BDO AG aktualisiert Cloud-Sicherheitsstandard C5:2026

Die BDO AG Wirtschaftsprüfungsgesellschaft informiert über den neuen C5:2026-Standard des Bundesamts für Sicherheit in der Informationstechnik (BSI), der am 7. April 2026 veröffentlicht wurde. Dieser Standard stellt eine Weiterentwicklung des bisherigen C5:2020 dar und trägt technologischen Fortschritten wie Containerisierung, Confidential Computing sowie neuen regulatorischen Anforderungen aus NIS2, DORA und ISO/IEC 27001:2022 Rechnung. Er löst den bisherigen Standard sowohl inhaltlich als auch strukturell ab.

Mit dem C5:2026 verfolgt das BSI das Ziel, die Cloud-Sicherheit an die aktuelle Bedrohungslage und moderne Cloud-Architekturen anzupassen. Der Standard bleibt ein prüfbarer Kriterienkatalog, dessen Konformität durch Wirtschaftsprüfer im Rahmen eines ISAE 3000-basierten Prüfverfahrens bestätigt wird. BDO AG unterstützt Unternehmen bei der Erfüllung dieser neuen Anforderungen.

Wesentliche Neuerungen im C5:2026 umfassen eine stärkere Einbettung in europäische Vorgaben wie NIS-2 und DORA sowie erweiterte Anforderungen an die Cloud-Souveränität, präzisierte Kriterien für Datenlokalisierung und Zugriffskontrolle. Zudem wurde die Kontrollstruktur modernisiert, um die Prüfbarkeit zu erhöhen, und die Transparenzanforderungen an Cloud-Provider wurden verschärft, insbesondere hinsichtlich Sub-Service-Providern und Architekturdetails.

Für die Anwendbarkeit des Standards gilt eine Übergangsphase. Freiwillige Prüfungen nach C5:2026 sind ab sofort möglich. Bis zum 28. Februar 2027 können noch Prüfberichte nach C5:2020 erstellt werden. In einer Übergangsphase bis 31. Mai 2027 sind zusätzliche Informationen zur Anpassung des Kontrollsystems erforderlich. Ab dem 1. Juni 2027 ist der neue Kriterienkatalog C5:2026 verpflichtend anzuwenden. BDO bietet Beratungsleistungen zur Vorbereitung, Prüfung und Berichterstattung nach dem C5-Standard an.