Nach dem ersten Bericht
Vorbereitung und Begleitung der C5-Folgeprüfung
Nach dem ersten C5-Bericht folgen Typ-2-Berichte, nach der FAQ des BSI in der Regel jährlich; einen festen Turnus schreibt der Katalog nicht vor. Jeder Zeitraum muss für sich belegt sein. Wir begleiten Sie durch den Prüfungszeitraum: mit einem Kalender für die Kontrollen, einem Plan für die Abweichungen aus dem Vorbericht und dem Umstieg auf C5:2026. Das Prüfungsurteil gibt Ihr Prüfer ab; Blackfort Technology testiert nicht.
Was nach dem ersten C5-Bericht kommt
Folgeprüfungen sind immer Typ-2-Prüfungen. Der Katalog beschränkt Typ-1-Berichte auf den Erstauftrag und empfiehlt einen gleichbleibenden Prüfungszeitraum (Abschnitte 3.4.4 und 3.4.11). Nach der FAQ des BSI werden C5-Prüfungen in der Regel jährlich wiederholt, und Kunden vereinbaren typischerweise, dass ihnen alle folgenden Berichte vorgelegt werden. Wer lückenlose Berichte zusagt, plant die Zeiträume deshalb ohne Lücke aneinander.
Im Typ-2-Zeitraum zählt, dass jede Kontrolle wie beschrieben gelaufen ist und das belegt werden kann. Ein Kriterium gilt schon dann als nicht erfüllt, wenn ein einziges Unterkriterium nicht erfüllt ist, und Abweichungen stehen auch dann im Bericht, wenn der Prüfer das Kriterium insgesamt als erreicht beurteilt. Wird eine Abweichung, die schon im Vorbericht stand, erneut festgestellt, muss der neue Bericht darauf verweisen und erklären, warum sie noch nicht wirksam behoben ist (Abschnitt 3.4.12).
Dazu kommt der Umstieg auf C5:2026. Für Typ-2-Zeiträume, die am oder nach dem 1. Juni 2027 beginnen, ist C5:2026 anzuwenden; ein Zeitraum, der vorher beginnt und danach endet, soll nur C5:2020 umfassen, und endet er am oder nach dem 28. Februar 2027, gehören Angaben zu geplanten Änderungen in die Systembeschreibung (Abschnitt 3.5). Welche Fassung für Ihre nächsten Zeiträume gilt, zeigt die Seite C5:2026 mit einem Kalenderbeispiel.
Was wir in der Folgeprüfung mit Ihnen vorbereiten
Sechs Bausteine, die wir nach Ihrem Vorbericht und Ihrem Zeitraum zuschneiden. Sie können einzelne Bausteine beauftragen oder die Begleitung über den ganzen Zeitraum.
Läuft jede Kontrolle im Zeitraum?
Kontrollkalender
Nach unserer Auszählung der deutschen Fassung 1.1.0 nennen 25 Basis-Unterkriterien einen mindestens jährlichen Rhythmus, etwa Rechteüberprüfung, Wiederherstellungstests, Penetrationstests, Tests der Kontinuitätspläne, interne Audits und die Überprüfung des Dienstleisterverzeichnisses. Wir legen jede dieser Kontrollen mit Termin, Verantwortlichem und Vertretung in den Zeitraum, früh genug für eine Wiederholung.
Was steht noch offen?
Abweichungen aus dem Vorbericht schließen
Für jede Abweichung: Ursache, Korrektur- und Vorbeugemaßnahme, Datum, ab dem sie wirkt, und der Nachweis, dass sie im neuen Zeitraum wirkt. Daraus entstehen die Angaben, die der Anbieter nach Abschnitt 3.4.12 zu jeder Abweichung macht.
Sind die Nachweise vollständig?
Nachweise laufend sichern
Ein Nachweisregister, das im Zeitraum mitgeführt wird, mit Herkunft, Verantwortlichem und Zeitbezug je Nachweis. Quartalsweise sehen wir mit Ihnen durch, ob die Nachweise vollständig sind, statt am Ende zu suchen.
NachweisregisterWas hat sich im Zeitraum geändert?
Änderungen und Ereignisse erfassen
Wesentliche Änderungen am internen Kontrollsystem und wesentliche Ereignisse wie Sicherheitsvorfälle gehören bei Typ 2 in die Systembeschreibung, ohne Angriffspunkte preiszugeben. Wir halten sie im Zeitraum fest, nicht erst beim Bericht.
Änderungen und EreignisseWann kommt C5:2026?
Umstieg auf C5:2026 planen
Abgleich Ihrer Kontrollen mit C5:2026 über die Änderungshistorie des BSI, Bewertung der 39 neuen Kriterien, Plan für die Anpassungen und, wo nötig, die Angaben zu geplanten Änderungen in der Systembeschreibung. Angepasste Kontrollen gelten als wesentliche Änderungen.
C5:2026 und ÜbergangWorauf stützt die Geschäftsleitung ihre Erklärung?
Grundlage für die Erklärung der Geschäftsleitung
Die Geschäftsleitung braucht für ihre Erklärung der Geschäftsleitung (Management Statement) eine eigene Grundlage; die Prüfung ersetzt die eigene Überwachung nicht (Abschnitt 3.4.5.2). Wir bereiten Berichte aus dem Kontrollkalender und dem Abweichungsplan so auf, dass die Geschäftsleitung ihre Erklärung darauf stützen kann.
Management Statement
Was Sie erhalten
Arbeitsergebnisse zur Nutzung in Ihrem Unternehmen, so aufgebaut, dass Ihr Team sie im nächsten Zeitraum selbst weiterführen kann. Einzelheiten regelt das Angebot.
01
Kontrollkalender für den Zeitraum
Alle wiederkehrenden Kontrollen mit Termin, Frequenz, Verantwortlichem und Nachweis, abgestimmt auf Ihren Prüfungszeitraum.
02
Abweichungsplan
Jede Abweichung aus dem Vorbericht mit Ursache, Maßnahme, Wirksamkeitsdatum und Nachweis, als Grundlage für Ihre Angaben im Bericht.
03
Quartalsweise Durchsicht
Kurzbericht je Quartal: welche Kontrollen gelaufen und belegt sind, wo Nachweise fehlen, was bis zum nächsten Quartal zu tun ist.
04
Fortgeschriebene Systembeschreibung
Entwurf mit den wesentlichen Änderungen und Ereignissen des Zeitraums und, wenn nötig, den Angaben zu geplanten Änderungen nach Abschnitt 3.5.
05
Umstiegsplan C5:2026
Zuordnung Ihrer Kontrollen zu C5:2026, Bewertung der neuen Kriterien und Plan bis zum ersten Zeitraum nach C5:2026.
06
Vorbereitung auf die Prüfungshandlungen
Wir gehen mit Ihren Fachteams die Nachweise und Abläufe durch, damit Befragungen und Stichproben des Prüfers reibungslos laufen.
Fiktives Beispiel: Abweichungsplan aus einem Vorbericht
So kann ein Ausschnitt aus dem Abweichungsplan aussehen. Das Beispiel ist erfunden und betrifft keinen Kunden: eine Abrechnungsplattform für ambulante Pflegedienste mit einem ersten Typ-2-Bericht über zwölf Monate und drei Abweichungen.
| Kriterium | Abweichung im Vorbericht | Ursache | Maßnahme | Wirksam ab | Nachweis im neuen Zeitraum |
|---|---|---|---|---|---|
| IAM-05 | Rechteüberprüfung für das Support-Werkzeug nicht durchgeführt | Werkzeug fehlte in der Liste der Systeme | Werkzeug in das Inventar aufgenommen, Überprüfung im Kontrollkalender | Monat 1 | abgezeichnete Überprüfung im Monat 2 |
| OPS-08 | Wiederherstellungstest nur für die Datenbank, nicht für den Objektspeicher | Testplan älter als die Architektur | Testplan je Datenbestand, Test beider Speicher | Monat 2 | Testprotokolle beider Speicher |
| SSO-05 | Bericht des Versanddienstes nicht ausgewertet | Zuständigkeit nicht benannt | Verantwortliche benannt, Auswertung jährlich mit Frist | Monat 1 | ausgewerteter Bericht mit Datum und Ergebnis |
Fiktives, verkürztes Beispiel ohne Bezug zu einem Kunden. Die Angaben zu Ursache und Maßnahmen gehören nach Abschnitt 3.4.12 in einen gesondert gekennzeichneten Abschnitt des Berichts; der Prüfer gibt dazu kein Urteil ab.
So begleiten wir die Folgeprüfung
Der Ablauf richtet sich nach Ihrem Prüfungszeitraum. Den Umfang legen wir nach dem Erstgespräch schriftlich fest.
1
Vorbericht auswerten
Abweichungen, Hinweise des Prüfers und Kundenrückfragen aus dem letzten Bericht sammeln und bewerten.
2
Kalender und Zuständigkeiten
Kontrollkalender, Abweichungsplan und Verantwortliche vor Beginn des Zeitraums festlegen.
3
Begleitung im Zeitraum
Quartalsweise Durchsicht der Nachweise, Erfassen von Änderungen und Ereignissen, Nachsteuern bei fehlenden Kontrollen.
4
Vorbereitung der Prüfung
Systembeschreibung fortschreiben, Nachweise bündeln, Fachteams auf Befragungen vorbereiten.
5
Auswertung des neuen Berichts
Abweichungen und Hinweise aufnehmen und den Kalender für den nächsten Zeitraum anpassen.
Die Prüfung selbst führt Ihr Prüfer durch. Wir nehmen an Abstimmungen mit dem Prüfer teil, wenn Sie das wünschen, und sprechen nicht für ihn.
Ihr Ansprechpartner
Christian Gebhardt · Gründer und Geschäftsführer, Blackfort Technology
Ihr Ansprechpartner ist Christian Gebhardt, Gründer und Geschäftsführer. Wer im Projekt mitarbeitet, legen wir mit dem Angebot fest.
Auf Ihre Anfrage melden wir uns in der Regel innerhalb von 1-2 Werktagen.
Wenn eine Kontrolle im Zeitraum ausfällt
Fällt eine Kontrolle aus oder fehlt ein Nachweis, ist der Zeitraum nicht verloren. Für jede Abweichung soll der Prüfer unter anderem beurteilen, ob der Anbieter sie mit seiner eigenen Überwachung erkannt hat, welche Korrekturmaßnahmen folgten und ob kompensierende Kontrollen das Risiko so abdecken, dass das Kriterium weiter mit hinreichender Sicherheit erfüllt ist (Abschnitt 3.4.12). Hat der Anbieter eine Abweichung selbst entdeckt, gibt er im Bericht an, wann und mit welchen Maßnahmen. Nach unserer Einschätzung zeigt das Kunden eine Überwachung, die funktioniert; deshalb lohnt es sich, Ausfälle früh zu erkennen, zu dokumentieren und zu beheben.
Ob das Urteil eingeschränkt wird, entscheidet der Prüfer. Der Katalog sieht vor, das Urteil einzuschränken oder zu versagen, wenn etwa Kontrollen in wesentlichen Belangen nicht wirksam waren oder der Prüfer keine ausreichenden Nachweise erlangen kann.
Wechsel des Prüfers oder des Scopes
Eine Folgeprüfung ist ein guter Zeitpunkt, um Scope oder Prüfer zu überdenken, etwa wenn ein neuer Dienst hinzukommt oder Kunden andere Anforderungen stellen. Neue Dienste oder Regionen erweitern den Prüfungsgegenstand; neue Kontrollen dafür müssen zu Beginn des Zeitraums laufen. Worauf Sie bei der Wahl des Prüfers achten, zeigt die Seite zur Prüferauswahl.
Was die Begleitung nicht ist
Damit die Erwartungen stimmen:
- Kein Testat und keine Vorprüfung durch einen Prüfer. Blackfort Technology testiert nicht; das Prüfungsurteil gibt allein Ihr unabhängiger Prüfer ab.
- Keine Übernahme Ihrer Kontrollen. Die Kontrollen führen Ihre Teams aus; wir planen, prüfen die Nachweise vor und weisen auf Lücken hin.
- Keine Erklärung für die Geschäftsleitung. Das Management Statement gibt Ihre Geschäftsleitung auf eigener Grundlage ab; wir unterschreiben nichts für Sie.
- Keine Rechtsberatung, etwa zu § 393 SGB V oder zu vertraglichen Zusagen gegenüber Ihren Kunden.
Preise nennen wir auf dieser Website nicht. Nach dem Erstgespräch erhalten Sie ein Angebot mit festem Umfang.
Häufige Fragen
Begleiten Sie auch, wenn die Erstprüfung mit einem anderen Berater vorbereitet wurde?+
Ja. Ausgangspunkt ist Ihr letzter Bericht mit seinen Abweichungen und Ihre Systembeschreibung; daraus entstehen Kontrollkalender und Abweichungsplan, unabhängig davon, wer die erste Prüfung vorbereitet hat.
Muss der neue Zeitraum direkt an den alten anschließen?+
Der Katalog schreibt das nicht vor, empfiehlt aber einen gleichbleibenden Zeitraum. Wenn Kunden lückenlose Berichte erwarten, was nach der BSI-FAQ typischerweise vereinbart wird, sollten die Zeiträume ohne Lücke aufeinander folgen.
Was passiert mit Abweichungen, die wir bis zur Folgeprüfung nicht beheben?+
Der neue Bericht verweist auf den Vorbericht, und der Anbieter erklärt, warum die Abweichung noch nicht Gegenstand wirksamer Maßnahmen war, mit geplanten Maßnahmen und Zeitpunkt (Abschnitt 3.4.12). Kunden sehen also, wie lange eine Abweichung schon offen ist.
Wer spricht während der Prüfung mit dem Prüfer?+
Sie. Prüfungsplanung, Befragungen und Nachweise laufen zwischen Ihren Teams und dem Prüfer. Auf Ihren Wunsch nehmen wir an Abstimmungen teil, sprechen aber nicht für den Prüfer und geben keine Prüfaussagen ab.
Brauchen wir für die Folgeprüfung wieder eine Gap-Analyse?+
In der Regel nicht in vollem Umfang. Für den Umstieg auf C5:2026 oder einen neuen Dienst im Scope empfehlen wir einen Abgleich der neuen Kriterien; für den laufenden Zeitraum reichen Kontrollkalender und Abweichungsplan.
Weiterlesen
- C5:2026: Neuerungen, Umstieg von C5:2020 und Übergangsfrist
- C5 wesentliche Ereignisse und Änderungen im Typ-2-Bericht
- C5 Management Statement: Erklärung der Geschäftsleitung
- C5-Prüfung: Ablauf, Dauer und Rückwärtsplanung zum Testat
- C5-Wirtschaftsprüfer auswählen: Qualifikation und IDW PS 860
- C5-Dokumentation: Nachweisregister für die Prüfung führen
- C5-Gap-Analyse: Lücken, Maßnahmenplan und Projektplanung
Quellen
- BSI: Kriterienkatalog Cloud Computing C5:2026, Version 1.1.0 (PDF, deutsch), Abschnitte 3.4.4, 3.4.5, 3.4.11, 3.4.12, 3.4.13 und 3.5, lizenziert unter CC BY-ND 4.0 (abgerufen am 2026-11-01)
- BSI: C5 FAQ, Frage „Wie oft kann/muss man ein C5-Testat erneuern/anfordern?“ (abgerufen am 2026-11-01)
- BSI: C5:2026 Änderungshistorie (Excel, englisch) (abgerufen am 2026-11-01)
Diese Inhalte dienen der allgemeinen technischen und organisatorischen Information und stellen keine Rechtsberatung dar (keine Rechtsdienstleistung i. S. d. RDG).
Stand: 2026-11-01
Kontakt aufnehmen
Folgeprüfung vorbereiten
Schreiben Sie uns kurz, wann Ihr nächster Prüfungszeitraum beginnt und welche Abweichungen der letzte Bericht enthält. Im Erstgespräch, auf Wunsch telefonisch oder per Video, klären wir den Umfang der Begleitung.