BSI C5

C5-Testate beziehen sich immer auf einen bereits vergangenen, abgeschlossenen Zeitraum. Insofern können sie die Gültigkeit nur verlieren, wenn nachweislich (fahrlässig, grob fahrlässig oder absichtlich) falsche Aussagen für den Berichtszeitraum getätigt wurden. Indes ist ein mehrere Jahre altes C5-Testat für das Risikomanagement aktueller Kunden kaum brauchbar. Daher werden C5-Prüfungen in der Regel jährlich wiederholt.

Der C5 richtet sich an Cloud-Kunden, Cloud-Anbieter und deren Prüfer. Der Anbieter hat die Kriterien des C5 umzusetzen und der Prüfer die Konformität nachzuweisen.

Da der Begriff "Cloud" in vielfältiger Weise genutzt wird, kann der C5 auch für IT-Dienstleistungen herangezogen werden, die nicht explizit "Cloud" im Titel führen, aber eine Nähe zu Cloud-Diensten haben. Die grundlegenden Sicherheitsanforderungen an einen Cloud-Dienst sind über den C5 abgedeckt, wobei ein Cloud-Kunde trotzdem prüfen muss, ob die Kriterien auch für den eigenen konkreten Anwendungsfall ausreichend adressiert sind. Somit kann sich ein Cloud-Kunde verstärkt den eigenen individuellen Anforderungen an Informationssicherheit und deren Umsetzung bzw. eigenen Kriterien, die über das Basisniveau des C5 hinausgehen, widmen. Die Kriterien sind branchenübergreifend anwendbar.

Nein, der C5 hat primär die Informationssicherheit und nicht den Datenschutz im Fokus. Nutzt man einen C5-testierten Cloud-Dienst, ist dieser deshalb nicht automatisch datenschutzkonform.

Der C5 nimmt alle Kriterien der ISO/IEC 27001 in den Basis-Kriterien auf. Dies bedeutet, dass ein Cloud-Anbieter, der ISO/IEC 27001 umgesetzt hat, für viele der Kriterien des Katalogs bereits Maßnahmen implementiert hat. Der C5 fordert bei den Basis-Kriterien ein Managementsystem, das sich an ISO/IEC 27001 orientiert.

Der Standard ISO/IEC 27017 "Code of practice for information security controls based on ISO/IEC 27002 for cloud services" erweitert den Standard ISO/IEC 27002 um Cloud-spezifische Umsetzungshinweise. Zusätzlich nimmt er im Anhang noch einige zusätzliche Kriterien mit auf, die sich auch im C5 wiederfinden. Der "code of practice" ist eine gute Referenz für die Umsetzung der Kriterien des C5.

ISO/IEC 27018 "Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors" befasst sich mit dem Schutz personenbezogener Daten im Cloud Computing. Er lehnt sich stark an den europäischen Datenschutz an, besitzt aber keinen normativen Charakter. Da der C5 sich nicht mit dem Datenschutz befasst, kann ISO/IEC 27018 als sehr hilfreiche Ergänzung zum Datenschutz herangezogen werden.

Im C5-Bericht muss kenntlich gemacht werden, über welche Services eines Cloud-Anbieters eine C5-Prüfung erfolgt ist. Da dies nicht zwangsweise die komplette Infrastruktur und alle Dienstleistungen eines Cloud-Anbieters abdeckt, muss vom Cloud-Kunden als erstes sichergestellt werden, dass die von ihm genutzten Services auch von dem C5-Testat abgedeckt werden.

Nein, zur Zeit existiert kein offizielles C5-Logo.

Der BSI C5-Kriterienkatalog enthält 121 Kriterien zur Informationssicherheit von Cloud-Diensten. Diese gliedern sich in 17 Themengebiete, denen jeweils eine Zielsetzung zugewiesen ist, die durch die Kriterien erreicht werden soll. Die Bereiche orientieren sich an der Darstellung der Maßnahmenziele aus ISO/IEC 27001:2013 Anhang A: