Definition BSI C5 | BSI Cloud Computing Compliance Criteria Catalogue Was ist C5?

Anbieter zum Thema

Moxa Europe GmbH

FTAPI Software GmbH

Insider Research

BSI C5 ist ein vom Bundesamt für Sicherheit in der Informationstechnik veröffentlichter Kriterienkatalog mit Mindestanforderungen an sicheres Cloud-Computing. Auf Basis einer standardisierten Prüfung können Cloud-Anbieter die Informationssicherheit ihrer Services transparent darstellen. Die erste Version des Kriterienkatalogs erschien im Jahr 2016. Inzwischen liegt der BSI Cloud Computing Compliance Criteria Catalogue in einer überarbeiteten und im Jahr 2020 veröffentlichten Version vor.

BSI C5 ist die Kurzschreibweise für BSI Cloud Computing Compliance Criteria Catalogue. Es handelt sich um einen vom Bundesamt für Sicherheit in der Informationstechnik veröffentlichten Kriterienkatalog. Er enthält Mindestanforderungen für ein sichere Cloud-Computing. Der Kriterienkatalog wurde für professionelle Anbieter von Cloud-Services, aber auch für Auditoren und Kunden von Cloud-Diensten entworfen. Mithilfe des Kriterienkatalogs und einer standardisierten Prüfung können Cloud-Anbieter die Informationssicherheit ihrer Services transparent darstellen. C5 richtet sich nach Sicherheitsempfehlungen der Bundesregierung für Cloud-Provider und wurde 2016 erstmalig veröffentlicht. Mittlerweile liegt er in einer überarbeiteten und im Jahr 2020 veröffentlichten Version vor. Der BSI Cloud Computing Compliance Criteria Catalogue hat sich am Markt etabliert. Zahlreiche deutsche, europäische und weltweite Cloud-Anbieter haben ein C5-Testat. Cloud-Kunden erhalten mit einem Testat eine Orientierungshilfe bei der Auswahl ihres Anbieters. Bundesbehörden haben die Möglichkeit, sich hinsichtlich der Mindeststandards vom BSI beraten zu lassen.

Die Zielsetzung des Kriterienkatalogs

Wichtigstes Ziel des Kriterienkatalogs ist es, für mehr Transparenz beim Thema Informationssicherheit und Datenschutz im Cloud-Computing zu sorgen. Die Einhaltung der Mindestanforderungen des Katalogs stellt unter anderem sicher, dass geeignete Sicherheitsvorkehrungen gegenüber Cyberangriffen bestehen, dass operativen Abläufe geprüft und überwacht sind, dass AAA-Mechanismen zur Verhinderung unbefugter Zugriffe implementiert sind, dass Transaktionen nachverfolgbar sind und dass Daten zuverlässig verfügbar und nutzbar sind.

Die überarbeitete Version des Kriterienkatalogs BSI C5:2020

2019 wurde der Kriterienkatalog grundlegend überarbeitet. Das BSI veröffentlichte die neue, aktuell gültige Version BSI C5:2020 im Jahr 2020. Für Prüfungen ist die aktuelle Version des Kriterienkatalogs einzusetzen.

Um den aktuellen Entwicklungen im Cloud-Computing-Umfeld gerecht zu werden, enthält die überarbeitete Version unter anderem diese Neuerungen und Veränderungen:

• Sicherheitskriterien für die neuen Bereiche Produktsicherheit und Umgang mit Ermittlungsanfragen staatlicher Stellen

• grundlegende Überarbeitung zahlreicher Sicherheitskriterien, um beispielsweise Trends wie DevOps besser zu berücksichtigen oder Teilung von Aufgaben und Verantwortungen transparenter darzustellen

• Hinweise für alle Sicherheitskriterien zur Prüfung im Rahmen eines Audits

• Einführung der Möglichkeit einer direkten Prüfung ohne die Notwendigkeit, eine Systembeschreibung vorher selbst zu erstellen und vorzulegen

Die 125 Kriterien des Katalogs sind in 17 Themengebiete aufgeteilt und orientieren sich an ISO/IEC 27001.

Das C5-Cloud-Testat

Mit einem C5-Cloud-Testat weisen Cloud-Anbieter die Einhaltung der Mindeststandards hinsichtlich der Informationssicherheit transparent nach. Die standardisierte Prüfung wird nicht vom BSI selbst, sondern von Auditoren (zum Beispiel Wirtschaftsprüfern), die vom Cloud-Anbieter beauftragt wurden, durchgeführt. Das BSI ist weder bei der Auswahl der Prüfer noch bei der Prüfung eingebunden.

Zur Erstellung eines Testats prüfen die Auditoren, ob die Kriterien des Katalogs erfüllt werden. Die Maßnahmen des Anbieters und die Prüfungstätigkeiten werden dokumentiert. Kunden können diese Dokumentation in Form eines C5-Prüfberichts anfordern und für die Auswahl eines Anbieters heranziehen.

(ID:48983149)