Cloud-Anbieter mit C5-Testat finden und den Nachweis richtig anfordern

Wer nach „BSI C5 zertifizierten Anbietern“ sucht, sucht in der Sache Cloud-Dienste mit einem C5-Testat. Ein C5-Zertifikat gibt es nach der BSI-FAQ nicht; der Nachweis ist ein Prüfbericht eines unabhängigen Prüfers über einen oder mehrere Dienste, siehe C5-Testat. Diese Seite ist für Einkauf, Informationssicherheit und Fachbereiche, die einen Anbieter suchen oder einen Bewerber einordnen wollen.

Gibt es ein Verzeichnis aller Anbieter mit C5-Testat?

Nein. Das BSI schreibt in seiner FAQ, dass Cloud-Anbieter selbst bestimmen, ob sie über C5-Prüfungen öffentlich berichten, und dass es deshalb nicht möglich ist, eine garantiert vollständige Liste zu führen. Weil das BSI keine Aufsicht über C5-Prüfungen hat und dem Markt gegenüber zur Neutralität verpflichtet ist, führt es selbst keine Liste von C5-Testaten. Es ist an Prüfung und Bericht auch nicht beteiligt (Abschnitt 3.1 des Katalogs) und prüft die Berichte nicht.

Für Sie folgt daraus: Jede Liste, die Sie finden, ist eine Auswahl, keine amtliche Bestätigung. Ob ein bestimmter Dienst testiert ist, zeigt erst der Bericht.

Die Veröffentlichung nach § 393 Abs. 7 SGB V

Für das Gesundheitswesen gibt es eine gesetzliche Veröffentlichung. Nach § 393 Abs. 7 SGB V veröffentlicht das Kompetenzzentrum für Interoperabilität im Gesundheitswesen, das bei der gematik angesiedelt ist, Informationen über testierte Cloud-Systeme und Cloud-Technik auf seiner Plattform, und zwar auf Antrag. Dem Antrag ist eine Kontrollliste zu den korrespondierenden Kriterien für Kunden beizufügen. Die Liste steht auf der Website des Kompetenzzentrums unter ina.gematik.de.

Was die Liste zeigt und was nicht, ergibt sich aus der Seite „C5-Testate“ des Kompetenzzentrums (Abruf 1. November 2026):

Gesetz und Seite des Kompetenzzentrums weichen in einem Punkt voneinander ab: § 393 Abs. 7 Satz 2 verlangt mit dem Antrag die Kontrollliste zu den korrespondierenden Kriterien für Kunden, die Seite führt die Mitwirkungspflichten (korrespondierende Kontrolllisten) als optionale Angabe. Fehlt die Kontrollliste bei einem Eintrag, fordern Sie sie beim Anbieter an.

Die Liste hilft beim Finden und bei der Frage, welche Kontrollen ein Leistungserbringer selbst umsetzen muss. Die Bewertung des Berichts ersetzt sie nicht: Weder der Bericht noch sein Prüfungsurteil stehen dort. Welche Anforderungen § 393 SGB V im Einzelnen stellt und für wen, steht auf der Seite § 393 SGB V; die Einordnung im Einzelfall ist rechtlich zu prüfen.

Wo Sie außerdem suchen können

• Beim Anbieter selbst. Anbieter können vorhandene Testate in ihren Sicherheitsunterlagen beschreiben. Es zählt der Bericht: Fragen Sie direkt danach; die Antwort zeigt Ihnen schnell, ob ein Testat für den Dienst vorliegt, den Sie suchen.
• Über die Ausschreibung oder den Lieferantenfragebogen. Formulieren Sie die Anforderung so, dass nur ein passender Nachweis sie erfüllt (Muster unten). Dann sortiert die Anforderung die Bewerber für Sie.
• Über den Plattformanbieter. Läuft eine Anwendung auf einer Cloud-Plattform, kann die Plattform ein Testat haben, ohne dass die Anwendung geprüft ist. Trennen Sie beides bei der Suche; was ein Plattformtestat abdeckt, erklärt die Seite C5-Scope.

Die Anforderung richtig formulieren

Ungenaue Anforderungen wie „C5-zertifiziert“ lassen offen, welcher Dienst, welcher Typ und welcher Zeitraum gemeint ist. Unser Muster für einen Lieferantenfragebogen oder eine Leistungsbeschreibung, als Vorschlag zum Anpassen:

Die Klammerwerte setzen Sie für Ihren Bedarf. Ob Sie einen Typ-1-Bericht für eine Erstprüfung zulassen, hängt von Ihrem Risiko und Ihrem Termin ab; Typ 1 belegt nur die Ausgestaltung zu einem Stichtag. Für § 393 SGB V gelten eigene Fristen, siehe § 393 SGB V, und für den Weg über ein ISO-27001-Zertifikat mit Maßnahmenplan die Seite C5-Gleichwertigkeitsverordnung.

Welche Nachweise Sie anfordern sollten

1. Den vollständigen Bericht. Nach der BSI-FAQ gehört er dem Anbieter, der die Bedingungen der Weitergabe bestimmt; rechnen Sie mit einer Vertraulichkeitsvereinbarung. Ein Deckblatt, eine Bescheinigung oder ein Logo genügt nicht.
2. Die Zusage zu Folgeberichten. Prüfungen werden nach der FAQ in der Regel jährlich wiederholt; Kunden lassen sich typischerweise vertraglich zusichern, alle folgenden Berichte zu erhalten.
3. Die Liste der CUEC. Sie zeigt, was Sie selbst tun müssen, damit die Kriterien erfüllt sind.
4. Berichte wichtiger Subdienstleister. Bei der Carve-out-Methode erstreckt sich die Prüfung nicht auf deren Kontrollen.
5. Stellungnahmen zu Abweichungen. Sie stehen im Bericht; fragen Sie nach dem Stand der Maßnahmen seit Ende des Zeitraums.

Wie Sie den Bericht dann auswerten, steht Schritt für Schritt auf der Seite C5-Bericht lesen.

Warnzeichen bei der Anbietersuche

Beispiel: ein Labor sucht ein Befundportal

Fiktives Beispiel, kein Kunde. Ein medizinisches Labor will Befunde über ein Online-Portal an Einsender übermitteln und dafür einen Cloud-Dienst einkaufen. Es geht so vor:

1. Suche: Es sieht die Liste nach § 393 Abs. 7 durch und findet dort keinen passenden Dienst. Daraus schließt es nichts, denn die Liste enthält nur Anbieter, die einen Antrag gestellt haben.
2. Anforderung: Es fragt drei Anbieter mit dem Mustertext an und verlangt Typ 2, Region Deutschland, Folgeberichte und die CUEC-Liste.
3. Antworten: Anbieter A legt einen Typ-2-Bericht für sein Portal vor. Anbieter B verweist auf das C5-Testat seiner Cloud-Plattform; seine Anwendung selbst ist nicht geprüft. Anbieter C hat ein ISO-27001-Zertifikat und einen Maßnahmenplan nach der C5GleichwV.
4. Einordnung: Das Labor wertet den Bericht von A aus und lässt die Antworten von B und C rechtlich einordnen, bevor es sie weiter berücksichtigt.