BSI C5:2026: Was der neue Cloud-Kriterienkatalog für Anbieter und Kunden bedeutet

Wer Cloud-Dienste einkauft oder anbietet, kommt an C5 kaum vorbei, und seit 2026 gibt es dafür einen neuen Maßstab. Der Cloud Computing Compliance Criteria Catalogue des BSI wurde nach sechs Jahren grundlegend überarbeitet, und die Übergangsfrist für Testate läuft bereits. Dieser Artikel erklärt, was sich ändert, bis wann du umstellen musst und wie du ein C5-Testat als Kunde richtig liest.

Was ist BSI C5 und warum hat das Testat Gewicht?

C5 steht für Cloud Computing Compliance Criteria Catalogue. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat ihn 2016 erstmals veröffentlicht und 2020 aktualisiert. Er legt Mindestanforderungen an die Informationssicherheit von Cloud-Diensten fest, gegliedert nach Themen wie Personal, physische Sicherheit oder Kryptografie.

Die Prüfung läuft anders als bei ISO 27001. Es gibt kein Zertifikat einer Zertifizierungsstelle, sondern ein Testat: Ein Wirtschaftsprüfer bestätigt in einem Bericht, ob der Cloud-Anbieter die Kriterien für seinen Dienst erfüllt. Der Bericht beschreibt den Dienst, die Kontrollen, die Prüfhandlungen und das Ergebnis. Das BSI formuliert es so, dass Wirtschaftsprüfer nach erfolgreicher Prüfung testieren, dass ein Cloud-Anbieter die Sicherheitskriterien des C5 erfüllt.

Warum ist das für dich relevant, auch wenn C5 gesetzlich nicht überall vorgeschrieben ist? Weil Kunden es als gemeinsame Sprache nutzen. Statt jedem Anbieter denselben langen Fragebogen zu schicken, lassen sich Auftraggeber den Prüfbericht zeigen. Besonders häufig wird er von Behörden und im Gesundheitswesen verlangt. Für Anbieter wird ein fehlendes aktuelles Testat dort schnell zum Ausschlusskriterium im Vertrieb.

Dieser Artikel nimmt beide Seiten in den Blick. Wenn du SaaS, Hosting oder Managed Services anbietest, interessiert dich vor allem der Weg zum Testat nach C5:2026. Wenn du Cloud-Dienste auswählst, interessiert dich, wie du aus dem Bericht herausliest, was er wirklich belegt.

Was ist neu in C5:2026?

Das BSI hat C5:2026 zuerst als Community-Entwurf veröffentlicht und im März 2026 die finale englische Fassung freigegeben. Die Pressemitteilung folgte am 7. April 2026. Die deutsche Fassung kam am 12. August 2026. Maßgeblich für dich ist weniger das Veröffentlichungsdatum als der Stichtag für die Anwendung, und der ist eindeutig (dazu gleich mehr).

Die Überarbeitung bringt vier Dinge: mehr Kriterien, eine neue Struktur, neue Themen und eine technische Neuerung beim Format.

Basiskriterien und Zusatzkriterien

Die Struktur klingt trocken, hat aber praktische Folgen. Basiskriterien sind für jedes C5-Testat verbindlich. Zusatzkriterien kommen nicht automatisch dazu, ihre Einbeziehung hängt unter anderem von Kundenanforderungen, regulatorischen Vorgaben und dem gewünschten Sicherheitsniveau ab. Das BSI unterscheidet zwei Arten: "additional sharpen" verschärft ein Basiskriterium, "additional complement" ergänzt es um neue Anforderungen.

Als Kunde solltest du deshalb im Bericht nachsehen, ob der Anbieter nur die Basiskriterien oder auch Zusatzkriterien geprüft hat. Als Anbieter lohnt sich die Frage, welche Zusatzkriterien deine wichtigsten Kunden erwarten, bevor du den Prüfungsumfang festlegst.

Container, Lieferkette, Kryptografie und Confidential Computing

Container-Management ist die Antwort auf die Realität moderner Cloud-Architekturen. Wer seine Anwendung auf Kubernetes betreibt, muss zeigen, wie Images geprüft, Cluster gehärtet und Workloads getrennt werden. Das Lieferkettenmanagement zielt auf die Frage, wie ein Anbieter seine eigenen Subdienstleister überwacht und deren Sicherheitspflichten prüft. Wie du das auf der Kundenseite aufziehst, beschreibt der Artikel zur Lieferantenbewertung mit Sicherheitsfragebogen.

Bei der Kryptografie nimmt das BSI Post-Quanten-Verfahren erstmals ausdrücklich auf. Praktisch heißt das: Anbieter brauchen ein Krypto-Inventar, um überhaupt sagen zu können, wo welche Verfahren im Einsatz sind und was später ersetzt werden muss. Confidential Computing schützt Daten auch während der Verarbeitung im Arbeitsspeicher, zum Beispiel durch hardwarebasierte, abgeschottete Ausführungsumgebungen. Das ist kein Muss für jeden Dienst, aber der Katalog regelt jetzt, wie es geprüft wird, wenn ein Anbieter damit wirbt.

Welche Rolle spielt die digitale Souveränität?

Das BSI hat die Mandantentrennung und die technische Souveränität gezielter ausgearbeitet. Ziel ist, dass Kunden informiert und unabhängig über die Cloud-Nutzung entscheiden können. Zusätzlich hat das BSI in der Pressemitteilung vom 7. April angekündigt, allgemeine Souveränitätskriterien für Cloud-Lösungen in Kürze zu veröffentlichen. Ob sie inzwischen vorliegen, prüfst du am besten auf der BSI-Seite zum C5. Wie weit der Begriff in der Praxis trägt, zeigt der Artikel zur digitalen Souveränität im Mittelstand.

Bis wann gilt C5:2026? Stichtage und Übergang

Die Frage, die bei Anbietern zuerst aufkommt: Müssen wir jetzt sofort umstellen? Nein, aber die Übergangsfrist ist kürzer, als sie aussieht. Das BSI legt in seinen FAQ fest, dass C5:2026 für alle Testierungen anzuwenden ist, die ab dem 1. Juni 2027 anfallen, und zwar so:

• Typ-1-Berichte: Der Stichtag des Berichts liegt am 1. Juni 2027 oder später.
• Typ-2-Berichte: Der Prüfzeitraum beginnt am 1. Juni 2027 oder später.
• Frühere Anwendung: Möglich und ausdrücklich erlaubt.
• Übergangsregel: Liegt der Stichtag (Typ 1) beziehungsweise das Ende des Prüfzeitraums (Typ 2) am 28. Februar 2027 oder später, aber noch vor dem 1. Juni 2027, muss der Anbieter in der Systembeschreibung zusätzliche Informationen über die geplanten Änderungen angeben. Das betrifft laut Rödl & Partner die betroffenen Kriterien, die geplanten Anpassungen, den Umsetzungsstand und das Datum der Umsetzung.

Ein Bericht darf Standards nicht mischen: Pro Auftrag gilt entweder C5:2020 oder C5:2026.

Rechenbeispiel für einen Anbieter

Nehmen wir einen SaaS-Anbieter mit etwa 100 Mitarbeitenden, dessen Typ-2-Prüfzeitraum jedes Jahr vom 1. Juli bis zum 30. Juni läuft. Der Zeitraum vom 1. Juli 2026 bis 30. Juni 2027 beginnt vor dem 1. Juni 2027, bleibt also bei C5:2020. Er endet nach dem 28. Februar 2027, also muss die Systembeschreibung die geplanten Änderungen nennen. Erst der Zeitraum, der am 1. Juli 2027 beginnt, ist ein C5:2026-Bericht. Die Umstellung muss also im Betrieb bis Mitte 2027 stehen. Wer die neuen Kontrollen erst im Juli 2027 einführt, hat im ersten C5:2026-Prüfzeitraum Abweichungen im Bericht.

Das Beispiel ist ein Rechenbeispiel, keine Aussage über einen bestimmten Anbieter. Deinen eigenen Fahrplan legst du gemeinsam mit deinem Prüfer fest.

C5:2026 für Anbieter: So gehst du die Umstellung an

Für SaaS-, Hosting- und MSP-Anbieter lautet die Aufgabe: Gap-Analyse, Maßnahmen, Nachweise, Prüfzeitraum. Die Reihenfolge entscheidet über den Aufwand.

Schritt 1: Geltungsbereich und Zusatzkriterien festlegen

Ein C5-Testat bezieht sich nie auf das ganze Unternehmen, sondern auf einen Dienst, den Service-Scope. Lege fest, welche Dienste, Standorte und Subdienstleister im Scope liegen. Entscheide dann, welche Zusatzkriterien du einbeziehst. Die Frage, was deine Kunden brauchen, beantwortest du am besten über den Vertrieb: Welche Ausschreibungen und Kundenanforderungen kamen im letzten Jahr, und was stand dort zu C5?

Schritt 2: Gap-Analyse gegen die 168 Kriterien

Vergleiche den aktuellen Stand mit dem neuen Katalog. Hast du schon ein ISMS nach ISO 27001:2022, ist ein großer Teil abgedeckt, denn C5:2026 berücksichtigt laut BSI ISO/IEC 27001:2022, NIS2 und die Cloud Controls Matrix v4 der Cloud Security Alliance. Die Lücken liegen typischerweise in den cloud-spezifischen Themen: Container, Mandantentrennung, Datenstandorte, Subdienstleister-Überwachung und Kryptografie. Dank der YAML-Fassung kannst du die Kriterien erstmals automatisiert in dein Kontrollsystem übernehmen, statt sie aus dem PDF abzutippen.

Schritt 3: Die neuen Themen abarbeiten

Plane für die vier neuen Schwerpunkte konkrete Maßnahmen:

• Container: Image-Scanning, Härtung der Cluster, Trennung der Workloads, Patch-Prozess für Basis-Images.
• Lieferkette: Liste der Subdienstleister, Bewertung je Subdienstleister, vertragliche Sicherheitsanforderungen, Wiederbewertung.
• Kryptografie: Inventar der eingesetzten Verfahren und Schlüssel, Plan für die Migration auf Post-Quanten-Verfahren.
• Confidential Computing: Entscheidung, ob du es anbietest oder bewusst nicht, und die Dokumentation dieser Entscheidung.

Schritt 4: Systembeschreibung und ergänzende Kundenkontrollen schreiben

Die Systembeschreibung ist das Herzstück des Berichts. Sie sagt, was dein Dienst tut, wie er aufgebaut ist, welche Subdienstleister beteiligt sind und was in der Verantwortung des Kunden liegt. Diese Kundenpflichten heißen ergänzende Kundenkontrollen (Complementary User Entity Controls, CUEC). Wenn du sie schlampig formulierst, haben deine Kunden später Lücken, die sie nicht sehen. Wenn du sie präzise formulierst, wirkt dein Bericht glaubwürdiger.

Schritt 5: Typ 1 oder Typ 2, und wann?

Ein Typ-1-Bericht prüft, ob die Kontrollen zu einem Stichtag angemessen gestaltet sind. Ein Typ-2-Bericht prüft zusätzlich, ob sie über einen Zeitraum wirksam waren. Nach Darstellung von Beratungshäusern ist Typ 1 für Erstprüfungen gedacht, Folgeprüfungen sind dann Typ 2, und für den Typ-2-Zeitraum gilt ein Minimum von drei Monaten, empfohlen sind bis zu zwölf. Plane also so, dass du das Testat nicht erst brauchst, wenn der Kunde danach fragt. Ein Typ-2-Prüfzeitraum lässt sich nicht nachträglich legen.

Schritt 6: Den Prüfer früh einbinden

C5-Prüfungen führen Wirtschaftsprüfer durch. Das BSI lässt in C5:2026 auch Prüfer ohne WP-Titel zu, wenn sie gleichwertige Berufs-, Rechts- und Qualitätsanforderungen erfüllen. Die Qualifikation des Prüfteams beschreibt Abschnitt 3.4.2 des Katalogs. Sprich vor dem Start über Scope, Zusatzkriterien, Zeitplan und die Übergangsregel, damit nichts im Prüfzeitraum überrascht.

Die Nachweise selbst, vom Subdienstleister-Vertrag bis zum Prüfprotokoll der letzten Container-Härtung, sammelst du bequemer in einem Werkzeug, in dem Maßnahmen, Dienstleister und Prüfergebnisse zusammenlaufen. In ISMS Lite legst du sie als Nachweis beim jeweiligen Dienstleister oder bei der Maßnahme ab, sodass der Prüfer sie nicht aus fünf Ordnern zusammensuchen muss.

C5-Testat lesen: Was Kunden prüfen müssen

Jetzt die Kundenseite. Ein Anbieter schickt dir sein C5-Testat. Dass es existiert, sagt wenig. Der Wert steckt im Detail, und das liest du in dieser Reihenfolge.

Typ 1 oder Typ 2?

Typ 2 hat die höhere Aussagekraft, weil er die Wirksamkeit über einen Zeitraum belegt. Ein Typ-1-Bericht ist bei einem jungen Produkt in Ordnung, bei einem etablierten Anbieter solltest du nach dem Typ-2-Bericht fragen. Notiere, welchen Typ du bekommst, und lege fest, wann du den nächsten Bericht anforderst.

Welcher Scope ist geprüft?

Das ist der häufigste Stolperstein. Ein Anbieter kann ein C5-Testat für Dienst A haben, während du Dienst B nutzt. Die Firma ist dieselbe, das Produkt und damit der Scope sind es nicht. Prüfe, ob der Dienst, den du beauftragst, in der Systembeschreibung steht, ebenso die Standorte und Regionen, in denen deine Daten liegen. Das Testat sagt allerdings nichts darüber, welche Rechtsordnung auf den Anbieter zugreifen kann, etwa wenn ein Mutterkonzern außerhalb der EU sitzt. Diese Frage klärst du getrennt.

Welcher Zeitraum und welche Version?

Bei Typ 2 sagt der Prüfzeitraum, wie aktuell der Nachweis ist. Ein Bericht, der vor 14 Monaten endete, belegt nicht, wie der Anbieter heute arbeitet. Achte außerdem darauf, nach welcher Katalogversion geprüft wurde. Bis zum Stichtag 1. Juni 2027 sind C5:2020-Berichte normal, danach kommen C5:2026-Berichte. Ein älterer Bericht ist nicht automatisch schlecht, aber du musst wissen, welche Anforderungen er nicht abdeckt, etwa Container-Management und Lieferkette.

Welche Kriterien wurden einbezogen?

Prüfe, ob nur Basiskriterien oder auch Zusatzkriterien geprüft wurden, und ob für deinen Anwendungsfall relevante Kriterien nicht anwendbar sind. Der Bericht sollte begründen, warum ein Kriterium entfällt.

Was steht bei den Abweichungen?

Das Prüfergebnis ist kein Bestanden oder Nicht-Bestanden, sondern eine Aussage mit Einschränkungen. Lies die Abschnitte zu Abweichungen und Ausnahmen ernsthaft. Eine Abweichung bei einem Kriterium zur Mandantentrennung wiegt anders als eine bei der Schulungsdokumentation. Frag den Anbieter, ob er die Abweichung inzwischen behoben hat, und halte die Antwort fest.

Was musst du als Kunde selbst tun?

Die ergänzenden Kundenkontrollen (CUEC) sind die Aufgaben, die der Anbieter bewusst bei dir lässt: Benutzerverwaltung, Rechtevergabe, Multi-Faktor-Authentifizierung für deine Konten, Klassifizierung der Daten, die du hochlädst. Wer das Testat in die Schublade legt und die CUEC nicht umsetzt, hat keinen Schutz gewonnen, sondern nur ein Papier. Mach aus jeder CUEC eine eigene Maßnahme mit Verantwortlichem. Das passt zur Idee des Shared-Responsibility-Modells, das C5:2026 stärker ausarbeitet.

Wie gehst du mit Subdienstleistern im Bericht um?

Cloud-Anbieter setzen oft ihrerseits Hyperscaler oder Rechenzentrumsbetreiber ein. Im Bericht steht, ob diese Subdienstleister einbezogen wurden oder ob der Prüfer ihre Kontrollen ausklammert und der Anbieter lediglich beschreibt, was er von ihnen erwartet. Im zweiten Fall brauchst du für den Subdienstleister einen eigenen Nachweis oder musst die Lücke selbst bewerten.

C5 vs. ISO 27001, SOC 2 und EUCS: Welcher Nachweis wofür?

Die Frage kommt in jedem Vergabegespräch: Reicht uns ISO 27001, oder brauchen wir C5? Die Antwort hängt davon ab, was der Nachweis überhaupt belegt.

C5 und ISO 27001

ISO 27001 prüft, ob ein Unternehmen ein Managementsystem betreibt. C5 prüft, ob ein bestimmter Cloud-Dienst konkrete Sicherheitskriterien erfüllt, inklusive Verantwortungsabgrenzung zwischen Anbieter und Kunde. Beides ergänzt sich. Ein ISO-27001-Zertifikat ist eine gute Grundlage für C5, aber ersetzt es nicht, weil der Katalog cloud-spezifische Anforderungen enthält, die ISO 27001 nicht nennt. Umgekehrt ersetzt ein C5-Testat nicht das ISMS im eigenen Haus. Die Kontrolle, mit der du Cloud-Dienste nutzt, steht in ISO 27001 A.5.23.

C5 und SOC 2

SOC 2 ist das US-Pendant, eine Prüfung von Service-Organisationen nach AICPA-Kriterien mit der Unterscheidung Type I und Type II. Wer US-Kunden hat, wird nach SOC 2 gefragt, wer deutsche Behörden oder Gesundheitsbetriebe beliefert, nach C5. Viele Anbieter lassen beide prüfen, weil sich Kontrollen und Nachweise überschneiden. Rechne trotzdem mit getrennten Prüfaufträgen.

C5 und EUCS

C5:2020 war die Basis für die Entwicklung des geplanten EUCS-Niveaus Substantial, und C5:2026 ist laut BSI inhaltlich und strukturell eng an die Ergebnisse der EUCS-Arbeiten angelehnt. Das heißt aber nicht, dass EUCS schon gilt. Stand Oktober 2026 ist das europäische Cloud-Zertifizierungsschema EUCS nicht per Durchführungsrechtsakt verabschiedet. Die politische Debatte dreht sich um Souveränitätsanforderungen auf der höchsten Stufe, und der Kommissionsvorschlag für einen Cybersecurity Act 2 vom Januar 2026 greift das Thema wieder auf. Für deine Planung heißt das: Verlass dich nicht auf EUCS, sondern auf C5, ISO 27001 und gegebenenfalls SOC 2.

C5 und die NIS2-Lieferkette

Wenn du unter NIS2 fällst, musst du die Sicherheit deiner Lieferkette im Risikomanagement abbilden. Die Richtlinie nennt in Artikel 21 Absatz 2 Buchstabe d die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern. Nach Absatz 3 sind dabei die spezifischen Schwachstellen der Anbieter und die Gesamtqualität ihrer Produkte und ihrer Cybersicherheitspraxis zu berücksichtigen.

Wie hilft dir ein C5-Testat dabei? Es liefert einen unabhängig geprüften Nachweis für einen wichtigen Cloud-Dienstleister, und weil C5:2026 NIS2 bei der Überarbeitung berücksichtigt, passt die Struktur gut zu dem, was du belegen musst. Es ersetzt aber nicht deine eigene Bewertung. Du entscheidest, ob der Scope zu deinem Einsatz passt, ob die Abweichungen für dich tragbar sind und ob die Kundenkontrollen bei dir umgesetzt sind. Wie sich die europäische Lieferkettensicherheit weiterentwickelt, zeigt der Artikel zum Cybersecurity Act 2 und der ICT-Lieferkettensicherheit.

Eine weitere Verbindung betrifft den Anbieterwechsel. Ein C5-Testat sagt wenig darüber, wie leicht du aus dem Dienst wieder herauskommst, und genau das regelt der EU Data Act mit Vorgaben zu Wechsel und Datenzugang. Frag beim Einkauf beides ab: Nachweis der Sicherheit und Exit-Fähigkeit.

Das ist keine Rechtsberatung. Klär Zweifelsfälle zu den Pflichten deiner Einrichtung mit deiner Rechtsabteilung oder Kanzlei.

Checkliste: C5-Testat prüfen

Diese Liste ist für Einkauf und ISB gedacht. Arbeite sie ab, bevor du einen Cloud-Dienst freigibst oder verlängerst.

Bericht und Prüfer

• Bericht liegt im Original vor, nicht nur ein Siegel oder eine Webseitenbehauptung
• Typ (1 oder 2) notiert, bei Typ 1 den Zeitpunkt für den Typ-2-Bericht festgelegt
• Katalogversion geklärt (C5:2020 oder C5:2026) und Lücken zur jeweils anderen Version bewertet
• Prüfer und Prüfgesellschaft sind benannt, Qualifikation plausibel

Geltungsbereich

• Der beauftragte Dienst steht in der Systembeschreibung
• Standorte und Regionen, in denen deine Daten liegen, sind abgedeckt
• Subdienstleister sind einbezogen oder ausdrücklich ausgeklammert, im zweiten Fall liegt ein Ersatznachweis vor
• Datenkategorien (Kundendaten, abgeleitete Daten, Kontodaten) sind im Bericht eingeordnet

Zeitraum und Aktualität

• Prüfzeitraum bei Typ 2 liegt nicht länger zurück als der Zeitraum, den deine Richtlinie zulässt
• Der nächste Bericht ist als Wiedervorlage im Dienstleister-Register eingetragen
• Bei Berichten, die nach dem 28. Februar 2027 enden, steht in der Systembeschreibung die Übergangsinformation

Kriterien und Abweichungen

• Basiskriterien vollständig geprüft, Zusatzkriterien gemäß deinen Anforderungen einbezogen
• Alle Abweichungen und Ausnahmen gelesen und für deinen Einsatz bewertet
• Bei kritischen Abweichungen Stellungnahme und Zeitplan der Behebung vom Anbieter eingeholt
• Nicht anwendbare Kriterien sind begründet

Ergänzende Kundenkontrollen

• Jede CUEC ist als eigene Maßnahme mit Verantwortlichem erfasst
• Umsetzungsstand je CUEC dokumentiert (offen, in Arbeit, umgesetzt)
• Die CUEC werden mindestens jährlich mit dem neuen Bericht abgeglichen

Vertrag und Exit

• Sicherheitsklauseln im Vertrag verweisen auf das Testat und die Pflicht, einen aktuellen Bericht zu liefern
• Exit- und Wechselregelung geklärt
• Die Bewertung ist im Dienstleister-Register dokumentiert und freigegeben

Häufige Fehler beim Umgang mit C5

Das Testat als Gütesiegel behandeln. Ein C5-Bericht ist ein Dokument mit Einschränkungen, kein Prädikat. Wer nur die Titelseite abheftet, übersieht Scope-Lücken und Abweichungen. Lies mindestens Systembeschreibung, Abweichungen und CUEC.

Den falschen Dienst absichern. Das Testat gilt für den geprüften Service, nicht für den Anbieter. Wenn du ein anderes Produkt aus derselben Familie nutzt, trägt der Bericht nicht. Gleich am Anfang abgleichen.

Typ 1 mit Typ 2 verwechseln. Typ 1 sagt, dass die Kontrollen auf dem Papier passen. Erst Typ 2 sagt, dass sie über Monate funktionierten. Für kritische Dienste ist das ein Unterschied, den du im Vertrag festschreiben solltest.

Die Kundenkontrollen ignorieren. Konfiguration und Berechtigungen liegen im Cloud-Betrieb zu einem großen Teil bei dir und nicht beim Anbieter. Die CUEC benennen genau diese Aufgaben. Ein Testat nimmt dir diese Arbeit nicht ab.

Als Anbieter zu spät mit der Umstellung beginnen. Typ-2-Zeiträume lassen sich nicht rückwirkend verschieben. Wer die neuen Kontrollen erst kurz vor dem Prüfzeitraum einführt, hat sie nicht lange genug im Betrieb, um sie wirksam nachweisen zu können.

Fazit: C5:2026 ist ein Prüfzeitraum, den du jetzt planst

Für Anbieter beginnt die Umstellung nicht beim Prüfer, sondern bei der Gap-Analyse und der Entscheidung, welche Zusatzkriterien deine Kunden erwarten. Für Kunden beginnt sie mit der Frage, welche deiner Cloud-Dienste ein Testat haben, nach welcher Version und mit welchem Scope. Nimm dir als nächsten Schritt deine fünf wichtigsten Cloud-Dienstleister vor und gleiche sie mit der Checkliste ab.

ISMS Lite hilft dabei auf der Verwaltungsseite: Du erfasst die Dienstleister mit Kritikalität und Verträgen, hältst die Bewertung und die Nachweise beim jeweiligen Dienstleister fest und siehst im Fristen-Dashboard, wann die Wiederbewertung ansteht.

Weiterführende Artikel

• Lieferantenbewertung mit Sicherheitsfragebogen: Vorlage und Vorgehen
• Auftragsverarbeitung: AVV prüfen und Dienstleister bewerten
• IT-Sicherheitsklauseln in Verträgen: Was du von Dienstleistern fordern solltest
• Cloud Act, Schrems II und dein ISMS: Was du über Datenzugriff durch US-Behörden wissen musst
• ISO 27001 Zertifizierung: Ablauf, Kosten und Aufwand für KMU