Den C5-Scope festlegen: welcher Dienst, welche Plattform, welche Methode

Der Scope entscheidet, was der Prüfer prüft, was im Bericht steht und was Ihre Kunden am Ende damit anfangen können. Diese Seite zeigt, wie Sie den Scope auf einen Dienst begrenzen, was das C5-Testat Ihrer Cloud-Plattform für Sie abdeckt und wann Carve-out oder Inclusive passt. Wie Sie die Ergebnisse in der Systembeschreibung darstellen, steht auf der Seite Systembeschreibung.

Was gehört zum Scope einer C5-Prüfung?

Sechs Entscheidungen. Sie stehen später in der Systembeschreibung und im Bericht:

Zum Scope gehören damit immer auch die Abläufe, die für Entwicklung und Betrieb des Dienstes relevant sind, etwa Personalprozesse, Änderungsmanagement und Risikomanagement. Prüfungsgegenstand ist das interne Kontrollsystem, das für Entwicklung und Betrieb des Cloud-Dienstes relevant ist (Abschnitt 3.4.4).

Kann ich den Scope auf einen Dienst begrenzen?

Ja. Laut BSI-FAQ wird ein C5-Testat immer nur für die geprüften Cloud-Dienste in den festgelegten Regionen erstellt, nie für den Anbieter als Ganzes. Sie können also mit dem Dienst beginnen, den Ihre Kunden verlangen. Das BSI empfiehlt in seiner FAQ aber auch, ein Testat über mehrere Dienste gleichzeitig zu erstellen, weil gemeinsam genutzte Komponenten dann nur einmal geprüft werden. Bei mehreren ähnlichen Produkten auf derselben Plattform lohnt der Vergleich.

Drei Punkte sollten Sie bei der Begrenzung beachten:

• Gemeinsame Komponenten werden mitbetrachtet. Was zur Erbringung des Dienstes beiträgt, kann oder muss in der Prüfung mitbetrachtet werden, etwa ein zentrales Identitätsverzeichnis oder eine gemeinsame Pipeline; das Testat erhält aber nur der Dienst (BSI-FAQ).
• Ausschlüsse nur mit zulässiger Begründung. Sie muss sich auf Art und Ausgestaltung des Dienstes oder auf Ihre Grundsätze, Verfahren und Maßnahmen stützen, etwa reine IaaS-Kriterien bei SaaS; fehlende oder unwirksame Kontrollen sind kein Ausschlussgrund (Abschnitt 3.4.3).
• Der Scope muss zum Kundenbedarf passen. Kunden sollen zuerst prüfen, ob die von ihnen genutzten Services vom Testat abgedeckt sind (BSI-FAQ). Ein Scope, der das gekaufte Modul ausspart, hilft im Vertrieb nicht.

Für Anbieter im Gesundheitswesen: § 393 Abs. 3 Nr. 2 SGB V spricht von einem Testat für die im Rahmen des Cloud-Dienstes „eingesetzten Cloud-Systeme und die eingesetzte Technik“. Ob Ihr Scope das abdeckt, ist im Einzelfall rechtlich zu prüfen; die Einordnung steht auf der Seite § 393 SGB V.

Was deckt das C5-Testat von AWS, Azure oder STACKIT für meinen SaaS-Dienst ab?

Das Testat Ihrer Plattform deckt die Kontrollen der Plattform für deren geprüfte Dienste und Regionen ab, nicht Ihren eigenen Dienst. Der Katalog geht davon aus, dass ein Dienst auf der Infrastruktur oder Plattform eines anderen Cloud-Anbieters in der Regel eine Beziehung zu einem Subdienstleister begründet, insbesondere für den Bereich Regelbetrieb (OPS); bei fremd betriebenen Rechenzentren gilt das besonders für die physische Sicherheit (Abschnitt 3.4.6). Microsoft schreibt dazu in seiner FAQ, Kunden könnten das Microsoft-Testat als Grundlage nutzen, bräuchten für Komponenten außerhalb oder auf Basis dieser Dienste aber ein eigenes C5-Testat.

Die rechte Spalte ist unsere Einordnung. Welche Kontrollen der Plattformbericht wirklich enthält, steht nur im Bericht selbst. Lesen Sie ihn deshalb vor der Scope-Entscheidung: Dienste, Regionen, Berichtstyp, Zeitraum, Katalogfassung, Abweichungen und die dort genannten korrespondierenden Kundenkontrollen (CUEC).

Was die Plattformanbieter selbst angeben

Wir geben hier nur wieder, was die Anbieter auf ihren eigenen Seiten nennen (abgerufen am 1. November 2026). Den gültigen Stand liefert allein der aktuelle Bericht, den Sie beim Anbieter anfordern. Wo eine Angabe auf der Anbieterseite fehlt, steht das in der Tabelle; daraus folgt nichts über den Bericht selbst.

Prüfen Sie für jeden Plattformdienst, den Sie tatsächlich nutzen, ob er in der Liste steht. Ein verwalteter Datenbank- oder KI-Dienst, der nicht im Plattformbericht steht, bleibt eine offene Stelle in Ihrer Dienstleistersteuerung.

Carve-out oder Inclusive: welche Methode passt?

Für jeden Subdienstleister wählen Sie eine der beiden Methoden und nennen sie in der Systembeschreibung (Abschnitt 3.4.6). Subdienstleister im Sinne des Katalogs (dort: Subservice-Organisation) ist ein Dienstleister dann, wenn seine Leistung für das Verständnis der Kunden relevant ist und zugleich Kontrollen bei ihm nötig sind, um die Kriterien zu erfüllen. Diese Kontrollen, die Sie beim Subdienstleister voraussetzen, heißen Complementary Subservice Organisation Controls (CSOC). Eine Reinigungsfirma oder Werbeagentur gehört in der Regel nicht dazu (Abschnitt 3.4.6).

Auch beim Carve-out bleiben Sie verantwortlich. Der Katalog will verhindern, dass die Methode genutzt wird, um Kriterien aus dem Blick zu verlieren; der Anbieter bleibt letztlich dafür verantwortlich, dass sein Dienst die Kriterien erfüllt, und überwacht seine Subdienstleister nach SSO-05 (Abschnitt 3.4.6). SSO-05 sieht unter anderem die regelmäßige Auswertung unabhängiger Berichte der Dienstleister vor und bei Subdienstleistern den Abgleich ihrer Kontrollen mit den erwarteten CSOC. Wie Sie Dienstleister insgesamt steuern und überwachen, siehe Steuerung und Überwachung von Dienstleistern (Themengebiet SSO). In der Systembeschreibung stehen je Subdienstleister Firmenname, Ort der Verarbeitung und Speicherung auf Länderebene und eine begründete Einschätzung von Komplexität und Abhängigkeit. Diese Angaben führen Sie am besten in einem eigenen Verzeichnis, einem Subdienstleisterinventar; eine Vorlage dafür liegt auf der Seite Vorlagen.

Drei SaaS-Beispiele

Fiktive Beispiele, keine Kunden. Sie zeigen, wie dieselben Regeln je nach Architektur zu anderen Entscheidungen führen.

Beispiel 1: Abrechnungs-SaaS auf einer Hyperscaler-Plattform

Beispiel 2: Praxissoftware in einem Colocation-Rechenzentrum

Beispiel 3: kleiner B2B-SaaS auf verwaltetem Kubernetes einer deutschen Cloud

Typische Fehler beim Scope

Der Scope-Steckbrief liegt als Vorlage auf der Seite Vorlagen. Was der Scope für Budget und Zeitplan bedeutet, zeigen C5-Testat Kosten und Ablauf der C5-Prüfung.