Pflicht
Sicherheit und Verfügbarkeit
C5 erwartet dokumentiertes Sicherheitsmanagement, Zugriffskontrolle, Kryptografie, Monitoring und Verfügbarkeitsmaßnahmen für Cloud-Dienste.
BSI C5
Der BSI Cloud Computing Compliance Criteria Catalogue (C5) ist der deutsche Benchmark für Cloud-Sicherheit, Transparenz und Auditierbarkeit — und eine häufige Beschaffungsanforderung für Cloud-Provider und ihre Kunden.
- BSI C5:2020 · Cloud-Provider-Attestierung
- 3 verwandte Frameworks
- 4 Wombat-Säulen
- Zuletzt geprüft 31.10.2026
Warum das jetzt zählt.
C5 ist um auditierbare Kriterien strukturiert: Sicherheit, Verfügbarkeit, Vertraulichkeit, Integrität, Transparenz und Compliance. Wombat hilft Teams, diese Kriterien in konkrete Architekturprüfungen und wiederverwendbare Evidenz zu übersetzen.
Was die Regulierung verlangt.
Eine praktische Lesart der Pflichten, die typischerweise in Architektur-, Betriebs- und Evidenzprüfungen landen.
Pflicht
Vertraulichkeit und Integrität
Datenklassifizierung, Mandantentrennung, Verschlüsselung und Integritätsschutz werden über den Service-Lebenszyklus bewertet.
Pflicht
Transparenz und Auditierbarkeit
Provider müssen relevante Sicherheitsinformationen für Kunden und Auditoren bereitstellen; Evidenz muss nachvollziehbar sein.
Pflicht
Lieferkette und Betrieb
Incident-Management, Change-Management, Lieferantenaufsicht und Business Continuity sind Teil des auditierten Kontrollumfelds.
Wo Wombat hilft.
Jede Pflicht ist einer oder mehreren Säulen zugeordnet. Die Säulen-Seiten zeigen die Controls, Prinzipien und Evidenzerwartungen hinter dem Score.
WAF-SEC
Sicherheit
Die Kernkriterien von C5 sind Sicherheits-Controls: Zugriff, Kryptografie, Logging, Schwachstellenbehandlung und sichere Konfiguration.
Mehr zur Säule Sicherheit →WAF-SOV
Souverän
Datenresidenz, Jurisdiktion, Provider-Abhängigkeit und Exit-Pfade sind zentral für die deutsche Cloud-Beschaffung.
Mehr zur Säule Souverän →WAF-OPS
Operative Exzellenz
C5 ist evidenzintensiv: Change Control, Incidents, Monitoring und Lieferantenaufsicht brauchen ein wiederholbares Betriebsmodell.
Mehr zur Säule Operative Exzellenz →WAF-REL
Zuverlässigkeit
Verfügbarkeits-, Backup- und Recovery-Kriterien müssen entworfen und nachgewiesen werden, nicht angenommen.
Mehr zur Säule Zuverlässigkeit →Zu prüfende Control-Themen.
Das sind die Control-Themen, für die Teams üblicherweise Evidenz benötigen. Der Control-Katalog ist die maßgebliche Quelle für die exakte Zuordnung.
Zugriffskontrolle und Identität
Kryptografie und Schlüsselverwaltung
Logging, Monitoring und Incident-Management
Lieferkette und Provider-Aufsicht
Datenresidenz und Transparenz
Business Continuity und Verfügbarkeit
SCHRITT 1
Definiere den Service-Scope und die C5-Kriterien, die für Beschaffung oder Attestierung gelten.
SCHRITT 2
Bewerte die aktuelle Architektur gegen die relevanten Säulen.
SCHRITT 3
Prüfe die C5-getaggten Control-Themen und sammle Evidenz pro Kriterium.
SCHRITT 4
Exportiere das Evidenzpaket für Auditor, Kunden oder internes Risikokomitee.
Verwandte Frameworks und Evidenz.
Wombat-Controls tragen Tags für die untenstehenden Frameworks. So lässt sich die technische Baseline mit der Evidenz verbinden, die Auditor oder Beschaffung bereits erwarten.
ISO 27001:2022
SOC 2 Type II
DSGVO
Eine C5-Evidenz-Baseline vorbereiten
Nutze die Scorecard, um Lücken zu finden, und den Control-Katalog, um die Evidenz vor dem Auditfenster zusammenzustellen.
Wombat ist ein technisches Framework, keine Rechtsberatung. Diese Seiten ordnen relevante Wombat-Säulen und Control-Themen regulatorischen Pflichten zu; sie sind keine Rechtsberatung. Prüfe die Zuordnung gegen den offiziellen Text und mit deinem Auditor.
Verwandte Compliance-Hubs.
Dieselbe Control-Baseline muss meist mehr als eine Pflicht erfüllen. Wechsle zum angrenzenden Hub und nutze die Evidenz weiter.
EU-Cybersicherheitsrichtlinie
NIS2
NIS2 hebt die Baseline für Cybersicherheits-Risikomanagement, Incident-Meldung und Lieferkettenverantwortung für wesentliche und wichtige Einrichtungen in der EU.
Zum NIS2-Hub →EU-Digital Operational Resilience
DORA
DORA bündelt ICT-Risikomanagement, Incident-Meldung, Resilienztests und Dienstleisteraufsicht in einem Regime für die operationelle Resilienz von Finanzunternehmen und ihren kritischen Dienstleistern.
Zum DORA-Hub →Cloud-Souveränitätskriterien
BSI C3A
C3A ist der unverbindliche Kriterienkatalog des BSI für digitale Souveränität bei Cloud-Diensten. Er ist in sechs Souveränitätskategorien gegliedert: strategisch, rechtlich und jurisdiktional, Daten, Betrieb, Lieferkette und Technologie.
Zum BSI C3A-Hub →Kontrolle, nicht nur Standort
Souveränität
Residenz, Jurisdiktion, Schlüsselverwahrung, Lieferantenkonzentration und Exit-Pfade — als bewertbare Controls.
Zum Souveränitäts-Hub →