# Gliederung einer C5-Systembeschreibung

Vorlage: Blackfort Technology, CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/deed.de), https://c5-readiness.de/c5-vorlagen. Bei Weitergabe der Vorlage bitte Quelle nennen, auf die Lizenz verweisen und eigene Änderungen kennzeichnen. In ausgefüllten Dokumenten, die Sie als eigene Unterlagen verwenden, dürfen Sie die Namensnennung weglassen; insoweit verzichten wir als Lizenzgeber darauf (gilt nicht für die Katalogbezüge). Eigene Gliederung mit eigenen Überschriften, ohne Gewähr; sie ersetzt nicht den Katalog. Kriterien-IDs dienen als Bezug; Abschnitts- und Kriterientitel stammen wörtlich aus © Bundesamt für Sicherheit in der Informationstechnik 2026, Kriterienkatalog Cloud Computing C5:2026, Version 1.1.0 (https://www.bsi.bund.de/C5) und stehen unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de), nur unverändert und mit diesem Vermerk weitergeben; Kriterientexte enthält die Vorlage nicht. Alles andere ist eigene Arbeitshilfe unter CC BY 4.0. Das Blackfort-Logo und der Name Blackfort Technology sind von der Lizenz ausgenommen; ersetzen Sie Logo und Absenderangaben durch Ihre eigenen, bevor Sie ein ausgefülltes Dokument weitergeben. Maßgeblich sind die Mindestinhalte in Abschnitt 3.4.5.1 des Kriterienkatalogs C5:2026 (BSI, Version 1.1.0, https://www.bsi.bund.de/C5). Kurzanleitung: https://c5-readiness.de/c5-vorlagen#systembeschreibung-gliederung, Mindestinhalte im Detail: https://c5-readiness.de/c5-systembeschreibung

Die Nummern in Klammern verweisen auf die Aufzählung in Abschnitt 3.4.5.1.

## 0. Vorbemerkungen
- Zweck des Dokuments, Berichtstyp (Typ 1 mit Stichtag oder Typ 2 mit Zeitraum), Katalogfassung
- Methode für Subdienstleister (Carve-out oder Inclusive)

## 1. Der Cloud-Dienst (Nr. 1)
- Name, Dienstmodell, Leistungsumfang, Editionen
- Was nicht zum Dienst gehört

## 2. Systemkomponenten (Nr. 2)
- Architekturübersicht mit Diagramm
- Infrastruktur, Plattform, Software, Datenhaltung, Netze
- Personen und Prozesse, die den Dienst betreiben

## 3. Rahmenbedingungen des Dienstes (Nr. 3)
- Angaben zu GC-01 bis GC-06, je ein Unterabschnitt

## 4. Anwendbare Kriterien (Nr. 4)
- Tabelle aller Kriterien-IDs mit anwendbar/nicht anwendbar
- Begründung je nicht anwendbarem Kriterium (Art und Ausgestaltung des Dienstes oder Grundsätze, Verfahren und Maßnahmen des Anbieters, Abschnitt 3.4.3)
- Ausgewählte Zusatzkriterien und Begründung der Auswahl

## 5. Internes Kontrollsystem (Nr. 5)
- Kontrollumfeld: Organisation, Rollen, Richtlinien
- Risikobeurteilung
- Kontrollaktivitäten je Themengebiet, mit Zuordnung zu Kriterien-IDs
- Information und Kommunikation
- Überwachung

## 6. Ausnahmen vom Normalbetrieb (Nr. 6)
- Umgang mit Sicherheitsvorfällen und Ausfällen von Systemkomponenten

## 7. Korrespondierende Kundenkontrollen, CUEC (Nr. 7)
- Liste der Kundenkontrollen mit Kriterien-ID (aus der Zuständigkeitsmatrix)

## 8. Subdienstleister (Nr. 8)
- Je Subdienstleister: Firmenname, Ort der Verarbeitung und Speicherung, Einschätzung von Komplexität und Abhängigkeit, verfügbare C5-Berichte (aus dem Subdienstleisterinventar)
- Beim Subdienstleister vorausgesetzte Kontrollen (CSOC)
- Wie der Anbieter die Subdienstleister überwacht

## 9. Nur bei Typ 2
- Wesentliche Änderungen am internen Kontrollsystem im Zeitraum
- Wesentliche Ereignisse im Zeitraum und eingeleitete Maßnahmen, ohne Angriffspunkte offenzulegen

## 10. Nur beim Übergang auf C5:2026
- Geplante Änderungen an Kontrollen, wenn der Zeitraum am oder nach dem 28.02.2027 endet: Kriterien-ID, Art der Änderung, Umsetzungsstatus, Umsetzungsdatum