Was ein C5-Testat kostet und wie Sie das Budget planen

Diese Seite hilft Ihnen, ein Budget aufzustellen, das Ihre Geschäftsleitung freigeben kann: mit sauber getrennten Posten, den Faktoren, die den Aufwand bestimmen, und einer Liste der Angaben, ohne die kein Angebot vergleichbar ist. Wie die Prüfung selbst abläuft, steht auf der Seite Ablauf der C5-Prüfung.

Woraus setzen sich die Kosten eines C5-Testats zusammen?

Aus drei Blöcken, die Sie getrennt planen sollten, weil sie von unterschiedlichen Stellen kommen und unterschiedlich wachsen.

Die Trennung hat einen sachlichen Grund: Wer berät, prüft nicht. Der Prüfer muss vor Annahme des Auftrags seine Unabhängigkeit sicherstellen (Katalog, Abschnitt 3.4.2). Blackfort Technology begleitet bis zur Testierungsreife; das Testat erteilt ein unabhängiger Prüfer, den Sie getrennt beauftragen.

Was kostet die Prüfung beim Prüfer?

Dazu nennen wir keine Zahl. Wir haben am 1. November 2026 nach öffentlichen Angaben zu Honoraren für C5-Prüfungen gesucht. Gefunden haben wir nur Spannen auf Drittseiten, ohne Angabe von Berichtstyp, Scope, Leistungsumfang und Steuerbezug oder ohne nachvollziehbare Herkunft. Eine solche Spanne würde mehr Sicherheit vorspiegeln, als sie hergibt; deshalb veröffentlichen wir sie nicht.

Was feststeht: Den Prüfer beauftragt und bezahlt in der Regel der Cloud-Anbieter (Katalog, Abschnitt 3.1; BSI-FAQ). Für eine belastbare Zahl holen Sie zwei bis drei Angebote auf Basis desselben schriftlichen Scopes ein. Erst dann sind Angebote vergleichbar.

Was treibt die Prüfungskosten?

Der Prüfungsaufwand wächst mit dem, was geprüft werden muss. Die wichtigsten Treiber lassen sich direkt aus dem Katalog ableiten:

Ein vorhandenes ISO-27001-Zertifikat senkt den Aufwand nicht automatisch: Ergebnisse aus ISO-Zertifizierungsaudits sind anders zu bewerten als solche aus einer ISAE-3000-Prüfung (Abschnitt 3.3). Was sich wiederverwenden lässt, zeigt die Seite C5 und ISO 27001, für SOC 2 die Seite C5 und SOC 2.

Ist Typ 1 günstiger als Typ 2?

Für die einzelne Prüfung ist der Umfang bei Typ 1 kleiner, weil die Wirksamkeit über einen Zeitraum nicht geprüft wird. Für die Planung über mehrere Jahre zählt aber: Typ 1 ist nur für die Erstprüfung zulässig, jede Folgeprüfung ist Typ 2 (Abschnitt 3.4.4). Wer mit Typ 1 beginnt, bezahlt also zwei Prüfungen, bevor ein Typ-2-Bericht vorliegt. Ein Typ-1-Bericht ist keine Voraussetzung für Typ 2 (Abschnitt 3.4.11). Ob sich der Zwischenschritt lohnt, hängt davon ab, ob Ihre Kunden einen Typ-1-Bericht akzeptieren; siehe Typ 1 oder Typ 2.

Was kostet die interne Umsetzung?

Das ist der Block, den nur Sie beziffern können, weil er vom Abstand zwischen Ihrem heutigen Stand und den Kriterien abhängt. Planen Sie mindestens diese Posten ein:

• Arbeitszeit: Informationssicherheit, Betrieb, Entwicklung, Personal, Einkauf und Geschäftsleitung, für Aufbau, Nachweise und die Begleitung der Prüfung.
• Technische Maßnahmen: etwa Protokollierung und Auswertung von Ereignissen (OPS-13), Schwachstellenmanagement, Härtung, Schlüsselverwaltung.
• Tests, die der Katalog verlangt: etwa Penetrationstests (OPS-22) und Tests der Notfallplanung (BCM-04).
• Schulung und Sensibilisierung der Beschäftigten (HR-03).
• Steuerung der Dienstleister: Auswertung der Berichte von Plattform- und anderen Subdienstleistern (SSO-05), siehe C5-Scope.
• Dokumentation: Richtlinien, Kontrollbeschreibungen, Nachweisregister und die Systembeschreibung.
• Laufender Betrieb: Kontrollen müssen nach dem Testat weiterlaufen; jede Folgeprüfung ist Typ 2.

Unsere Empfehlung: Lassen Sie diesen Block nicht nur als Personalschätzung laufen. Die Gap-Analyse sollte für jede Lücke eine Maßnahme mit verantwortlicher Person und grobem Aufwand ergeben, sonst bleibt das Budget eine Vermutung.

Was kostet die Beratung?

Beratung ist optional und ersetzt keinen der beiden anderen Blöcke. Sinnvoll ist sie dort, wo intern Erfahrung mit Prüfungen nach ISAE 3000 fehlt: beim Zuschnitt des Scopes, bei der Gap-Analyse, beim Maßnahmenplan und bei der Systembeschreibung. Vergleichen Sie Beratungsangebote nach Leistungsumfang und Ergebnis, etwa ob am Ende ein priorisierter Maßnahmenplan und eine prüffähige Beschreibung stehen. Den Einstieg bei Blackfort Technology beschreibt die Seite Gap-Analyse.

Welche Angaben brauchen Prüfer und Berater für ein Angebot?

Je vollständiger diese Liste, desto vergleichbarer die Angebote. Wir empfehlen, sie als kurzen Steckbrief an alle Anbieter zu schicken:

1. Dienst oder Dienste mit Servicemodell (SaaS, PaaS, IaaS) und Funktionsumfang
2. Regionen und Standorte der Verarbeitung
3. gewünschter Berichtstyp und Stichtag oder Zeitraum, Katalogfassung
4. Prüfungsart: Prüfung einer Erklärung oder direkte Prüfung
5. gewünschte Zusatzkriterien und der Grund dafür
6. Subdienstleister mit Rolle, vorhandenen C5-Berichten und gewünschter Methode
7. vorhandene Zertifikate und Berichte (ISO 27001, SOC 2, ISAE 3402) mit Geltungsbereich und Zeitraum
8. Stand der Dokumentation: Richtlinien, Kontrollbeschreibungen, vorhandene Systembeschreibung
9. Größe der Organisation und Anzahl der Teams, die Kontrollen ausführen
10. Kundentermin, zu dem der Bericht vorliegen muss
11. Sprache des Berichts
12. geplante Folgeprüfungen und gewünschter Rhythmus

Den Scope-Steckbrief gibt es als Vorlage auf der Seite Vorlagen.

Beispiel: Budgetrahmen für einen SaaS-Anbieter

Fiktives Beispiel, ohne Preise. Ein Anbieter einer Praxissoftware als SaaS mit 40 Beschäftigten, ISO-27001-Zertifikat für das Unternehmen, Betrieb auf einer IaaS-Plattform in Deutschland, plant eine Erstprüfung als Typ 2.

Die Tabelle ersetzt keine Kalkulation. Sie zeigt, welche Zahl von wem kommt, damit nichts doppelt oder gar nicht im Budget steht.