Cloud-Dienste für Bund, Länder und Kommunen: was Behörden vom C5-Bericht erwarten

Diese Seite richtet sich an Anbieter von Cloud-Diensten, die an Behörden des Bundes, der Länder oder der Kommunen liefern oder liefern wollen. Was der C5 ist und wann er allgemein verlangt wird, erklärt die Seite BSI C5; die Souveränitätskriterien C3A des BSI beschreibt die Seite C3A. Behörden begegnen Ihnen auch als Stellen, die Auskunft über oder Herausgabe von Kundendaten verlangen; wie Sie solche Verlangen behandeln, zeigt das Themengebiet INQ. Diese Seite ist keine Rechtsberatung; welche Vorgaben für eine bestimmte Behörde gelten, ist im Einzelfall zu prüfen.

Woher die C5-Anforderung im Bund kommt

Nach Abschnitt 3.1 des Katalogs gilt „für Cloud-Kunden auf Bundesebene der deutschen öffentlichen Verwaltung“ der „Mindeststandard des BSI zur Nutzung externer Cloud-Dienste“. Die aktuelle Fassung ist die Version 2.1 vom 15. Dezember 2022. Nach § 44 Abs. 1 BSIG müssen die Einrichtungen der Bundesverwaltung die Mindeststandards erfüllen; das BSI weist auf seiner Seite zum Mindeststandard darauf hin, dass diese Rechtsgrundlage seit dem Inkrafttreten des NIS2-Umsetzungsgesetzes (NIS2UmsuCG), so die Bezeichnung auf der BSI-Seite, am 6. Dezember 2025 die frühere Verankerung in § 8 BSIG ersetzt (Stand der BSI-Seite am 1. November 2026).

Der Mindeststandard richtet sich an die Behörde, nicht an den Anbieter. Welche Stellen er adressiert, legt seine Vorbemerkung fest: die Stellen nach § 8 Abs. 1 BSIG in der damaligen Fassung, heute die Einrichtungen der Bundesverwaltung nach § 44 Abs. 1 BSIG. Seine Begriffsbestimmung in Abschnitt 1.1 erfasst Cloud-Dienste, die Anbieter der Wirtschaft außerhalb der öffentlichen Verwaltung des Bundes erbringen, und das Speichern und Verarbeiten dienstlicher Daten. Für Anbieter folgen seine Anforderungen über Ausschreibung und Vertrag. Zwei Punkte zur Fassung: Der Mindeststandard bezieht sich noch auf C5:2020 und verweist für neue Versionen auf die Übergangsfristen des Katalogs. Wann C5:2026 anzuwenden ist, erklärt die Seite C5:2026.

Was die Behörde tun muss und was der Anbieter dafür liefert

Länder und Kommunen

Verbindlich ist der Mindeststandard nach § 44 Abs. 1 BSIG nur für Einrichtungen der Bundesverwaltung. Für Länder und Kommunen gilt er nicht unmittelbar. Ob und in welcher Form sie einen C5-Nachweis verlangen, ergibt sich aus ihren eigenen Vorgaben und aus den Vergabeunterlagen; eine einheitliche Regel haben wir nicht belegt gefunden. Das BSI nennt auf seiner Seite zum Mindeststandard den Beschluss 2016/35 des IT-Planungsrates vom 13. Oktober 2016 als weiteres Dokument. Darin empfiehlt der IT-Planungsrat seinen Mitgliedern, bei der Beschaffung von Cloud-Diensten die Vorgehensweisen und Kriterien aus der Anlage anzuwenden. Die Anlage 1 nennt in Nr. 5 den damaligen „Anforderungskatalog Cloud Computing - Kriterien zur Beurteilung der Informationssicherheit von Cloud-Diensten“ des BSI, die erste Fassung des C5 aus dem Jahr 2016, als eine von zwei Grundlagen; daneben oder stattdessen („und/oder“) Handlungsempfehlungen für die Ausschreibung, die Vergabe und den Betrieb öffentlicher Aufträge in der Cloud. Das ist eine Empfehlung an die Mitglieder, keine Pflicht, und sie bezieht sich auf eine Fassung, die heute durch C5:2020 und C5:2026 abgelöst ist. Ob Ihre Anfragen aus dem Bereich der Länder und Kommunen den C5 verlangen, sehen Sie deshalb an der Ausschreibung, nicht am Beschluss. Unsere Empfehlung: Lesen Sie die Leistungsbeschreibung jeder Ausschreibung auf Berichtstyp, Zusatzkriterien und Zeitraum.

Das Beispiel: eine Plattform für Förderanträge

Fiktives Beispiel, kein Kunde. Ein Anbieter betreibt eine Plattform, über die Unternehmen und Vereine Förderanträge stellen und Behörden sie bearbeiten. Kunden sind zwei Bundesbehörden und mehrere Kommunen, je Behörde ein Mandant. Die Plattform läuft auf einer deutschen Cloud-Plattform in einer Region in Deutschland, Backups in einer zweiten Region in Deutschland. Die Anträge enthalten personenbezogene Daten und Geschäftsgeheimnisse der Antragsteller; der Mindeststandard ordnet solche Daten den Kategorien 2 und 1 seiner Datenkategorisierung zu (NCD.2.1.03 f).

Entscheidung 1: Prüfungszeiträume ohne Lücke planen

Die Behörde darf zwischen zwei Nachweisen keine zeitliche Lücke haben. Für den Anbieter heißt das nach unserer Einordnung: Typ-2-Zeiträume so legen, dass der nächste dort beginnt, wo der vorige endet. Typ 1 ist nur für die Erstprüfung vorgesehen und keine Voraussetzung für Typ 2 (siehe Typ 1 oder Typ 2). Wer mit Typ 1 beginnt, sollte den ersten Typ-2-Zeitraum direkt nach dem Stichtag starten lassen. Fällt ein Zeitraum in den Wechsel von C5:2020 auf C5:2026, gelten die Regeln aus Abschnitt 3.5 des Katalogs.

Entscheidung 2: Welche Zusatzkriterien in den Prüfungsumfang?

Die Basiskriterien beschreiben das Mindestniveau bei normalem Schutzbedarf und den Mindestumfang jeder Prüfung. Weitere Risiken muss die Behörde nach dem Mindeststandard über zusätzliche Anforderungen abdecken, transferieren oder akzeptieren. Ein Anbieter kann dem zuvorkommen, indem er Zusatzkriterien prüfen lässt, für die er bei seinen Behördenkunden Bedarf sieht; welche, entscheidet er selbst, und die Auswahl ist in der Systembeschreibung zu begründen (Abschnitt 3.4.3). Für die Beispielplattform kommen nach unserer Einschätzung Zusatzkriterien zur Transparenz über Unterauftragnehmer der Dienstleister (SSO-07.01AS) und zur vorherigen Zustimmung bei Zugriffen auf Kundendaten (IAM-07.03AS) in Betracht. Wer Souveränitätsanforderungen erwartet, findet die Einordnung auf der Seite C3A.

Entscheidung 3: Änderungen bei Subdienstleistern vorher mitteilen

Der Mindeststandard verlangt von der Behörde, sich beabsichtigte Änderungen an Verträgen mit Subdienstleistern unverzüglich mitteilen zu lassen, möglichst vor der Umsetzung, insbesondere wenn Verträge enden oder neue entstehen. SSO-07.01B verlangt vom Anbieter, Kunden über die genutzten Dienstleister und die Art der Daten zu informieren, die sie verarbeiten. Unsere Empfehlung: einen Auslöser in den Prozess für neue Dienstleister einbauen, der Behördenkunden vor dem Vertragsschluss informiert, und die Mitteilungen als Nachweis ablegen. Wie das Inventar dafür aussieht, siehe Subdienstleisterinventar.

Entscheidung 4: Prüfrechte auf einer gemeinsamen Plattform

Bundesbehörden sollen sich eigene Prüfrechte zusichern lassen, die sie selbst oder Dritte in ihrem Auftrag wahrnehmen können. Auf einer mandantenfähigen Plattform darf eine solche Prüfung nach unserer Einordnung keinen Einblick in die Daten anderer Behörden geben. Legen Sie deshalb fest, wie eine Behördenprüfung abläuft: was vorab aus dem C5-Bericht beantwortet wird, welche Nachweise zusätzlich bereitstehen und wie die Trennung der Mandanten während einer Prüfung gewahrt bleibt. Die Trennung selbst belegen Sie über das Schichtenmodell nach OPS-30 und die mindestens jährlich überprüfte Risikobeurteilung nach OPS-31.

Entscheidung 5: Verschlusssachen ausdrücklich ausschließen oder gesondert regeln

Der Mindeststandard kennt Verschlusssachen nach der Verschlusssachenanweisung als eigene Datenkategorie (Kategorie 3). Ein C5-Testat beantwortet nach unserer Einordnung nicht, ob ein Dienst für Verschlusssachen geeignet ist. Ist die Verarbeitung von Verschlusssachen nicht vorgesehen, sollte das im Vertrag und in der Leistungsbeschreibung stehen.

Nachweise, die Behörden vom Anbieter erwarten können

Mögliche Lücken bei Anbietern für die Verwaltung