BSI C5

Cloud Computing Compliance Criteria Catalogue – so der volle Name des BSI C5. Dahinter steht ein Kriterienkatalog, mit dem das Bundesamt für Sicherheit in der Informationstechnik ein Mindestniveau für Cloudsicherheit beschreibt. Für Anbieter ist er ein Nachweisinstrument. Für Kunden ist er etwas anderes und Wichtigeres: die einzige realistische Möglichkeit, die Sicherheit eines Dienstes zu beurteilen, den man selbst nicht prüfen kann.

Was ihn von einer Zertifizierung unterscheidet

Der entscheidende Unterschied zu ISO 27001 liegt in der Art des Ergebnisses.

Eine Zertifizierung bescheinigt, dass ein Managementsystem den Anforderungen einer Norm genügt. Das Ergebnis ist ein Zertifikat: ein Blatt mit Geltungsbereich und Laufzeit.

Ein C5-Testat ist ein Prüfungsbericht eines Wirtschaftsprüfers nach anerkannten Prüfungsstandards. Es bescheinigt nicht nur, dass Kontrollen existieren, sondern beschreibt sie – und der Bericht nennt auch die Abweichungen, die der Prüfer festgestellt hat.

Für den Kunden ist das der praktische Vorteil: Er bekommt keinen Stempel, sondern ein Dokument, das er lesen und für die eigene Risikobewertung verwenden kann.

Typ 1 und Typ 2 – der Unterschied, auf den es ankommt

Typ 1 prüft die Angemessenheit der Kontrollen zu einem Stichtag. Der Prüfer stellt fest, dass die Maßnahmen geeignet beschrieben und eingerichtet sind.

Typ 2 prüft zusätzlich die Wirksamkeit über einen Zeitraum, üblicherweise mehrere Monate. Der Prüfer sieht sich an, ob die Kontrollen tatsächlich durchgängig gewirkt haben.

Wer ein Testat vorgelegt bekommt, sollte deshalb zuerst auf diesen Punkt sehen. Ein Typ-1-Testat sagt, dass am Stichtag alles eingerichtet war. Was in den elf Monaten danach geschah, sagt es nicht.

Was der Katalog abdeckt

Die Kriterien decken die üblichen Themenfelder der Informationssicherheit ab – Organisation, Personal, Zugriffskontrolle, Kryptografie, Betrieb, Beschaffung, Vorfallbehandlung, Kontinuität, Compliance – zugeschnitten auf den Betrieb von Clouddiensten.

Eine Besonderheit verdient Aufmerksamkeit: Der Katalog enthält Kriterien zur Transparenz über den Gerichtsstand und über behördliche Zugriffe. Der Anbieter legt offen, welchem Recht er unterliegt und wie er mit Herausgabeersuchen umgeht. Genau diese Angaben brauchen Sie für Ihre eigene Bewertung, wenn Daten in Drittländer fließen – siehe Datenübermittlung in die USA.

Was Kunden im Bericht lesen sollten

Ein Testat entgegenzunehmen und abzuheften, ist der häufigste Fehler. Der Bericht ist dazu da, gelesen zu werden – und vier Stellen lohnen die Mühe:

  1. Der Geltungsbereich. Welche Dienste, welche Rechenzentren, welche Standorte? Nicht selten deckt das Testat nur einen Teil des Angebots ab, das Sie nutzen.
  2. Typ und Zeitraum. Siehe oben. Und: Wie alt ist der Bericht?
  3. Die festgestellten Abweichungen. Sie stehen darin, und sie sind der wertvollste Teil. Ein Bericht ohne jede Abweichung ist eher ein Anlass zur Rückfrage als ein Gütesiegel.
  4. Die ergänzenden Kundenpflichten. Jedes Testat benennt Maßnahmen, die der Kunde selbst treffen muss, damit die Kontrollen des Anbieters wirken – etwa Berechtigungsverwaltung oder Verschlüsselung eigener Daten. Diese Pflichten gehören in Ihre eigene Dokumentation.

Der letzte Punkt wird fast immer übersehen. Ein Anbieter kann noch so gut testiert sein – wenn Sie den Zugriff in Ihrem Mandanten falsch konfigurieren, hilft das nichts.

Wie das Testat in Ihre eigene Prüfung passt

Für den Auftragsverarbeitungsvertrag verlangt Art. 28 Abs. 1 DSGVO, dass Sie nur Auftragsverarbeiter einsetzen, die hinreichende Garantien bieten. Ein C5-Testat ist dafür ein starker Beleg – und erspart Ihnen das eigene Audit beim Anbieter, das dieser ohnehin nicht zulassen würde.

Es ersetzt die Bewertung aber nicht: Sie bleibt Ihre Aufgabe, samt Dokumentation im Rahmen des Lieferantenaudits. Und der Dienst gehört mit seinem Risiko in Ihre Risikoanalyse.

Für Anbieter: lohnt sich das?

Wenn Sie an die öffentliche Verwaltung, an Finanzdienstleister oder an große Industriekunden verkaufen: meist ja. Das Testat kürzt Beschaffungsprozesse ab, in denen sonst jeder Kunde eigene Fragebögen schickt.

Der Aufwand ist allerdings kein Nebenprojekt. Vorausgesetzt wird ein funktionierendes Informationssicherheitsmanagementsystem; ein bestehendes ISO-27001-System deckt einen erheblichen Teil der Kriterien ab. Wie ein solches System entsteht, steht unter ISMS aufbauen.

Kontakt

Sie haben ein C5-Testat vorliegen und wissen nicht, was daraus für Sie folgt? Wir lesen es mit Ihnen durch.