EUCS und C5: was der Stand des EU-Schemas für Ihre Testatsplanung bedeutet

Was ist EUCS?

EUCS steht für European Cybersecurity Certification Scheme for Cloud Services, ein europäisches Zertifizierungsschema für die Cybersicherheit von Cloud-Diensten. Die EU-Kommission hat die EU-Agentur für Cybersicherheit ENISA beauftragt, dafür einen Schema-Entwurf (Candidate Scheme) zu erarbeiten. Ein solcher Entwurf wirkt nach Angaben der ENISA erst, wenn er als Durchführungsrechtsakt der EU erlassen ist; danach haben die Mitgliedstaaten Zeit, den Betrieb des Schemas vorzubereiten, bevor Zertifikate ausgestellt werden.

EUCS ist damit ein anderes Instrument als C5. Für C5 gibt es kein Zertifizierungsverfahren; den Nachweis bildet ein Testat eines unabhängigen Prüfers nach ISAE 3000 (Revised) oder IDW PS 860 (siehe C5-Testat). EUCS ist als Zertifizierung im Rahmen des europäischen Cybersecurity Act angelegt.

Wie ist der Stand des Verfahrens am 1. November 2026?

EUCS ist nicht angenommen. Wir haben am 1. November 2026 die Seiten der beiden zuständigen Stellen geprüft; das Ergebnis:

Auf keiner dieser Seiten ist ein angenommener Durchführungsrechtsakt für EUCS genannt. Der überarbeitete Cybersecurity Act ist dort als Vorschlag beschrieben. Ob und wann EUCS kommt und mit welchen Anforderungen, lässt sich aus diesen Quellen nicht ablesen. Presseberichte über Verhandlungsstände haben wir bewusst nicht aufgenommen.

Wie hängen C5:2026 und EUCS zusammen?

Inhaltlich eng, rechtlich nicht. Das BSI beschreibt die Verbindung in Abschnitt 1.1 des Katalogs: C5:2020 diente als Grundlage für die Sicherheitsanforderungen der „geplanten EUCS-Stufe Substantial“, und die in diesem Prozess sowie von CEN/CENELEC entwickelten Anforderungen bilden die inhaltliche Grundlage des C5:2026. Das BSI will damit die Kompatibilität mit EUCS Substantial sicherstellen.

• Struktur: Die Kriterien bestehen nach dem Vorbild von EUCS aus Unterkriterien, die inhaltlich klar voneinander abgegrenzt sind (Abschnitt 1.1).
• Quellen: Unter den berücksichtigten Standards nennt der Katalog CEN/TS 18026:2024, die technische Spezifikation, die für EUCS erstellt wurde (Abschnitt 2.3).
• Verbindlichkeit: Ein C5-Testat ist kein EUCS-Zertifikat, und aus der Kompatibilität folgt keine Anerkennung in einem künftigen EUCS-Verfahren. Wie ein angenommenes EUCS ein C5-Testat berücksichtigen würde, ist nicht geregelt.

Was C5:2026 sonst gegenüber C5:2020 ändert, steht auf der Seite C5:2026.

Was bedeutet der Stand für Ihre Planung?

Planen Sie das C5-Testat so, als gäbe es EUCS nicht, und behalten Sie das Verfahren im Blick. C5:2026 stützt sich nach Abschnitt 1.1 auf die Anforderungen aus dem EUCS-Prozess; ein heute begonnenes C5-Projekt baut also auf denselben Vorarbeiten auf. Je nach Ausgangslage:

Ob Sie ein Testat vom Typ 1 oder Typ 2 brauchen und wie Sie vom Kundentermin rückwärts planen, zeigen die Seiten C5 Typ 1 und Typ 2 und Ablauf der C5-Prüfung.

Beispiel: Ausschreibung mit EUCS-Anforderung

Fiktives Beispiel, kein Kunde. Ein Anbieter einer Plattform für Telemedizin plant sein erstes C5-Testat für Mitte 2027. Im Herbst 2026 bekommt er eine Ausschreibung eines Klinikverbunds, die „ein Zertifikat nach EUCS oder gleichwertig“ verlangt. Die Geschäftsführung fragt, ob sie das C5-Projekt anhalten und auf EUCS umplanen soll.

Unsere Einordnung: Nein. EUCS ist nicht angenommen, ein Zertifikat ist nicht erhältlich. Für den Klinikverbund kommt zudem § 393 SGB V in Betracht, der ein C5-Testat für die Basiskriterien oder einen Nachweis nach der C5-Gleichwertigkeitsverordnung voraussetzt; keine der beiden Vorschriften nennt EUCS. Die Einordnung ist im Einzelfall rechtlich zu prüfen. Der Anbieter beantwortet die Bieterfrage mit Verweis auf den geprüften Stand, bietet das C5-Testat als Nachweis an und legt bis dahin seinen Zeitplan zur Testierung vor. Das C5-Projekt läuft unverändert weiter.

Woran erkennen Sie, dass sich der Stand ändert?

Ein EUCS-Zertifikat kann es erst nach einem Durchführungsrechtsakt geben. Darauf sollten Sie achten:

• Durchführungsrechtsakt der Kommission: die Veröffentlichung im Amtsblatt der EU. Bis dahin ist jeder Text ein Entwurf.
• ENISA: ein neuer Schema-Entwurf oder ein angenommenes Schema in der Bibliothek der ENISA.
• Cybersecurity Act: ob und mit welchem Inhalt der Vorschlag vom 20.01.2026 angenommen wird, weil er das Verfahren für alle Schemata neu regeln soll.
• Deutsches Recht: Änderungen an § 393 SGB V oder an der C5-Gleichwertigkeitsverordnung, die EUCS als Nachweis aufnehmen.
• BSI: Aussagen zum Verhältnis von C5 und einem angenommenen EUCS.

Wir empfehlen, diese Quellen vierteljährlich zu prüfen und das Prüfdatum in Ihrer Compliance-Planung festzuhalten. Wir aktualisieren diese Seite, wenn sich der Stand ändert; es gilt das Stand-Datum oben.

Wie wir C5-Projekte vor diesem Hintergrund begleiten

Wir planen mit Ihnen den Weg zum C5-Testat und berücksichtigen, welche Nachweise Ihre Kunden und Ausschreibungen verlangen. Ausgangspunkt ist eine C5-Gap-Analyse. Blackfort Technology testiert nicht; das Testat erteilt ein unabhängiger Prüfer.