Compliance ohne Karussell: BSI C5:2026, NIST und CCM – und was Behörden jetzt erwarten

Ende März 2026 hat das BSI still und leise C5:2026 veröffentlicht – die erste komplette Überarbeitung des Cloud-Computing-Compliance-Criteria-Catalogues seit 2020. Und obwohl kaum jemand davon geredet hat, steht darin eine harte Frist: Für Prüfzeiträume, die am oder nach dem 1. Juni 2027 enden, empfiehlt das BSI die neue Version. Wer Cloud-Dienste an deutsche Unternehmen oder die öffentliche Hand verkauft, dessen nächstes Testat läuft schon auf C5:2026.

Das wäre nur eine Fußnote im Vergaberecht, wenn der C5 nicht das Rückgrat der Cloud-Sicherheits-Beschaffung in Deutschland wäre. Über hundert Testate hat das BSI bisher gezählt – von deutschen Mittelständlern bis zu globalen Hyperscalern. Wer heute eine Cloud- oder KI-Infrastruktur anbietet und öffentliche Auftraggeber bedient, kommt an drei Katalogen nicht vorbei: NIST CSF 2.0, CSA CCM und eben C5:2026. Die gute Nachricht: Sie sind absichtlich aufeinander abgestimmt. Wer die Abbildung einmal verstanden hat, baut doppelte Arbeit ab.

Die drei Rahmenwerke NIST CSF 2.0, ISO 27001 und CSA CCM speisen den C5:2026-Schild; der Stempel markiert die Frist für Prüfzeiträume ab 1. Juni 2027

Drei Kataloge, ein Ziel

Rahmenwerk	Herausgeber	Version	Umfang	Rolle
NIST CSF 2.0	NIST (USA)	Feb 2024	6 Funktionen, 106 Subkategorien	Internationale Risikosprache
ISO/IEC 27001:2022	ISO/IEC	2022	93 Controls in 4 Themen	Zertifizierbares ISMS
CIS Controls v8.1	CIS	Mai 2024	18 Controls, 153 Safeguards	Technische Härtung
CSA CCM v4	Cloud Security Alliance	Jan 2021	197 Controls in 17 Domänen	Cloud-Rollenmodell
BSI C5:2026	BSI (Deutschland)	Mär 2026	Nachfolger von C5:2020	Testat für den deutschen Markt

Der NIST Cybersecurity Framework ist dabei der neutralste gemeinsame Nenner: freiwillig, kostenlos, und seit Version 2.0 explizit für Organisationen jeder Größe gedacht. Die sechs Funktionen – Govern, Identify, Protect, Detect, Respond, Recover – mit Govern als neuem Dach sind zur internationalen Lingua franca des Sicherheitsmanagements geworden. Auch wenn du nie mit US-Behörden zu tun hast: Wenn ein Kunde fragt, wie euer Sicherheitsprogramm aufgebaut ist, ist eine CSF-Antwort die, die überall verstanden wird.

Der CSA Cloud Controls Matrix löst das Problem, das alle anderen ausklammern: Wer implementiert welche Kontrolle – der Anbieter oder der Kunde? 197 Control-Objectives in 17 Domänen, jede mit Rollenzuordnung. Dazu der CAIQ-Fragebogen: Anbieter beantworten standardisiert, Kunden lesen – statt jedem Auftraggeber ein individuelles Sicherheitsfragebogen-Karussell zu durchlaufen.

C5:2026 – was sich wirklich ändert

Der C5 ist kein Gesetz, sondern ein Prüfkatalog mit Marktgewicht. Das Modell: Der Cloud-Anbieter beauftragt einen Wirtschaftsprüfer direkt, dieser testiert die Erfüllung der Kriterien, und der Kunde wertet den Bericht für sein eigenes Risikomanagement aus (das BSI selbst prüft nicht und wertet auch keine Berichte aus). Für Beschaffer ist das Testat damit das wichtigste Vorkriterium bei der Anbieterauswahl – und für Anbieter der Nachweis, den der deutsche Markt erwartet.

Die Revision 2026 hat drei wesentliche Stränge:

1. EUCS-Kompatibilität von Geburt an. Der C5:2020 war die Basis für die Sicherheitsanforderungen des europäischen Zertifizierungsschemas EUCS Level „Substantial"; diese Anforderungen gingen an CEN/CENELEC und wurden dort zur Technical Specification weiterentwickelt. Genau dieses Material ist jetzt die Basis des C5:2026. Deutsches Testat und europäisches Schema teilen sich die DNA.
2. Aktuelle Referenzen. Bei der Erstellung wurden die aktuellen Versionen von CSA CCM v4, ISO/IEC 27001:2022 und der NIS2-Richtlinie berücksichtigt – plus Praxiserfahrungen von Anbietern, Prüfern und Beratern.
3. Ein fester Switch. C5:2020 bleibt bis Prüfperioden vor dem 1. Juni 2027 empfohlen, danach C5:2026. Wer ein Testat in diesem Fenster plant, muss die Delta-Analyse jetzt starten, nicht nächstes Jahr.

Praktischer Bonus: Das BSI veröffentlicht eine Kreuzreferenztabelle C5 zu ISO 27001:2022. Wer bereits ein ISMS betreibt, kann Nachweise wiederverwenden statt doppelt zu dokumentieren.

Was der Public Sector dazulegt

Für die öffentliche Verwaltung ist der Rahmen größer als C5 allein:

• NIS2 und BSIG. Die EU-Richtlinie 2022/2555 musste bis Oktober 2024 umgesetzt werden; die deutsche Umsetzung (NIS2UmsuCG) hat sich über die Frist hinausgezogen, bringt aber erweiterte Melde- und Sorgfaltspflichten für „besonders kritische" und „kritische" Einrichtungen – und je nach Umsetzung fallen auch Einrichtungen der öffentlichen Verwaltung hinein. Wer deren Auftragnehmer ist, erbt die Dokumentationspflichten über die Verträge.
• IT-Grundschutz. Das BSI-Standardwerk (BSI-Standards 200-X) bleibt die Referenzmethodik für deutsche Behörden. C5 deckt die Cloud-Sicht ab, Grundschutz die Gesamtorganisation – die Kataloge ergänzen sich, sie konkurrieren nicht.
• Digitale Souveränität. Projekte wie openDesk und die EUCS-Diskussion zeigen die Richtung: Europäische Verwaltungen wollen Nachweise, die nicht von einem einzelnen US-Institut abhängen. Genau deshalb ist die C5→EUCS-Linie relevant – sie macht deutsche Testate europäisch anschlussfähig.
• AI Act, Artikel 4. Seit Februar 2025 gilt die KI-Kompetenz-Pflicht für alle Anbieter und Betreiber von KI-Systemen – Behörden als Deployer ausdrücklich eingeschlossen. Wer für eine Verwaltung ein RAG-System oder einen Copiloten betreibt, liefert gleich zwei Nachweise: die technische Absicherung (C5/CCM-Welt) und die KI-Governance (in Deutschland flankiert vom BSI mit AIC4, international von ISO 42001 und NIST AI RMF).

Was das für Dienstleister bedeutet

Wenn du Cloud- oder KI-Dienste an deutsche Unternehmen oder Behörden lieferst:

1. Verlange C5-Testate deiner eigenen Lieferkette. Du bist Kunde deiner Cloud- und Hosting-Anbieter – deren Testate gehören in deine Risikoakte. Der BSI-Auswertungsleitfaden (Excel) gibt dafür eine Struktur.
2. Baue auf CIS Controls v8.1 als technische Basis (IG1 zuerst), strukturiere das Programm in NIST-CSF-Profilen – Current versus Target – und du sprichst automatisch die Sprache, die Prüfer und Beschaffer erwarten.
3. Ein Testat erst, wenn es jemand verlangt. ISO 27001 oder C5 sind Vertrags- und Markteintrittsthemen, keine Selbstzwecke. Die Nachweise aus Schritten 1 und 2 speisen beide, wenn es so weit ist.
4. Denke KI-Controls mit. Die CSA hat mit der AI Controls Matrix (AICM v1.1) genau dafür eine Kontrollschicht auf dem CCM veröffentlicht, gemappt auf ISO 42001, NIST AI RMF 1.0 und BSI AIC4 – aktuell der direkteste Weg, Modell-Governance und Inferenz-Absicherung ohne Eigenbau abzudecken.

Die Uhr

Datum	Ereignis
17. Okt 2024	NIS2-Umsetzungsfrist (DE-Umsetzung verzögert)
17. Jan 2025	DORA gilt für Finanzinstitute
2. Feb 2025	EU AI Act Art. 4 – KI-Kompetenz, alle Anbieter und Betreiber
2. Aug 2025	AI-Act-Pflichten für GPAI-Modelle
Ende Mär 2026	BSI C5:2026 veröffentlicht
2. Aug 2026	AI Act Hochrisiko-Pflichten (Annex III)
1. Jun 2027	C5:2026 für Prüfzeiträume ab diesem Datum

Der Trend über alle Kataloge hinweg ist derselbe: Sie mappen aufeinander, und einmal erbrachte Nachweise wandern mit. Wer heute eine Mapping-Tabelle seiner eigenen Kontrollen und Nachweise aufbaut – im Kern ein bipartiter Graph zwischen Kontrollen und Rahmenwerken –, hat den halben Prüfungsaufwand von morgen gespart.

Konkret: Katalog und Kreuzreferenztabelle auf der BSI-C5-Seite ziehen, den CCM v4 der CSA laden, und die eigene Current-Position gegen NIST CSF 2.0 skizzieren. Drei Downloads, ein Nachmittag – und der nächste Fragebogen eines öffentlichen Auftraggebers ist kein Feuerwehr-Einsatz mehr.