BSI C5 ist ein vom Bundesamt für Sicherheit in der Informationstechnik herausgegebener Kriterienkatalog für die Informationssicherheit von Cloud-Diensten. Ein C5-Testat wird von einem Wirtschaftsprüfer erteilt und bescheinigt, dass der Anbieter die Kriterien erfüllt – entweder zu einem Stichtag oder über einen Zeitraum hinweg. In der öffentlichen Beschaffung wird es häufig als Eignungsnachweis verlangt.

BSI C5 Kurz erklärt

Kurz-Fakten

Keine Zertifizierung, sondern ein Prüfungsurteil nach Prüfungsstandard
Zwei Formen: Typ 1 zum Stichtag, Typ 2 über einen Zeitraum von meist zwölf Monaten
Der Katalog umfasst über hundert Kriterien in siebzehn Bereichen
Die Erstellung ist aufwendig und für kleine Anbieter wirtschaftlich oft nicht darstellbar

Bedeutung in der Praxis

C5 ist der Punkt, an dem sich für kleine Anbieter entscheidet, ob sie an öffentlichen Vergaben teilnehmen können. Ein Testat kostet einen fünfstelligen Betrag und bindet Personal, das ein Einzelunternehmen nicht hat.

Für Vergabestellen lohnt deshalb die Frage, ob C5 im konkreten Fall ein Eignungs- oder ein Zuschlagskriterium sein muss. Wer es pauschal als Eignungskriterium führt, schließt jeden kleinen und mittleren europäischen Anbieter aus – und übrig bleiben ausgerechnet die großen internationalen Plattformen, gegen die sich die Souveränitätsdebatte ursprünglich richtete.

BSI C5

Kurz-Fakten

Bedeutung in der Praxis

Verwandte Begriffe

Geprüft von