C5 Management Statement: Erklärung der Geschäftsleitung

Stand: 2026-11-01

Neben der Systembeschreibung braucht die übliche C5-Prüfung ein zweites Dokument der Geschäftsleitung. Diese Seite erklärt, was darin steht, worauf es sich stützt und wer es unterschreibt. Wie die Systembeschreibung selbst entsteht, zeigt die Seite C5-Systembeschreibung; welche Bestandteile der fertige Bericht hat, die Seite C5-Testat.

Was ist das Management Statement im C5?

Das Management Statement ist die schriftliche Erklärung der Geschäftsleitung des Cloud-Anbieters über die Systembeschreibung und die Ausgestaltung der Kontrollen. Der Katalog nennt es in der deutschen Fassung „Erklärung der gesetzlichen Vertreter (engl. Management Statement)“ (Abschnitt 3.4.5.2). Bei der Prüfung einer Erklärung (Attestation Engagement) basiert die Prüfung auf diesem Dokument (Abschnitt 3.4.4.1), und es steht im Bericht als zweiter Bestandteil nach dem Prüfungsbericht des Prüfers (Abschnitt 3.4.13).

Bei einer direkten Prüfung (Direct Engagement) entfällt es zusammen mit der Systembeschreibung (Abschnitt 3.4.13). Im Prüfungsbericht steht ausdrücklich, dass der Cloud-Anbieter für das Erstellen der Beschreibung und der Erklärung verantwortlich ist, einschließlich Vollständigkeit, Richtigkeit und sachgerechter Darstellung (Abschnitt 3.4.13 Nr. 1.2).

Was bestätigt die Geschäftsleitung?

Zwei Dinge, nach bestem Wissen und Gewissen: dass die Beschreibung das System sachgerecht darstellt, und dass die darin genannten Kontrollen angemessen ausgestaltet waren, um die anwendbaren Kriterien zu erfüllen, sofern sie wirksam durchgeführt werden. Dazu nennt der Katalog drei Kriterien, auf deren Grundlage die Erklärung abgegeben werden soll; das dritte gilt nur für Typ 2 (Abschnitt 3.4.5.2).

	Typ 1	Typ 2
Bestätigung 1	Beschreibung stellt das System sachgerecht dar, wie es zum Stichtag konzipiert und implementiert war	dasselbe für den ganzen Zeitraum
Bestätigung 2	Kontrollen waren zum Stichtag angemessen ausgestaltet	Kontrollen waren über den Zeitraum angemessen ausgestaltet
Kriterium: Risiken	Die Risiken, die die Erfüllung der anwendbaren Kriterien gefährden, wurden identifiziert.
Kriterium: Kontrollen	Die beschriebenen Kontrollen würden diese Risiken beherrschen, wenn sie wirksam durchgeführt werden.
Kriterium: Wirksamkeit	entfällt	Die Kontrollen wurden über den Zeitraum wirksam durchgeführt. Maßstab: Sie wurden „wie konzipiert konsequent angewendet“, auch manuelle Kontrollen durch Personen „mit angemessener Kompetenz und Befugnis“.

Die Tabelle fasst den Katalog in eigenen Worten zusammen; maßgeblich ist der Wortlaut von Abschnitt 3.4.5.2. Abschnitt 3.4.4.1 beschreibt die Erklärung bei Typ 2 zudem als Erklärung auch über die Wirksamkeit der Kontrollen über den Zeitraum; das entspricht dem dritten Kriterium. Für die Praxis heißt das: Die Geschäftsleitung bestätigt Aussagen über dieselben Inhalte, die der Prüfer beurteilt. Weicht der Betrieb von der Beschreibung ab, betrifft das beide Dokumente.

Schaubild „Aufbau des Management Statements“: Erklärung der Geschäftsleitung des Cloud-Anbieters nach bestem Wissen und Gewissen; der Bericht des Prüfers ersetzt ihre eigene Grundlage nicht. Links der Kasten „Bestätigt wird“ mit zwei Punkten: 1 Systembeschreibung stellt das System sachgerecht dar, 2 Kontrollen sind angemessen ausgestaltet. In der Mitte „Auf Grundlage von“: Risiken identifiziert; Kontrollen würden die Risiken beherrschen, wenn sie wirksam durchgeführt werden; markiert „nur Typ 2“: Kontrollen wie konzipiert konsequent angewendet, manuelle Kontrollen von Personen mit Kompetenz und Befugnis. Rechts „Grundlage der Geschäftsleitung“: laufende Überwachung, gesonderte Bewertungen etwa durch die Innenrevision, Informationen von außen etwa Kundenbeschwerden. Darunter zwei Hinweise: „Zeitraum über zwölf Monate: Grund angeben“ und „Unterschrift: gesetzliche Vertreter des Cloud-Anbieters“. — Inhalt und Grundlage des Management Statements. Quelle: BSI, Kriterienkatalog Cloud Computing C5:2026, Version 1.1.0, Abschnitt 3.4.5.2; eigene Darstellung.

Auf welcher Grundlage gibt die Geschäftsleitung die Erklärung ab?

Auf einer eigenen, angemessenen Grundlage. Der Katalog sagt ausdrücklich, dass der Umstand, dass der Prüfer über die Wirksamkeit berichten wird, die eigenen Prozesse des Anbieters nicht ersetzt (Abschnitt 3.4.5.2). Bei Typ 2 kann sich die Erklärung auf die Überwachungsaktivitäten des Anbieters zur Wirksamkeit der Kontrollen über den Zeitraum stützen. Dazu gehört nach dem Katalog, Mängel zu erkennen, an die zuständigen Personen zu melden und Korrekturmaßnahmen einzuleiten. Die Überwachung kann laufend, durch gesonderte Bewertungen oder beides erfolgen; die Innenrevision oder Personen mit ähnlicher Funktion können beitragen, ebenso Informationen von außen wie Kundenbeschwerden und Hinweise von Aufsichtsbehörden.

Was das konkret sein kann, zeigt die folgende Aufstellung. Sie ist unsere Empfehlung, keine Katalogvorgabe.

Grundlage	Beispiel	Wer liefert
laufende Überwachung	monatliche Auswertung des Nachweisregisters: fällige Nachweise eingegangen, Lücken gemeldet, Maßnahmen verfolgt	Informationssicherheitsmanagement
gesonderte Bewertung	interne Stichprobentests ausgewählter Kontrollen vor Ende des Zeitraums, mit dokumentiertem Ergebnis	Innenrevision oder eine Person ohne eigene Zuständigkeit für die getestete Kontrolle
Ereignisse und Änderungen	Liste der geprüften Vorfälle und Änderungen im Zeitraum, siehe Änderungen und Ereignisse	Vorfall- und Änderungsmanagement
Informationen von außen	Kundenbeschwerden, Sicherheitsmeldungen von Kunden, Hinweise von Behörden, Auswertung von Berichten der Subdienstleister	Kundenbetreuung, Informationssicherheitsmanagement
Bericht an die Geschäftsleitung	Zusammenfassung vor der Unterschrift: offene Abweichungen, Maßnahmen, Einschätzung zu jedem Kriterium mit Befund	Informationssicherheitsbeauftragte (ISB)

Diese Unterlagen helfen auch in der Prüfung: Stellt der Prüfer eine Abweichung fest, beurteilt er unter anderem, ob die Überwachung des Anbieters sie erkannt hat und welche Korrekturmaßnahmen folgten (Abschnitt 3.4.12).

Wer unterschreibt das Management Statement?

Nach dem Katalog die Geschäftsleitung des Cloud-Anbieters, in der deutschen Fassung als gesetzliche Vertreter bezeichnet. Wer gesetzlicher Vertreter ist, regelt das Gesellschaftsrecht: Bei einer GmbH vertreten die Geschäftsführer die Gesellschaft (§ 35 Abs. 1 GmbHG), bei einer Aktiengesellschaft der Vorstand (§ 78 Abs. 1 AktG). Sind mehrere Geschäftsführer bestellt, vertreten sie die GmbH gemeinschaftlich, soweit der Gesellschaftsvertrag nichts anderes bestimmt (§ 35 Abs. 2 GmbHG). Für andere Rechtsformen und für Gesellschaften ausländischen Rechts gilt deren eigenes Vertretungsrecht.

Unsere Empfehlung, ausdrücklich allgemeine Information und keine Rechtsberatung:

Lassen Sie so unterschreiben, wie die Vertretungsbefugnis im Handelsregister eingetragen ist, und stimmen Sie die Unterschriftenregelung früh mit dem Prüfer ab.
Gehört die ISB nicht zu den gesetzlichen Vertretern, entspricht ihre Unterschrift allein nicht dem Wortlaut des Katalogs. Sie kann die Erklärung vorbereiten; unterschreiben sollte die Geschäftsleitung.
Bei Konzernen klären Sie zuerst, welche Gesellschaft im Bericht der Cloud-Anbieter ist. Deren Vertreter geben die Erklärung ab.

Wann unterschrieben wird, regelt der Katalog nicht. Unsere Empfehlung: Unterschreiben Sie, wenn die Systembeschreibung in ihrer endgültigen Fassung vorliegt, also nach Abschluss der Prüfungshandlungen und nach Einarbeitung aller Ergänzungen, die sich aus der Prüfung ergeben haben. Das Datum stimmen Sie mit dem Prüfer ab. Die Einordnung im Einzelfall ist rechtlich zu prüfen.

Was gilt bei Zeiträumen über zwölf Monate?

Der Typ-2-Zeitraum soll höchstens zwölf Monate umfassen; in Ausnahmefällen kann er länger sein, etwa zur besseren Abstimmung mit anderen Prüfungen, und ein gleichbleibender Zeitraum wird empfohlen (Abschnitt 3.4.4.1). Deckt das Management Statement einen Zeitraum von mehr als zwölf Monaten ab, hat die Geschäftsleitung den Grund dafür anzugeben (Abschnitt 3.4.5.2).

Der Grund gehört in die Erklärung selbst und sollte konkret sein. Ein Satz wie „aus organisatorischen Gründen“ erklärt nichts. Besser ist ein Satz, der den Anlass und den künftigen Rhythmus nennt, wie im Beispiel unten. Wie lang der Zeitraum sein sollte, klärt die Seite Typ 1 oder Typ 2.

Beispielaufbau eines Management Statements

Fiktives Beispiel, kein Kunde. Eine GmbH mit zwei Geschäftsführern betreibt eine SaaS-Lösung für Tourenplanung und Pflegedokumentation ambulanter Pflegedienste. Sie lässt einen Typ-2-Bericht für den Zeitraum 01.10.2027 bis 31.12.2028 erstellen, also 15 Monate, um künftig auf das Kalenderjahr zu wechseln. Weil der Zeitraum nach dem 1. Juni 2027 beginnt, gilt C5:2026 (Abschnitt 3.5).

Der Aufbau ist unsere Empfehlung. Für die Bestätigungen und Kriterien verweist er auf Abschnitt 3.4.5.2, statt den Katalog umzuschreiben; den genauen Wortlaut stimmen Sie mit dem Prüfer ab.

Teil	Inhalt	Im Beispiel
1 Kopf	Gesellschaft, Dienst und Regionen, Berichtstyp, Stichtag oder Zeitraum, Katalogfassung	„Erklärung der Geschäftsleitung der Muster Pflegesoftware GmbH zum Dienst ‚Touren und Doku‘, Rechenzentrumsregion Deutschland, Typ-2-Bericht für den Zeitraum 1. Oktober 2027 bis 31. Dezember 2028, Kriterien nach BSI C5:2026“
2 Bezug	Verweis auf die beigefügte Systembeschreibung mit Fassung und Datum	„Systembeschreibung in der Fassung vom …“
3 Bestätigungen	die beiden Bestätigungen nach Abschnitt 3.4.5.2, bezogen auf den Zeitraum	nach dem Wortlaut des Katalogs, mit dem Prüfer abgestimmt
4 Kriterien	die drei Kriterien nach Abschnitt 3.4.5.2, das dritte wegen Typ 2	nach dem Wortlaut des Katalogs
5 Grund für mehr als zwölf Monate	Anlass und künftiger Rhythmus	„Der Zeitraum umfasst 15 Monate, weil wir die Prüfung ab 2029 auf das Kalenderjahr und damit auf unsere übrigen jährlichen Prüfungen ausrichten. Künftige Zeiträume umfassen zwölf Monate.“
6 Unterschrift	Ort, Datum, Namen und Funktion der gesetzlichen Vertreter	„Köln, [Datum], [Name], Geschäftsführerin; [Name], Geschäftsführer“

Firmenname, Dienst und Ort sind erfunden. Die Gliederung der Systembeschreibung, auf die Teil 2 verweist, liegt als Vorlage auf der Seite Vorlagen.

Typische Lücken beim Management Statement

Mögliche Lücke	Ursache	Wirkung	Abhilfe
Keine eigene Grundlage	Geschäftsleitung verlässt sich auf das Ergebnis des Prüfers	Erklärung ohne Grundlage, die der Katalog ausdrücklich verlangt; Mängel fallen erst in der Prüfung auf	laufende Überwachung und eine gesonderte Bewertung vor Ende des Zeitraums einplanen, Bericht an die Geschäftsleitung vor der Unterschrift
Falsche Unterzeichner	ISB unterschreibt allein	Erklärung entspricht nicht dem Wortlaut „gesetzliche Vertreter“, Nachfragen des Prüfers kosten Zeit	Vertretungsregelung aus dem Handelsregister zugrunde legen, früh mit dem Prüfer abstimmen
Grund für langen Zeitraum fehlt	Zeitraum von 13 oder mehr Monaten gewählt, Erklärung aus dem Vorjahr übernommen	Pflichtangabe nach Abschnitt 3.4.5.2 fehlt	Zeitraumlänge bei jeder Prüfung prüfen und den Grund konkret formulieren
Erklärung passt nicht zur Beschreibung	Statement vor der letzten Fassung der Systembeschreibung unterschrieben	Geschäftsleitung bestätigt eine Fassung, die nicht im Bericht steht	Fassung und Datum der Beschreibung im Statement nennen, erst nach der Endfassung unterschreiben

Häufige Fragen

Ist das Management Statement dasselbe wie die Systembeschreibung?+

Nein. Es ist ein eigener Bestandteil des Berichts, in dem die Geschäftsleitung Aussagen über die Systembeschreibung und die Kontrollen bestätigt (Abschnitte 3.4.5.2 und 3.4.13). Die Systembeschreibung selbst beschreibt Dienst und Kontrollen.

Braucht auch ein Typ-1-Bericht ein Management Statement?+

Ja, bei der Prüfung einer Erklärung immer. Bei Typ 1 bezieht es sich auf den Stichtag, das dritte Kriterium zur Wirksamkeit entfällt. Nur bei einer direkten Prüfung gibt es kein Management Statement.

Kann der Prüfer das Management Statement für uns formulieren?+

Verantwortlich für Erstellung und Inhalt ist der Cloud-Anbieter; so steht es im Prüfungsbericht (Abschnitt 3.4.13 Nr. 1.2). Den Wortlaut mit dem Prüfer abzustimmen ist sinnvoll, die Aussagen trifft aber Ihre Geschäftsleitung, und sie braucht dafür eine eigene Grundlage.

Was passiert, wenn der Prüfer Abweichungen findet, die die Geschäftsleitung nicht kannte?+

Die Abweichungen stehen im Bericht, und der Prüfer beurteilt unter anderem, ob die Überwachung des Anbieters sie erkannt hat (Abschnitt 3.4.12). Eine eigene Überwachung über den Zeitraum ist deshalb sowohl Grundlage der Erklärung als auch ein Punkt, auf den der Prüfer bei Abweichungen schaut.

Muss jede Geschäftsführerin und jeder Geschäftsführer unterschreiben?+

Das hängt von der Vertretungsregelung ab. Bei mehreren Geschäftsführern einer GmbH gilt Gesamtvertretung, soweit der Gesellschaftsvertrag nichts anderes bestimmt (§ 35 Abs. 2 GmbHG). Stimmen Sie die Unterschriftenregelung mit dem Prüfer ab und lassen Sie sie im Einzelfall rechtlich prüfen.

Weiterlesen

Quellen

BSI: Kriterienkatalog Cloud Computing C5:2026, Version 1.1.0 (PDF, deutsch), Abschnitte 3.4.4.1, 3.4.5.2, 3.4.12 und 3.4.13, lizenziert unter CC BY-ND 4.0 (abgerufen am 2026-11-01)
§ 35 GmbHG, Vertretung der Gesellschaft (gesetze-im-internet.de) (abgerufen am 2026-11-01)
§ 78 AktG, Vertretung (gesetze-im-internet.de) (abgerufen am 2026-11-01)

Diese Inhalte dienen der allgemeinen technischen und organisatorischen Information und stellen keine Rechtsberatung dar (keine Rechtsdienstleistung i. S. d. RDG).