Was ist das
C5-Testat?
Cloud-Sicherheit, die das BSI bestätigt
Was ist das
Was ist C5?
C5 steht für Cloud Computing Compliance Criteria Catalogue und ist der führende Cloud-Sicherheitsstandard des BSI in Deutschland.
Was bestätigt ein C5-Testat?
Ein unabhängiger Wirtschaftsprüfer bestätigt, dass ein Cloud-Anbieter die Sicherheitskriterien des BSI erfüllt.
Was ist der aktuelle C5-Standard?
Der aktuelle Kriterienkatalog ist C5:2026. Er wurde Anfang 2026 überarbeitet und stärker an ISO/IEC 27001:2022 angelehnt.
Was bedeutet C5 Typ 2?
Ein Typ-2-Testat bestätigt nicht nur die angemessene Gestaltung von Sicherheitsmaßnahmen, sondern auch deren Wirksamkeit über den gesamten Prüfzeitraum.
Für wen ist C5 relevant?
C5 ist insbesondere für Cloud-Anbieter, Unternehmen und Behörden relevant. Für Bundesbehörden ist C5 ein wichtiger Maßstab bei der Auswahl und Nutzung externer Cloud-Dienste.
Hat TrendAI™ ein C5-Testat?
Ja. TrendAI™ ist nach C5:2020 Typ 2 testiert, geprüft von Deloitte und ausgestellt auf Trend Micro Corp.
5 „Cs“
C5 steht für Cloud Computing Compliance Criteria Catalogue und bezeichnet den Cloud-Sicherheitsstandard des BSI. Die fünf „Cs“ beschreiben die zentralen Elemente des Standards: Cloud, Computing, Compliance, Criteria und Catalogue.
Cloud
Cloud steht für die Umgebung, auf die der C5-Standard ausgerichtet ist: Cloud-Dienste und die damit verbundenen Sicherheitsrisiken. Der Standard schafft eine gemeinsame Grundlage, um die Sicherheit von Cloud-Angeboten objektiv vergleichbar zu machen: vom Rechenzentrum bis zur geteilten Verantwortung (Shared Responsibility) zwischen Anbieter und Kunde.
Computing
Computing beschreibt den technischen Kern des Standards: den sicheren Betrieb von Cloud-Computing-Infrastrukturen. C5 definiert Kriterien dafür, wie zuverlässig ein Cloud-Anbieter den sicheren Betrieb, die Verfügbarkeit und den Schutz seiner Systeme gewährleistet.
Compliance
Compliance macht die Einhaltung der C5-Anforderungen überprüfbar. Im C5-Testat bestätigt ein unabhängiger Wirtschaftsprüfer, dass ein Anbieter die BSI-Kriterien erfüllt. TrendAI™ ist nach dem C5:2020-Standard testiert (Typ 2), geprüft von Deloitte und ausgestellt auf Trend Micro, Corp.; Der Prüfbericht umfasst zugleich die SOC-2-Kriterien. Ein belegter Vertrauensnachweis für Cloud-Kunden im öffentlichen wie im privaten Sektor.
Criteria
Criteria sind die konkreten Sicherheitsanforderungen des C5-Standards. Sie umfassen unter anderem Zugriffskontrolle, Verschlüsselung, Incident Management und die physische Sicherheit von Rechenzentren. Anfang 2026 hat das BSI diesen Katalog mit C5:2026 überarbeitet, um neue Kriterien erweitert und stärker an die ISO/IEC 27001:2022 angelehnt.
Catalogue
Catalogue bezeichnet den vollständigen Kriterienkatalog des BSI. Er bündelt die Anforderungen, nach denen Cloud-Dienste im Rahmen von C5 geprüft werden. Für Bundesbehörden ist er Pflichtmaßstab bei der Auswahl von Cloud-Diensten, für Unternehmen ein verlässlicher Kompass. Die Neufassung C5:2026 wird ab Juni 2027 die bisherige Version C5:2020 ablösen.
Warum ist das C5-Testat wichtig?
Warum ist das C5-Testat wichtig?
Das C5-Testat ist wichtig, weil es die Sicherheit von Cloud-Diensten unabhängig geprüft und vergleichbar macht und damit zur Entscheidungsgrundlage bei der Anbieterauswahl wird. Immer mehr Unternehmen und Behörden verlagern Daten und Anwendungen in die Cloud, getrieben von KI, Kostendruck und wachsenden Compliance-Anforderungen. Mit der Vielfalt an Anbietern und Lösungen steigt aber auch die Komplexität, und Sicherheitsfragen geraten leicht ins Hintertreffen. Genau hier setzt das C5-Testat an: Das BSI hat mit dem C5-Kriterienkatalog einen einheitlichen Maßstab geschaffen, an dem sich die Sicherheit von Cloud-Diensten objektiv bewerten lässt. Erfüllt ein Anbieter die Kriterien und belegt dies in einem unabhängigen Audit, erhalten der Anbieter und ausgewählte Lösungen ein C5-Testat. Für Bundesbehörden ist der C5-Standard bei der Cloud-Nutzung bereits Pflichtmaßstab, und im Rahmen von NIS2 wird der Sicherheitsnachweis von Anbietern auch für die Lieferkette immer wichtiger.
Cloud-Anbieter können ihre Sicherheit dabei nach C5 Typ 2 nachweisen. „Typ 2" bedeutet: Die Maßnahmen für Informationssicherheit und Datenschutz wurden nicht nur zu einem Stichtag geprüft (Typ 1), sondern über den gesamten Prüfungszeitraum hinweg konsequent angewendet und nachweislich eingehalten.
Was bringt das C5-Testat für die DSGVO?
Das C5-Testat erleichtert Unternehmen den Nachweis, dass ein Cloud-Anbieter die Anforderungen der Datenschutz-Grundverordnung (DS-GVO, häufig auch DSGVO geschrieben) erfüllt. Für Unternehmen, die nicht selbst an C5 gebunden sind, ist es damit vor allem eine Arbeitserleichterung. Um Daten im Rahmen der DS-GVO in die Cloud auslagern zu können, ist ein Unternehmen gefordert die Sicherheitseignung des Providers zu prüfen. Das jährlich erneuerte Testat bietet dafür eine schriftliche Grundlage. Datenschutz Beauftragte können anhand der Beschreibungen beurteilen, ob ein ausreichender Schutz vorhanden ist. Das C5 Testat ist dabei laut BSI ein Mindeststandard der eine Cloudnutzung im Rahmen der DS-GVO erlaubt.
Was ist das C5-Testat?
Das C5-Testat ist die unabhängige Beschreibung, wie ein Cloud-Anbieter die Sicherheitsanforderungen des BSI erfüllt. Grundlage ist der C5-Kriterienkatalog (Cloud, Computing, Compliance, Criteria, Catalogue), den das BSI erstmals im Februar 2016 veröffentlicht hat und der heute als führender Cloud-Sicherheitsstandard in Deutschland gilt. Ein unabhängiger Wirtschaftsprüfer prüft die Kriterien und beschreibt ihre Umsetzung im Testat. Für Behörden wie Unternehmen ein verlässlicher Beleg für sichere Cloud-Dienste. Aktueller Katalogstand ist C5:2026, der den Standard weiterentwickelt und enger an die ISO/IEC 27001:2022 anlehnt.
Das C5-Testat und Trend Micro: Einfach erklärt!
Sicherheitsauflagen erfüllen und wertvolle Geschäftsvorteile nutzen
PODCAST
Hören Sie im Podcast, welche Tipps Hannes Steiner, Vice President Germany bei Trend Micro, zur NIS2-Richtlinie hat.
Was bringt das C5-Testat den Unternehmen?
Das C5-Testat gibt Cloud-Kunden eine belastbare Orientierung bei der Anbieterauswahl, geprüft von einem unabhängigen Wirtschaftsprüfer nach den Kriterien des BSI. Konkret zeigt es:
- wie gut ein Anbieter seine Infrastruktur gegen Cyberangriffe schützt;
- wie es um die physische Sicherheit steht, etwa Zugriff auf und Lagerung von Informationen;
- welche Aufgaben beim Anbieter liegen und welche beim Kunden (Shared Responsibility);
- dass die geprüften Cloud-Dienste Compliance-konform genutzt werden können.
Für Anbieter bedeutet das: Sie müssen definierte Mindeststandards erfüllen und unabhängig auditieren lassen, um ein C5-Testat zu erhalten. Für Kunden ist es ein verlässlicher Vertrauensnachweis und zugleich ein Baustein für die eigene Compliance, etwa bei NIS2-Nachweisen in der Lieferkette.
Wer hat ein C5-Testat?
TrendAI™ ist nach dem C5:2020-Standard des BSI testiert (Typ 2) – geprüft vom unabhängigen Wirtschaftsprüfer Deloitte und ausgestellt auf die Rechtsentität Trend Micro Corp. TrendAI™-Lösungen für Cloud-Sicherheit erfüllen damit nachweislich die strengen Anforderungen des BSI.
Welche Lösungen von TrendAI haben ein C5-Testat?
Folgende TrendAI™-Lösungen sind C5-attestiert:
- TrendAI™ Cloud App Security
- TrendAI Vision One™ Endpoint Security und Server and Workload Protection (SWP)
- TrendAI™ Cloud One Network Security
- TrendAI Vision One™ Container Security
- TrendAI Vision One™ File Security
- TrendAI Vision One™ Cloud Security
- TrendAI Vision One™ (Plattform)
*inkl. TrendAI Vision One™ Email and Collaboration Security.
Damit haben Kunden – und solche, die es werden wollen – einen belegten Sicherheitsnachweis für ihren Weg in die Cloud. Sie möchten mehr über das C5-Testat erfahren oder den Prüfbericht anfordern? Nehmen Sie mit unserem Support-Team oder Ihrem direkten Ansprechpartner bei TrendAI™ Kontakt auf.
Seit mehr als 35 Jahren
einer der führenden Sicherheitspartner
25.000 Unternehmen
weltweit geschützt
#1 in Public Vulnerability Disclosure
73% der durch unabhängige Forscher offengelegten Schwachstellen
Cloud Security
TrendAI Vision One™ Cloud Security schützt hybride und Multi-Cloud-Umgebungen mit einheitlicher Transparenz, kontinuierlicher Risikobewertung und automatisierter Abwehr. So sichern Sie Rechenzentren, Container, Workloads und Anwendungen über die gesamte Cloud-Angriffsfläche hinweg und behalten Ihr Cloud-Risiko jederzeit im Blick.
Cyber Risk Exposure Management
TrendAI Vision One™ Cyber Risk Exposure Management (CREM) deckt Ihre gesamte Angriffsfläche auf, inklusive unbekannter und nicht verwalteter Assets. Erkennen, bewerten und priorisieren Sie Cyberrisiken nach ihren geschäftlichen Auswirkungen und mindern Sie die wichtigsten proaktiv, bevor Angreifer sie ausnutzen.
Endpoint Security
TrendAI Vision One™ Endpoint Security sichert Ihre Endgeräte – von Laptops und Servern bis zu Cloud-Workloads und Legacy-Systemen. Native EDR- und XDR-Funktionen erkennen Bedrohungen schneller, während zentrale Transparenz und automatisierte Reaktion Angriffe stoppen, bevor sie sich ausbreiten.
TrendAI Vision One™
TrendAI Vision One™ ist die anpassungsfähige, KI-native Cybersicherheitsplattform für das KI-Zeitalter. Sie vereint Cyber Risk Exposure Management, Security Operations und mehrschichtigen Schutz in einer Lösung für mehr Transparenz, klare Prioritäten und schnellere Reaktion über Ihr gesamtes Unternehmen hinweg.
FAQs
Worin liegt der Unterschied zwischen C5-Testat und Zertifizierung?
Ein Testat ist das Prüfurteil eines unabhängigen Wirtschaftsprüfers, eine Zertifizierung ist ein formales Zertifikat einer akkreditierten Zertifizierungsstelle. Das C5-Testat ist speziell auf Cloud-Dienste zugeschnitten und liefert einen detaillierten Prüfbericht; die ISO/IEC-27001-Zertifizierung bewertet das Sicherheitsmanagement des gesamten Unternehmens und mündet in ein Zertifikat. Beide belegen Sicherheit auf unterschiedliche Weise.
Das C5-Testat des BSI beschreibt, wie ein Cloud-Anbieter die Kriterien des C5-Katalogs erfüllt. Geprüft wird von einem unabhängigen Wirtschaftsprüfer nach anerkannten Prüfungsstandards (ISAE 3000 bzw. IDW PS 951); Ergebnis ist ein Prüfbericht mit Prüfurteil. Bei einem Typ-2-Testat wird zusätzlich belegt, dass die Maßnahmen über den gesamten Prüfzeitraum wirksam waren, nicht nur zu einem Stichtag.
Die Zertifizierung nach ISO/IEC 27001 bestätigt dagegen, dass das Informationssicherheits-Managementsystem (ISMS) eines Unternehmens die Anforderungen der Norm erfüllt. Das Zertifikat stellt eine akkreditierte Zertifizierungsstelle aus (in Deutschland unter Aufsicht der DAkkS); geprüft werden Richtlinien, Prozesse und deren Umsetzung, auch im Umgang mit Dritten.
Vereinfacht: Das C5-Testat ist speziell auf Cloud-Dienste zugeschnitten und liefert einen detaillierten Prüfbericht; die ISO/IEC-27001-Zertifizierung bewertet das Sicherheitsmanagement des gesamten Unternehmens und mündet in ein Zertifikat.
Haben Sie Fragen?
Kontaktieren Sie uns jetzt. Unser Support Team berät Sie gerne.
Andreas Glück
Client Relationship Manager
Denis Gallagher
Client Relationship Manager
Anca Acul
Client Relationship Manager