# C5-Scope-Steckbrief

Vorlage: Blackfort Technology, CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/deed.de), https://c5-readiness.de/c5-vorlagen. Bei Weitergabe der Vorlage bitte Quelle nennen, auf die Lizenz verweisen und eigene Änderungen kennzeichnen. In ausgefüllten Dokumenten, die Sie als eigene Unterlagen verwenden, dürfen Sie die Namensnennung weglassen; insoweit verzichten wir als Lizenzgeber darauf (gilt nicht für die Katalogbezüge). Kriterien-IDs dienen als Bezug; Abschnitts- und Kriterientitel stammen wörtlich aus © Bundesamt für Sicherheit in der Informationstechnik 2026, Kriterienkatalog Cloud Computing C5:2026, Version 1.1.0 (https://www.bsi.bund.de/C5) und stehen unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de), nur unverändert und mit diesem Vermerk weitergeben; Kriterientexte enthält die Vorlage nicht. Alles andere ist eigene Arbeitshilfe unter CC BY 4.0. Das Blackfort-Logo und der Name Blackfort Technology sind von der Lizenz ausgenommen; ersetzen Sie Logo und Absenderangaben durch Ihre eigenen, bevor Sie ein ausgefülltes Dokument weitergeben. Ohne Gewähr; ein ausgefüllter Steckbrief ist kein Nachweis für ein Testat. Kurzanleitung: https://c5-readiness.de/c5-vorlagen#scope-steckbrief, Hintergrund zum Scope: https://c5-readiness.de/c5-scope

Stand des Steckbriefs: JJJJ-MM-TT, erstellt von: ..., freigegeben von: ...

## 1. Dienst

| Feld | Eintrag |
|---|---|
| Name des Cloud-Dienstes | |
| Dienstmodell (IaaS, PaaS, SaaS) | |
| Kurzbeschreibung in zwei Sätzen | |
| Versionen oder Editionen im Scope | |
| Ausdrücklich nicht im Scope (Dienste, Module, Umgebungen) | |
| Regionen und Standorte im Scope | |

## 2. Anlass und Termin

| Feld | Eintrag |
|---|---|
| Wer verlangt das Testat (Kunde, Ausschreibung, Gesetz) | |
| Termin, bis zu dem ein Bericht vorliegen soll | |
| Gewünschter Berichtstyp (Typ 1, Typ 2, offen) | |
| Erstprüfung oder Folgeprüfung | |
| Geplanter Stichtag (Typ 1) oder Zeitraum (Typ 2) | |
| Katalogfassung (C5:2020 oder C5:2026), Begründung | |

## 3. Kriterien

| Feld | Eintrag |
|---|---|
| Basiskriterien: voraussichtlich nicht anwendbare Kriterien-IDs mit Begründung aus Art und Ausgestaltung des Dienstes oder aus den Grundsätzen, Verfahren und Maßnahmen des Anbieters (Abschnitt 3.4.3; fehlende Kontrollen sind kein Grund) | |
| Zusatzkriterien, die geprüft werden sollen (Kriterien-IDs), mit Begründung der Auswahl | |
| Zusätzliche Kataloge (z. B. AIC4), falls gewünscht | |

## 4. Architektur und Dienstleister

| Feld | Eintrag |
|---|---|
| Plattform oder Rechenzentrum, auf dem der Dienst läuft | |
| Dienstleister mit Zugriff auf Kundendaten (Liste im Subdienstleisterinventar) | |
| Vorgesehene Methode je Subdienstleister (Carve-out oder Inclusive) | |
| Liegen C5-Berichte der Subdienstleister vor (Typ, Zeitraum) | |
| Wichtige Kundenkontrollen, die der Dienst voraussetzt (Liste in der Zuständigkeitsmatrix) | |

## 5. Vorhandene Grundlagen

| Feld | Eintrag |
|---|---|
| ISO/IEC 27001: Zertifikat ja/nein, Geltungsbereich, Gültigkeit | |
| SOC-2-Bericht: Typ, Zeitraum, Trust Services Criteria | |
| Vorhandene Systembeschreibung (Standard, Stand) | |
| Weitere Nachweise (Penetrationstest, Notfalltest, Richtlinien) | |

## 6. Organisation

| Feld | Eintrag |
|---|---|
| Verantwortlich für das C5-Projekt | |
| Unterzeichner der Erklärung der Geschäftsleitung (Management Statement) | |
| Ansprechpartner für den Prüfer | |
| Offene Fragen | |