolle damals funktioniert hat.
• Nur das Prüfungsurteil lesen: Dienstumfang, Kriterienversion, Abweichungen, Subdienstleister und Kundenkontrollen bleiben entscheidend.
• Ein Testat für das ganze Unternehmen annehmen: Geprüft wird ein beschriebener Cloud-Dienst mit seinen Systemgrenzen.
• Kundenverantwortung vergessen: Auch bei einem Typ-2-Bericht bleiben korrespondierende Kontrollen beim Cloud-Kunden.

Letzteres gehört in die laufende Überwachung von Lieferanten und deren Dienstleistungen. Typ 2 ist ein starker Nachweis. Er ersetzt aber nicht die eigene Bewertung, ob Bericht, Dienst und Einsatzzweck zusammenpassen.

Interesse geweckt?

Sie möchten klären, welchen C5-Bericht Ihr Cloud-Dienst benötigt, welche Nachweise für Typ 2 fehlen und wie sich die Vorbereitung mit Ihrem bestehenden ISMS verbinden lässt? Sprechen Sie mit uns.

Rechtlicher Hinweis: Dieser Artikel ist keine Rechtsberatung. Er erläutert die Berichtstypen nach C5:2026 und die derzeitige Regelung in § 393 SGB V. Prüfen Sie gesetzliche Anforderungen für Ihren konkreten Dienst und Anwendungsfall gesondert.