C5-Vorlagen zum Herunterladen: fünf Arbeitshilfen

Die Vorlagen sind eigene Arbeitshilfen von Blackfort Technology. Kriterientexte des BSI-Katalogs enthalten sie nicht; als Bezug nennen sie Kriterien-IDs, Abschnittsnummern und die Titel einzelner Abschnitte und Kriterien im Wortlaut des Katalogs. Sie dürfen die Vorlagen unter der Lizenz CC BY 4.0 frei nutzen, anpassen und weitergeben, auch kommerziell; die Bedingungen und Ausnahmen stehen unten unter „Lizenz und Abgrenzung“.

Welche Vorlagen gibt es?

Es gibt fünf Vorlagen, je eine für einen Arbeitsschritt der Testatvorbereitung. Wie Sie die Inhalte erarbeiten, erklärt jeweils eine Fachseite, die bei der Vorlage verlinkt ist; hier finden Sie die Dateien mit einer kurzen Beschreibung.

Scope-Steckbrief

Der Steckbrief hält in sechs Abschnitten fest, was vor einer Anfrage beim Prüfer geklärt sein sollte: Dienst, Regionen, Berichtstyp, Termin, Katalogfassung, Zusatzkriterien und Dienstleister. Lassen Sie ihn von der Geschäftsleitung freigeben, denn sie gibt später das Management Statement ab. Wie Sie Dienst, Kriterien und Ausschlüsse festlegen, erklärt die Seite C5-Scope.

Die Word-Fassung hat ein Deckblatt, eine Dokumentenlenkung mit Versionshistorie und Freigabe, ein Inhaltsverzeichnis und eine Einleitung mit Bezug zum Katalog.

Scope-Steckbrief herunterladen: Word (docx) · Markdown

Nachweisregister

Eine Tabelle mit einer Zeile je Nachweis: Kriterien-IDs, Kontrolle, Art des Nachweises, Ablageort, Herkunft, Verantwortliche, Zeitbezug, nächste Aktualisierung und Status. Die Spalte Zeitbezug zeigt, ob ein Nachweis nur einen Stichtag belegt oder, wie bei Typ 2 nötig, den ganzen Prüfungszeitraum. Die Spalte Grundgesamtheit (für Stichproben) hält fest, aus welchen Vorkommen einer Kontrolle der Prüfer eine Stichprobe ziehen kann. Wie Sie das Register führen, zeigt die Seite Nachweise und Dokumentation.

Die Excel-Fassung hat ein Deckblatt mit Dokumentenlenkung, ein Blatt Anleitung mit Erläuterung je Spalte und in der Tabelle Auswahllisten und Statusfarben.

Nachweisregister herunterladen: Excel (xlsx) · CSV

Zuständigkeitsmatrix für korrespondierende Kundenkontrollen (CUEC)

Die Matrix listet die korrespondierenden Kundenkontrollen (CUEC), die Ihr Dienst beim Kunden voraussetzt, etwa die Rechtevergabe im eigenen Mandanten, mit Kriterien-ID, Aufgabe beim Anbieter, Verantwortlichen auf beiden Seiten und Ort der Dokumentation. Daraus entsteht Mindestinhalt 7 der Systembeschreibung (Abschnitt 3.4.5.1 Nr. 7). Eine eigene Spalte hält fest, ob der Katalog zum Kriterium korrespondierende Kriterien für Kunden nennt; die sind allgemeine Hinweise und nicht dasselbe wie die CUEC Ihres Dienstes. Wie Sie die Kundenpflichten ableiten, zeigt die Seite Korrespondierende Kriterien.

Die Excel-Fassung hat ein Deckblatt mit Dokumentenlenkung, ein Blatt Anleitung mit Erläuterung je Spalte und in der Tabelle Auswahllisten und Statusfarben.

Zuständigkeitsmatrix herunterladen: Excel (xlsx) · CSV

Subdienstleisterinventar

Das Inventar erfasst jeden Dienstleister mit den Angaben, die der Katalog für Subdienstleister (Subservice-Organisationen) in der Systembeschreibung verlangt: Firmenname, Leistung, Ort der Verarbeitung und Speicherung, Einschätzung von Komplexität und Abhängigkeit, vorhandene C5-Berichte (Abschnitte 3.4.5.1 Nr. 8 und 3.4.6). Dazu kommen Methode (Carve-out oder Inclusive), die Subunternehmer des Dienstleisters, die vorausgesetzten Kontrollen beim Dienstleister (CSOC) und Ihre Überwachung. Außerdem enthält es die Angaben, die Kriterium SSO-04 für das Verzeichnis der Service-Organisationen nennt, etwa Anschrift des Hauptsitzes, geltende Rechtsordnung, Ansprechpartner, Risikoeinstufung und Beginn der Nutzung. Wie Sie die Methode wählen, erklärt die Seite C5-Scope; ein ausgefülltes Inventar mit Auswertung der Berichte zeigt die Seite C5-Subdienstleisterinventar.

Die Excel-Fassung hat ein Deckblatt mit Dokumentenlenkung, ein Blatt Anleitung mit Erläuterung je Spalte und in der Tabelle Auswahllisten und Prüfung der Datumsangaben.

Subdienstleisterinventar herunterladen: Excel (xlsx) · CSV

Gliederung einer Systembeschreibung

Die Gliederung folgt den acht Mindestinhalten aus Abschnitt 3.4.5.1 mit eigenen Überschriften und Stichpunkten, ergänzt um die Typ-2-Angaben und die Angaben zu geplanten Änderungen nach Abschnitt 3.5. Sie ersetzt nicht den Katalog; maßgeblich bleibt sein Wortlaut. Was in die einzelnen Abschnitte gehört, erklärt die Seite C5-Systembeschreibung.

Die Word-Fassung hat ein Deckblatt, eine Dokumentenlenkung, ein Inhaltsverzeichnis, Ausfüllhinweise je Kapitel und vorbereitete Tabellen, etwa für die anwendbaren Kriterien und die Subdienstleister.

Gliederung herunterladen: Word (docx) · Markdown

Wie Sie die Dateien öffnen

• Word- und Excel-Dateien öffnen sich in Microsoft Office und LibreOffice. Die Excel-Dateien haben die Blätter Deckblatt, Anleitung, die Tabelle selbst sowie Lizenz und Hinweise. Das Inhaltsverzeichnis der Word-Dateien aktualisieren Sie mit Rechtsklick > Felder aktualisieren.
• CSV-Dateien: Semikolon als Trennzeichen, UTF-8 mit BOM. Sie öffnen sich in Excel und LibreOffice direkt mit korrekten Umlauten.
• Markdown-Dateien: in jedem Texteditor lesbar, in Confluence, GitLab, Gitea oder einem Wiki direkt nutzbar.
• Jede Tabelle hat eine Beispielzeile mit erfundenen Werten. Ersetzen Sie sie durch Ihre eigenen Einträge.

Lizenz und Abgrenzung

Die Vorlagen stehen unter CC BY 4.0. Namensnennung: „Vorlage: Blackfort Technology, CC BY 4.0, https://c5-readiness.de/c5-vorlagen“. Wenn Sie die Vorlage selbst weitergeben, unverändert oder angepasst, verweisen Sie auf die Lizenz und kennzeichnen eigene Änderungen.

Für ausgefüllte Dokumente, die Sie als eigene Unterlagen verwenden, etwa eine Systembeschreibung im Prüfungsbericht, erlauben wir als Lizenzgeber zusätzlich, die Namensnennung der Vorlage wegzulassen und die Lizenzhinweise zur Vorlage zu löschen; insoweit verzichten wir ausdrücklich auf die Namensnennung nach Abschnitt 3(a) CC BY 4.0. Für die Bestandteile aus dem Katalog des BSI gilt dieser Verzicht nicht: Bleiben Titel oder Zitate aus dem Katalog im Dokument, behalten Sie den Vermerk „© Bundesamt für Sicherheit in der Informationstechnik 2026, Kriterienkatalog Cloud Computing C5:2026, CC BY-ND 4.0“ bei.

Die Vorlagen enthalten Kriterien-IDs als Bezug sowie wörtliche Abschnitts- und Kriterientitel aus dem Katalog des BSI (© Bundesamt für Sicherheit in der Informationstechnik 2026, Kriterienkatalog Cloud Computing C5:2026, Version 1.1.0). Die Titel stehen unter der Lizenz des Katalogs, CC BY-ND 4.0, die die Weitergabe bearbeiteter Fassungen nicht erlaubt; geben Sie sie nur unverändert und mit dem Urheberrechtsvermerk weiter. Kriterientexte enthalten die Vorlagen nicht; einzelne kurze Zitate aus dem Katalog stehen in Anführungszeichen. Alles andere ist eigene Arbeitshilfe unter CC BY 4.0.

Das Blackfort-Logo und der Name Blackfort Technology sind von der Lizenz ausgenommen. Die unveränderte Vorlage dürfen Sie mit Logo weitergeben. Bevor Sie ein angepasstes oder ausgefülltes Dokument weitergeben, ersetzen Sie Logo und Absenderangaben in Deckblatt, Kopf- und Fußzeile durch Ihre eigenen. Verwenden Sie Logo und Name nicht so, dass der Eindruck entsteht, Blackfort Technology habe ein ausgefülltes Dokument erstellt oder geprüft.

Die Vorlagen werden ohne Gewähr bereitgestellt. Eine ausgefüllte Vorlage ist kein Nachweis für ein Testat; ob die Kontrollen die Kriterien erfüllen, beurteilt der Prüfer.