{"id":5381174,"date":"2025-04-29T08:27:00","date_gmt":"2025-04-29T06:27:00","guid":{"rendered":"https:\/\/www.johner-institut.de\/blog\/?p=5381174"},"modified":"2025-04-28T15:30:24","modified_gmt":"2025-04-28T13:30:24","slug":"c5-testate-c5-zertifizierung","status":"publish","type":"post","link":"https:\/\/www.johner-institut.de\/blog\/regulatory-affairs\/c5-testate-c5-zertifizierung\/","title":{"rendered":"C5-Testate auch f\u00fcr Medizinproduktehersteller?"},"content":{"rendered":"\n

Die C5-Testate sind f\u00fcr Leistungserbringer und ggf. f\u00fcr Medizinproduktehersteller relevant. Denn das Anfang 2024 in Kraft getretene Digital-Gesetz (DigiG) definiert die Anforderungen an Cloud-Dienste im Gesundheitswesen neu.<\/p>\n\n\n\n

Dieser Artikel erkl\u00e4rt die wichtigsten Aspekte der C5-Zertifizierung bzw. C5-Testate f\u00fcr Medizinproduktehersteller und Leistungserbringer wie etwa Krankenh\u00e4user.<\/p>\n\n\n\n\n\n\n\n

1. Grundlagen der C5-Zertifizierung \/ C5-Testate<\/h2>\n\n\n\n

1.1 Zielsetzung<\/h3>\n\n\n\n

Der Kriterienkatalog C5<\/a> (Cloud Computing Compliance Criteria Catalogue) ist ein vom Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) entwickelter Standard. Anhand dieser Kriterien k\u00f6nnen sowohl Anbieter als auch Kunden die IT-Sicherheit der Cloud-Dienste \u00fcberpr\u00fcfen.<\/p>\n\n\n\n

Der C5-Standard regelt auch, wie Pr\u00fcfungen durchgef\u00fchrt und die Ergebnisse berichtet werden sollen.<\/p>\n\n\n\n

Wirtschaftspr\u00fcfer d\u00fcrfen bei erfolgreicher Pr\u00fcfung ein C5-Testat ausstellen.<\/p>\n\n\n\n

1.2 Aufbau des Kriterienkatalogs<\/h3>\n\n\n\n

Der Kriterienkatalog umfasst 17 Themengebiete mit insgesamt 125 Pr\u00fcfkriterien. Diese sind pro Themengebiet unterteilt in Basiskriterien f\u00fcr grundlegende Sicherheit und Zusatzkriterien f\u00fcr erh\u00f6hten Schutzbedarf.<\/p>\n\n\n\n

\"Mindmap<\/a>
Abb. 1: Der C5-Kriterienkatalog umfasst 17 Themengebiete (zum Vergr\u00f6\u00dfern klicken)<\/figcaption><\/figure>\n\n\n\n
<\/path><\/path><\/g><\/svg><\/div>Beispiel<\/span><\/div>\n

Das Themengebiet \u201ePhysische Sicherheit (PS)\u201c fordert als Basiskriterien<\/strong>, dass Gef\u00e4hrdungen \u201eadressiert\u201c werden, wie \u201eUnberechtigter Zutritt\u201c, \u201eUnzureichende Klimatisierung\u201c, \u201eWasser\u201c und \u201eAusfall der Stromversorgung\u201c.<\/p>\n\n\n\n

Als Zusatzkriterien<\/strong> werden beispielsweise genannt \u201eZeitvorgaben f\u00fcr den autarken Betrieb beim Eintritt au\u00dfergew\u00f6hnlicher Ereignisse (z. B. l\u00e4nger anhaltender Stromausfall, Hitzeperioden, Niedrigwasser bei K\u00e4lteversorgung mit Flusswasser) sowie maximal tolerierbare Ausfallzeiten von Versorgungseinrichtungen.\u201c<\/em><\/p>\n<\/div>\n\n\n\n

1.3 Verh\u00e4ltnis zu anderen Standards<\/h3>\n\n\n\n

Das BSI hat den C5-Kriterienkatalog aus den Anforderungen der ISO 27001 abgeleitet. Die Beh\u00f6rde hat eine Kreuzreferenztabelle zwischen C5 und ISO 27001:2022<\/a> publiziert.<\/p>\n\n\n\n

<\/path><\/svg><\/div>Achtung<\/span><\/div>\n

Eine Zertifizierung nach ISO 27001 ist dauerhaft weder notwendig noch hinreichend, um die Forderung nach einem C5-Testat zu erf\u00fcllen. Mehr dazu im Fazit.<\/p>\n<\/div>\n\n\n\n

Allerdings erlaubt die C5-Gleichwertigkeitsverordnung<\/a> tempor\u00e4r<\/strong> alternative Nachweise:<\/p>\n\n\n\n

    \n
  1. ISO\/IEC 27001<\/li>\n\n\n\n
  2. ISO 27001 mit IT-Grundschutz<\/li>\n\n\n\n
  3. Cloud Controls Matrix 4.0<\/li>\n<\/ol>\n\n\n\n

    Zus\u00e4tzlich erforderlich sind:<\/p>\n\n\n\n