BSI C5 klar nachweisen.

Ein C5-Testat darf ausschließlich von Wirtschaftsprüfern oder Wirtschaftsprüfungsgesellschaften ausgestellt werden, die nach der Wirtschaftsprüferordnung (WPO) zugelassen sind. Das BSI selbst stellt keine Testate aus. Unternehmen sollten darauf achten, dass der beauftragte Prüfer über ausreichende Cloud-Expertise verfügt, da C5 ein technisch anspruchsvolles Prüffeld mit spezifischen Anforderungen an Mandantentrennung, Portabilität und Transparenz ist.

Ein C5-Testat ist primär relevant für Cloud-Dienstleister, die an Bundesbehörden, kritische Infrastrukturen oder Unternehmen mit hohem Sicherheitsbedarf liefern. Auch privatwirtschaftliche Unternehmen fordern zunehmend C5-Testate als Nachweis der Sicherheitsstandards ihrer Cloud-Anbieter.

Ein Typ-1-Testat bescheinigt, dass die Sicherheitskontrollen zu einem Stichtag angemessen gestaltet sind. Ein Typ-2-Testat prüft darüber hinaus die Wirksamkeit der Kontrollen über einen Beobachtungszeitraum von typischerweise 6 bis 12 Monaten und ist damit deutlich aussagekräftiger.

C5 basiert methodisch auf ISO 27001, geht in vielen Bereichen aber deutlich darüber hinaus, insbesondere bei Cloud-spezifischen Anforderungen wie Mandantentrennung, Portabilität und Transparenzpflichten. Eine ISO 27001 Zertifizierung ist eine gute Basis, ersetzt ein C5-Testat aber nicht.

Bei einem Unternehmen ohne bestehende Sicherheitsdokumentation rechnen wir mit 9 bis 18 Monaten. Gibt es bereits ein ISMS oder eine ISO 27001 Zertifizierung, kann der Aufwand auf 6 bis 12 Monate reduziert werden.

Die Kosten hängen von der Ausgangssituation, dem Umfang der Cloud-Services und der angestrebten Testat-Tiefe ab. Nach einem kostenlosen Erstgespräch erhalten Sie eine transparente Aufwandsschätzung.