Den passenden Prüfer für das C5-Testat finden und beauftragen

Diese Seite hilft bei der Wahl des Prüfers für ein BSI-C5-Testat. Wie die Prüfung danach abläuft und wie Sie vom Kundentermin zurückrechnen, steht auf der Seite C5-Prüfung; was der Bericht Ihren Kunden sagt, auf der Seite C5-Testat.

Muss der C5-Prüfer ein Wirtschaftsprüfer sein?

Nach dem Katalog nicht zwingend, nach der FAQ des BSI ja. Die beiden Quellen des BSI weichen hier voneinander ab, und für Ihre Auswahl sollten Sie beide kennen.

• Katalog C5:2026: Er verlangt eine Prüfung nach ISAE 3000 (Revised) oder einer nationalen Entsprechung und sieht ausdrücklich den Fall vor, dass der Prüfer kein Wirtschaftsprüfer und keine Wirtschaftsprüfungsgesellschaft ist. Dann muss der Bericht die angewandten berufsrechtlichen oder gesetzlichen Anforderungen benennen, die „mindestens ebenso anspruchsvoll sind wie der IESBA Code und ISQM 1“ (Abschnitt 3.4.13 Nr. 1.3).
• BSI-FAQ: Dort heißt es, nach den geltenden Regulierungen könnten „nur Wirtschaftsprüfer ein C5-Testat ausstellen“; an anderer Stelle, ein Bericht ohne Unterschrift eines Wirtschaftsprüfers sei nicht C5-konform. Im Prüfungsteam dürfen laut FAQ weitere Fachleute mitarbeiten.

Für die Praxis heißt das: Fragen Sie Ihre wichtigsten Kunden, ob sie einen Bericht von einem Wirtschaftsprüfer oder einer Wirtschaftsprüfungsgesellschaft erwarten. Wenn ja, ist die Frage für Sie entschieden. Wer international verkauft und einen Prüfer aus einem anderen Land erwägt, sollte die Anforderung seiner deutschen Kunden vor der Beauftragung schriftlich klären.

ISAE 3000 und IDW PS 860: was der Standard für Ihre Prüfung bedeutet

Jede C5-Prüfung beruht auf ISAE 3000 (Revised), dem internationalen Standard für Prüfungsaufträge außerhalb der Prüfung historischer Finanzinformationen. Der deutsche Prüfungsstandard IDW PS 860 „IT-Prüfung außerhalb der Abschlussprüfung“ des Instituts der Wirtschaftsprüfer steht nach dem Katalog mit ISAE 3000 (Revised) im Einklang und ist gleichwertig verwendbar, ebenso andere nationale Entsprechungen (Abschnitt 3.2). Der Text von IDW PS 860 ist nicht frei abrufbar; für Ihre Auswahl genügt es zu wissen, auf welchen Standard sich der Prüfer stützt und dass der Bericht ihn nennt.

Bei der Auswahl hilft das in einem Punkt besonders: Prüft ein Haus bereits Ihren SOC-2-Bericht, geschieht das nach den Standards des AICPA. Lassen Sie sich bestätigen, auf welchen der oben genannten Standards sich die C5-Prüfung stützt; wie sich SOC 2 und C5 sonst ergänzen, zeigt die Seite C5 und SOC 2.

Welche Qualifikation verlangt der Katalog vom Prüfungsteam?

Die Anforderung gilt für die Mitglieder des Prüfungsteams, die die Durchführung überwachen und die Ergebnisse durchsehen, also nicht für jede Person, die Nachweise ansieht (Abschnitt 3.4.2). Sie müssen nach der deutschen Fassung 1.1.0 eine der folgenden Voraussetzungen erfüllen:

• mindestens drei Jahre einschlägige Berufserfahrung mit IT-Prüfungen nach den einschlägigen ISAE-Standards, oder
• eine dieser Berufsprüfungen oder Zertifizierungen: CISA, CISM oder CRISC (ISACA); ISO/IEC 27001 Lead Auditor oder BSI-zertifizierter ISO-27001-Auditor für Prüfungen auf Basis von IT-Grundschutz; CCSK (Cloud Security Alliance); CCSP oder CISSP ((ISC)²).

Drei Punkte aus demselben Abschnitt sind für Sie als Auftraggeber nützlich. Vor Annahme des Auftrags prüft der Prüfer seine Berufspflichten einschließlich der Unabhängigkeit, in Deutschland nach § 43 WPO, und beurteilt, ob sein Team Kompetenz, Branchenverständnis und Erfahrung mitbringt. Auf Ihren Wunsch muss er Nachweise vorlegen, dass das Team die Anforderungen erfüllt. Und der fertige Bericht bestätigt die Einhaltung im Abschnitt „Unabhängigkeit und Qualitätsmanagement“, den Ihre Kunden lesen können.

Zwei Abweichungen sollten Sie kennen: Die englische Fassung 1.0.1 verlangt die drei Jahre Berufserfahrung „in a public audit firm“, die deutsche Fassung spricht von IT-Prüfungen nach den ISAE-Standards. Und die BSI-FAQ erwähnt, mindestens die Hälfte des Teams müsse bestimmte Qualifikationen besitzen; in Abschnitt 3.4.2 von C5:2026 steht das nicht. Klären Sie mit dem Prüfer, nach welcher Katalogfassung er die Qualifikation bestätigt.

Beratung und Prüfung: warum beides getrennt bleibt

Wer Ihre Kontrollen mitgestaltet oder Ihre Systembeschreibung geschrieben hat, sollte sie nicht selbst prüfen. Der Katalog verlangt einen unabhängigen Prüfer, der vor dem Auftrag seine Unabhängigkeit prüft (Abschnitt 3.4.2) und im Bericht erklärt, dass er die Unabhängigkeitsanforderungen des IESBA Code einhält, der unter anderem auf Integrität und Objektivität beruht (Abschnitt 3.4.13 Nr. 1.3). Für Wirtschaftsprüfer in Deutschland gilt zusätzlich § 43 Abs. 1 WPO: Sie üben ihren Beruf „unabhängig, gewissenhaft, verschwiegen und eigenverantwortlich“ aus und verhalten sich bei Prüfungsberichten unparteiisch.

Ob eine bestimmte Beratungsleistung die Unabhängigkeit gefährdet, beurteilt der Prüfer nach seinen Berufsregeln, nicht der Berater. Nennen Sie dem Prüfer deshalb früh, wer Sie bei der Vorbereitung unterstützt und in welchem Umfang. Die BSI-FAQ weist auf eine weitere Spannung hin: Der Anbieter beauftragt und bezahlt den Prüfer, und das BSI prüft die Berichte nicht; die kritische Auswertung des Berichts liegt deshalb bei den Kunden. Nach unserer Einschätzung gewinnt Ihr Bericht für Kunden, wenn die Unabhängigkeit des Prüfers für sie erkennbar ist.

Blackfort Technology hat keine Partnerschaft mit einer Prüfungsgesellschaft. Den Prüfer wählen Sie; wir helfen Ihnen, Angebote auf derselben Grundlage vergleichbar zu machen.

Wann Sie den Prüfer ansprechen sollten

Unsere Empfehlung: bevor ein Typ-2-Prüfungszeitraum beginnt, besser noch während der Umsetzung. Planung und Zeitraum der Prüfung legt der Anbieter laut BSI-FAQ selbst fest und vereinbart sie mit dem Prüfer; die Unabhängigkeitsprüfung braucht vor der Annahme ebenfalls Zeit. Wie sich das in einen Zeitplan bis zum Kundentermin einfügt, zeigt die Rückwärtsplanung; welche Angaben ein Prüfer für ein Angebot braucht, steht auf der Seite C5-Testat Kosten.

Fragen für die Prüferauswahl

Die folgenden Fragen sind unsere Empfehlung für das Gespräch mit möglichen Prüfern. Die rechte Spalte nennt den Bezug im Katalog oder in der BSI-FAQ, damit Sie Antworten einordnen können.

Beispiel: drei Angebote für eine Lernplattform

Fiktives Beispiel, kein Kunde. Ein Anbieter einer Lernplattform für Hochschulen, betrieben als SaaS auf einer Public-Cloud-Plattform in Deutschland, will einen ersten Typ-2-Bericht nach C5:2026. Er holt auf Basis desselben Scope-Steckbriefs drei Angebote ein:

• Prüfer A, eine Wirtschaftsprüfungsgesellschaft mit eigenem IT-Prüfungsteam, prüft nach IDW PS 860 und berichtet auf Deutsch.
• Prüfer B, ebenfalls Wirtschaftsprüfungsgesellschaft, prüft bereits den SOC-2-Bericht des Anbieters und bietet eine abgestimmte Prüfung mit gemeinsamer Nachweiserhebung an, Bericht auf Englisch mit deutscher Fassung.
• Prüfer C, eine Prüfungsgesellschaft aus dem Ausland ohne Zulassung als Wirtschaftsprüfer in Deutschland, prüft nach einer nationalen Entsprechung zu ISAE 3000 (Revised).

Der Anbieter fragt zuerst seine beiden größten Hochschulkunden. Eine verlangt ausdrücklich einen Bericht einer Wirtschaftsprüfungsgesellschaft, damit scheidet C aus. Zwischen A und B entscheiden die Antworten auf die Fragen oben: Beide belegen die Qualifikation nach 3.4.2, B erspart durch die Abstimmung mit SOC 2 doppelte Nachweise, A hat im gewünschten Zeitraum früher Kapazität. Die Wahl fällt auf B, weil der Kundentermin den späteren Beginn zulässt.