C5 Typ 1 oder Typ 2: welchen Bericht Sie zuerst beauftragen

Diese Seite hilft bei der Wahl des Berichtstyps für ein BSI-C5-Testat, Typ 1 oder Typ 2. Was ein C5-Testat insgesamt aussagt und wie die Prüfung abläuft, steht auf eigenen Seiten.

Was prüfen Typ 1 und Typ 2?

Typ 1 beurteilt, ob die Kontrollen zu einem Stichtag angemessen ausgestaltet sind, um die anwendbaren C5-Kriterien zu erfüllen. Typ 2 beurteilt die Ausgestaltung und zusätzlich, ob die Kontrollen über einen festgelegten Zeitraum wirksam waren (Katalog, Abschnitt 3.4.4).

Für Kunden ist der Unterschied praktisch: Ein Typ-1-Bericht zeigt, dass die Kontrollen richtig angelegt sind. Ein Typ-2-Bericht zeigt, dass sie über Monate tatsächlich gelaufen sind, etwa dass Berechtigungen regelmäßig überprüft oder Datensicherungen getestet wurden.

Muss Typ 1 vor Typ 2 kommen?

Nein. Der Katalog stellt klar, dass vor einem Typ-2-Bericht kein Typ-1-Bericht beauftragt werden muss (Abschnitt 3.4.11). Eine Erstprüfung kann direkt als Typ 2 laufen.

Umgekehrt gilt: Typ 1 gibt es nur bei der Erstprüfung, alle Folgeprüfungen sind Typ 2 (Abschnitt 3.4.4). Prüfungen, die nur die Ausgestaltung beurteilen, dürfen nicht regelmäßig wiederkehrend durchgeführt werden (Abschnitt 3.4.1). Wer mit Typ 1 beginnt, braucht für die nächste Prüfung also in jedem Fall Typ 2.

Für Erstprüfungen erleichtert der Katalog den Nachweis von Kontrollen, die noch nicht vollständig gelaufen sind (Abschnitt 3.4.11): Ist eine Tätigkeit noch nicht überall ausgeführt, etwa eine Business-Impact-Analyse in allen Organisationseinheiten oder ein Wiederanlauftest, kann der Anbieter Planungsunterlagen oder Dokumentationsvorlagen vorlegen. Läuft eine Kontrolle noch nicht in der Produktion, genügt eine Nicht-Produktionsumgebung, die wie die Produktion konfiguriert ist.

Wann ist Typ 1 sinnvoll, wann direkt Typ 2?

Ausgangspunkt ist die Anforderung Ihrer Kunden: Verlangen sie einen Typ-2-Bericht, ist Typ 1 nur ein Zwischenschritt. Die folgende Übersicht ist unsere Einordnung, keine Vorgabe des Katalogs:

Gesundheitswesen: Wann nach § 393 SGB V ein Typ-1-Testat genügt und ab wann Typ 2 verlangt ist, regelt das Gesetz mit Fristen, seit dem 1. Januar 2026 auch mit einer 18-Monats-Regel für Systeme, die nach dem 30. Juni 2025 erstmals in Verkehr gebracht werden (BGBl. 2025 I Nr. 371). Einzelheiten und die rechtliche Einordnung stehen auf der Seite § 393 SGB V.

Wie lang ist der Prüfungszeitraum bei Typ 2?

Der Zeitraum soll mindestens drei und höchstens zwölf Monate umfassen (Abschnitt 3.4.4). Kürzer geht es nicht sinnvoll: Der Katalog begründet die Untergrenze damit, dass der Prüfer bei kürzeren Zeiträumen keine ausreichenden Nachweise zur Wirksamkeit erhält (Abschnitt 3.4.11). Länger als zwölf Monate ist nur in Ausnahmefällen vorgesehen, etwa um den Zeitraum an andere Prüfungen anzugleichen. Das Management Statement muss dann den Grund nennen (Abschnitt 3.4.5.2). Grundsätzlich empfiehlt der Katalog, den Zeitraum gleichbleibend zu wählen.

Die Spalten zwei und drei sind unsere Einordnung. Nach der BSI-FAQ muss sich ein Anbieter, der durchgehend nachweislich C5-konform sein will, je nach gewähltem Zeitraum ein- bis viermal im Jahr prüfen lassen.

Bei Typ 2 verlangt der Katalog zusätzliche Angaben in der Systembeschreibung: wesentliche Änderungen am internen Kontrollsystem im Zeitraum sowie wesentliche Ereignisse, etwa verfehlte Verfügbarkeitszusagen, unbefugter Zugriff auf Kundendaten oder unwirksame Schutzmaßnahmen, mit den eingeleiteten Gegenmaßnahmen (Abschnitt 3.4.5.1).

Welche Katalogfassung gilt, hängt vom Beginn des Zeitraums ab: Zeiträume ab dem 1. Juni 2027 werden nach C5:2026 geprüft, ein Zeitraum, der vorher beginnt und danach endet, soll nur die Kriterien von C5:2020 umfassen (Abschnitt 3.5). Die Sonderfälle mit Entscheidungstabelle stehen auf der Seite C5:2026.

Was der Berichtstyp für Ihren Termin bedeutet

Ein Typ-2-Bericht kann erst nach dem Ende des Prüfungszeitraums fertig werden, und der Zeitraum soll mindestens drei Monate umfassen. Unsere Empfehlung: Die Kontrollen sollten zu Beginn des Zeitraums laufen, sonst fehlen für die ersten Wochen Nachweise der Wirksamkeit; für Erstprüfungen lässt Abschnitt 3.4.11 Ersatznachweise zu (siehe oben). Ein Typ-1-Bericht braucht keinen Zeitraum und kann deshalb früher vorliegen. Wie Sie vom Kundentermin zurückrechnen, zeigt die Rückwärtsplanung mit Beispielrechnung.

Beispiel: Kunde verlangt einen Typ-2-Bericht

Fiktives Beispiel, kein Kunde. Ein Anbieter einer Personalverwaltungssoftware als SaaS hat ein ISO-27001-Zertifikat. Ein neuer Kunde, eine Regionalbank, verlangt im Vertrag einen C5-Typ-2-Bericht und akzeptiert für die ersten Monate einen Typ-1-Bericht. Der Anbieter wägt ab:

• Weg A, Typ 1 zuerst: Der Typ-1-Bericht zu einem Stichtag erfüllt die Übergangszusage des Kunden. Danach folgt ohnehin eine Typ-2-Prüfung, der Anbieter beauftragt also zwei Prüfungen.
• Weg B, direkt Typ 2: Der Anbieter startet einen Zeitraum von drei Monaten, sobald die Kontrollen laufen. Er beauftragt nur eine Prüfung, der erste Bericht kommt aber erst nach Zeitraumende und Berichterstellung.

Die Wahl hängt daran, ob Weg B zum Termin des Kunden passt. Wenn ja, spart er eine Prüfung; wenn nein, überbrückt Weg A die Zeit.