Blackfort Technology
C5-Readiness

BSI C5

C5-Check: Wo steht Ihr Cloud-Dienst vor dem Testat?

Der Selbstcheck ordnet in acht kurzen Schritten ein, woher die Anforderung an einen C5-Nachweis kommt, was Ihr Scope und Ihre vorhandenen Nachweise bedeuten und wo die größten Handlungsfelder liegen. Das Ergebnis erscheint sofort, eine Kontaktangabe ist dafür nicht nötig.

Erstgespräch vereinbaren
Klemmbrett mit teilweise abgehakter Checkliste neben einem geschlossenen Laptop auf einem dunklen Schreibtisch

Stand: 2026-11-01

Der C5-Check ist eine erste Standortbestimmung für Cloud- und SaaS-Anbieter, die einen Nachweis nach dem Kriterienkatalog C5 des BSI vorbereiten. Er zeigt in wenigen Minuten, welche Fragen Sie zuerst klären sollten und welche Seiten dabei helfen. Eine Bewertung jedes einzelnen Kriteriums leistet erst die Gap-Analyse.

Selbstcheck starten

Acht kurze Schritte, etwa fünf Minuten. Die Auswertung läuft in Ihrem Browser und erscheint sofort; Ihre Antworten werden weder gespeichert noch übertragen. Erst wenn Sie das Ergebnis am Ende ausdrücklich an uns senden, verlassen sie Ihren Browser.

Unsere cookielose Statistik (Matomo) erfasst nur, dass der Check gestartet und das Ergebnis angezeigt wurde und ob Sie danach auf den Kontaktlink geklickt haben, ohne Ihre Antworten. Bitte geben Sie keine personenbezogenen Daten und keine Gesundheitsdaten ein; der Check fragt danach auch nicht.

Was der Check abfragt

  • Anforderung: ob ein Unternehmenskunde, eine Ausschreibung, Kunden aus dem Gesundheitswesen, eine Bundesbehörde oder der Finanzsektor den Nachweis erwartet.
  • Dienst und Plattform: Dienstmodell und ob der Dienst im eigenen Rechenzentrum, mit eigener Hardware in gemieteten Flächen (Colocation) oder bei einem Dritten läuft. Davon hängt ab, wie der Scope geschnitten wird.
  • Vorhandene Nachweise: ISO-27001-Zertifikat, SOC-2-Bericht oder ein C5-Testat nach C5:2020 oder C5:2026.
  • Termin und Berichtstyp: bis wann ein Bericht vorliegen soll und ob Sie Typ 1 oder Typ 2 anstreben.
  • Reife in acht Bereichen: Richtlinien, Risikomanagement, Berechtigungen, Betrieb und Protokollierung, Entwicklung, Dienstleistersteuerung, Notfallmanagement und Systembeschreibung, jeweils auf einer einfachen Skala.
Schaubild „Vom Selbstcheck zum Prüfungsweg“. Links „Ihre Angaben“: Anforderung (wer verlangt den Nachweis?), Dienst und Plattform (Dienstmodell, eigenes Rechenzentrum, Colocation oder bei einem Dritten), vorhandene Nachweise (ISO 27001, SOC 2, Testat nach C5:2020 oder C5:2026), Termin und Berichtstyp. In der Mitte „Reife in acht Bereichen“ mit je einer einfachen Skala: Richtlinien, Risikomanagement, Berechtigungen, Betrieb und Protokollierung, Entwicklung, Dienstleistersteuerung, Notfallmanagement, Systembeschreibung. Rechts „Ihr Ergebnis“: Orientierung mit Hinweisen auf mögliche Anforderungen und Verweis auf die erklärende Seite; Handlungsfelder, gold hervorgehoben: Bereiche, die nach Ihrer Einschätzung fehlen oder nur teilweise umgesetzt sind; Zeitplanung: Vorgaben des Katalogs zu Berichtstyp und Prüfungszeitraum, Hinweis zu Ihrem Termin. Unten: Orientierung, keine Prüfung und keine Rechtsberatung; welche Kriterien im Einzelnen erfüllt sind, zeigt erst die Gap-Analyse.
Grafik antippen, um sie in voller Größe zu öffnen.Was der C5-Check abfragt und was er ausgibt. Eigene Darstellung.

Wie Sie das Ergebnis lesen

Das Ergebnis besteht aus drei Teilen. Die Orientierung nennt Hinweise auf mögliche Anforderungen, die sich aus Ihren Angaben ergeben, und verweist auf die Seite, die das Thema erklärt. Die Handlungsfelder ordnen die Bereiche, die nach Ihrer Einschätzung fehlen oder nur teilweise umgesetzt sind. Die Zeitplanung fasst zusammen, was der Katalog zu Berichtstyp und Prüfungszeitraum vorgibt, und gibt einen Hinweis, wie gut Ihr Termin dazu passt. Für eine genaue Planung rechnen Sie vom Termin zurück, wie auf der Seite zum Ablauf der C5-Prüfung beschrieben.

Grenzen des Selbstchecks

Der Check beruht nur auf Ihrer eigenen Einschätzung und auf wenigen, vereinfachten Fragen. Er gibt Hinweise auf mögliche Anforderungen, trifft aber keine rechtliche Aussage darüber, ob eine Vorschrift wie § 393 SGB V für Ihren Dienst gilt; die rechtliche Einordnung im Einzelfall nimmt Ihre Rechtsberatung vor. Ob ein Testat erteilt wird, entscheidet allein der Prüfer. Blackfort Technology prüft und testiert nicht.

Der Check fragt keine personenbezogenen Daten und keine Gesundheitsdaten ab, und Sie laden keine Prüfberichte oder Unterlagen hoch.

Häufige Fragen

Werden meine Antworten gespeichert?+
Nein. Die Auswertung läuft vollständig in Ihrem Browser, ohne Cookies und ohne Einträge im Speicher des Browsers. Laden Sie die Seite neu, sind die Antworten weg. Nur wenn Sie im Ergebnis das Formular öffnen und das Ergebnis ausdrücklich an uns senden, übertragen wir Antworten und Ergebnis zusammen mit Name und E-Mail-Adresse. Einzelheiten stehen in der Datenschutzerklärung.
Sagt mir der Check, ob ich ein C5-Testat brauche?+
Er zeigt Hinweise auf mögliche Anforderungen aus Ihren Angaben, etwa aus Kundenverträgen, Ausschreibungen oder § 393 SGB V. Ob eine Pflicht besteht, hängt vom Einzelfall ab und ist rechtlich zu klären. Was ein Testat aussagt, erklärt die Seite zum C5-Testat.
Wie genau ist die Einschätzung der Handlungsfelder?+
So genau wie Ihre Selbsteinschätzung. Der Check fasst je Bereich viele Kriterien zusammen. Welche Kriterien im Einzelnen erfüllt sind, zeigt erst ein Abgleich je Kriterium, wie ihn die C5-Gap-Analyse liefert.

Weiterlesen

Quellen

Diese Inhalte dienen der allgemeinen technischen und organisatorischen Information und stellen keine Rechtsberatung dar (keine Rechtsdienstleistung i. S. d. RDG).