Dal 2016 il BSI utilizza il „Nuvola Informatica Conformità ”Criteria Catalogue" (C5), lo standard tedesco per la sicurezza Nuvola-Servizi. Con la versione C5:2026 è ora disponibile la seconda revisione sostanziale. Il catalogo comprende ora requisiti ampliati in 17 settori, nuovi criteri tecnici e un maggiore orientamento alla normativa europea.
Che cos’è lo standard BSI C5:2026?
Il C5 è un catalogo di criteri di verifica redatto dall’Ufficio federale per la sicurezza informatica (BSI) che definisce i requisiti minimi in materia di sicurezza delle informazioni per Nuvola-servizi. Nuvola- Grazie a questo catalogo, i fornitori possono dimostrare la propria conformità tramite un ente indipendente Audit da parte di un soggetto terzo qualificato. Il risultato è un rapporto di verifica accessibile al pubblico che fornisce alle imprese e alle autorità una base solida e comparabile per le loro decisioni relative alla Nuvola fornisce.
Sin dalla sua introduzione, il C5 è diventato uno standard di riferimento riconosciuto a livello internazionale. La norma C5:2026 si basa sulle solide fondamenta della C5:2020 e la integra con una serie di nuovi requisiti di ampia portata. Ciò rappresenta una risposta alle mutate condizioni tecniche, alle nuove minacce e alla crescente pressione normativa a livello europeo.
Il C5:2020 è servito da base per i requisiti di sicurezza del progetto europeo Nuvola-Schemi di certificazione EUCS (UE cybersecurity Schema di certificazione per Nuvola Servizi) a livello sostanziale. I requisiti elaborati in questo processo dall’ENISA e dal CEN/CENELEC costituiscono a loro volta la base tecnica della norma C5:2026, nella quale è inclusa anche la CSA Nuvola Controls Matrix v4, la norma ISO/IEC 27001:2022 e la direttiva NIS2 sono stati integrati.
Il C5:2026 non è quindi solo una norma nazionale, ma costituisce anche il fondamento della normativa europea Nuvola-Regolamentazione.
Le principali novità del C5:2026
Nel documento C5:2026, il BSI indica cinque punti chiave della revisione rispetto al C5:2020:
- Nuovi criteri tecnici
La gestione dei container, la gestione della catena di approvvigionamento, la crittografia post-quantistica e il confidential computing vengono regolamentati espressamente per la prima volta.
- Sovranità digitale
Il multi-tenancy e l'attuazione tecnica della sovranità vengono esaminati in modo più approfondito, affinché i clienti possano prendere decisioni informate e autonome in merito alla Nuvola-possono influire sull'utilizzo.
- Utilizzo più rigoroso dei dati
Il C5:2026 definisce con maggiore precisione a quali categorie di dati si applicano i singoli criteri (dati dei clienti, Nuvola Dati derivati dal servizio, dati dell'account). Questa precisazione è stata apportata sulla base dei numerosi riscontri ricevuti in merito al C5:2020.
- Nuova struttura dei criteri
I criteri sono ora costituiti da sottocriteri chiaramente definiti, al fine di garantire un’assegnazione più precisa ai sistemi di controllo interni e una maggiore chiarezza durante gli audit. La struttura si basa sull’EUCS.
- Classificazione esplicita dei criteri aggiuntivi
I criteri aggiuntivi vengono ora distinti esplicitamente a seconda che rendano più rigorosi i criteri di base esistenti (Sharpening) o che li integrino con nuovi requisiti (Complementing).
Le 17 aree di sicurezza del C5:2026
La norma C5:2026 suddivide i propri requisiti in 17 aree, integrate dalle cosiddette „General Conditions” – informazioni obbligatorie in materia di trasparenza relative alle condizioni quadro del Nuvola-del servizio.
Criteri di base e criteri aggiuntivi: chi è soggetto a quali regole?
Il catalogo distingue sistematicamente tra due livelli di criteri. I criteri di base definiscono il livello minimo di protezione per Nuvola-Servizi che trattano informazioni con un livello normale di protezione. Costituiscono l'ambito minimo obbligatorio di ogni audit C5.
Per le aziende con esigenze di protezione più elevate, ad esempio nella gestione di dati aziendali sensibili, dati personali o infrastrutture critiche, entrano in gioco i criteri aggiuntivi. Questi si suddividono in criteri di inasprimento (Sharpening), che sostituiscono i requisiti di base esistenti con disposizioni più rigorose, e criteri integrativi (Complementing), che introducono nuovi requisiti che vanno oltre quelli esistenti.
A tal proposito, il BSI dichiara: „Secondo il BSI, i criteri di base riflettono il livello minimo di sicurezza delle informazioni che un Nuvola-deve fornire il servizio quando Nuvola-I clienti lo hanno invitato a Elaborazione ”utilizzare informazioni con un livello di protezione standard.”
Le Condizioni Generali: la trasparenza come obbligo
Oltre ai criteri di sicurezza, la norma C5:2026 prescrive le cosiddette „General Conditions”: informazioni standardizzate che Nuvola-che i fornitori devono comunicare ai propri clienti. Tra questi figurano, tra l’altro:
- Informazioni sulla legge applicabile,
- Foro competente e sedi operative (GC-01),
- Informazioni su Disponibilità e gestione degli incidenti (GC-02),
- Parametri di ripristino per il funzionamento di emergenza (GC-03),
- Disposizioni relative alla cancellazione dei dati al termine del contratto (GC-04),
- Norme relative alla gestione delle richieste di informazioni da parte delle autorità investigative (GC-05) nonché
- Certificazioni e attestati in possesso (GC-06).
Questi requisiti di trasparenza non servono solo a informare i clienti. Creano inoltre una base di confronto uniforme tra i diversi fornitori certificati C5, facilitando così decisioni di acquisto ben fondate.
Informazioni importanti per i clienti: nuovi punti chiave dal punto di vista tecnico
Crittografia post-quantistica (CRY): la norma C5:2026 disciplina per la prima volta in modo esplicito i requisiti relativi alle procedure crittografiche in grado di resistere anche a futuri attacchi da parte dei computer quantistici. Nuvola-I fornitori devono essere in grado di dimostrare di disporre di un piano di migrazione per il passaggio ad algoritmi resistenti ai computer quantistici.
Confidential Computing (OPS-32/33): il documento C5:2026 introduce nuovi criteri per i processi in cui i dati vengono trattati anche durante la Elaborazione rimangano crittografati. Tra questi figurano i requisiti relativi alla Remote Attestation, ovvero l’affidabilità tecnicamente verificabile di un ambiente di esecuzione.
Gestione dei container (OPS-34/35): alla luce del diffuso utilizzo di carichi di lavoro containerizzati, la specifica C5:2026 definisce requisiti concreti in materia di politiche di sicurezza, gestione delle immagini dei container e monitoraggio durante l’esecuzione per l’intero ciclo di vita dei container.
Relazioni di audit di tipo 1 e di tipo 2
La conformità C5 viene accertata da revisori indipendenti in conformità all’ISAE 3000 o al suo equivalente tedesco IDW PS 860. Esistono due tipi di relazione:
- Una relazione di tipo 1 valuta l'adeguatezza dei controlli a una determinata data di riferimento ed è ammessa esclusivamente per le verifiche iniziali.
- Un rapporto di tipo 2 valuta inoltre l'effettiva efficacia dei controlli in un periodo definito compreso tra un minimo di tre e un massimo di dodici mesi. Per le verifiche periodiche è previsto esclusivamente il rapporto di tipo 2.
Di norma, il revisore viene nominato dal Nuvola-fornitore e non su incarico del cliente. Il BSI è il Audit non è coinvolto direttamente. Per aiutare i clienti nell’analisi strutturata dei rapporti C5, il BSI mette a disposizione uno strumento di analisi basato su Excel. Inoltre, il BSI pubblica sul proprio sito web bsi.bund.de/C5 una tabella di corrispondenza che mette in relazione i criteri C5 con altri standard quali SOC 2, ISO/IEC 27001 o CSA Nuvola Matrice dei controlli a confronto. Questa tabella è uno strumento pratico per le aziende che utilizzano più standard in parallelo.
C5:2026, vincolante a partire da giugno 2027
La norma C5:2026 dovrà essere applicata a partire dal 1° giugno 2027. A partire da tale data, i rapporti di tipo 1 dovranno basarsi sul nuovo standard e i rapporti di tipo 2 dovranno riferirsi a periodi di verifica che abbiano inizio a partire da tale data. È espressamente consentita un’applicazione anticipata. I fornitori che finora erano certificati secondo la norma C5:2020 devono adeguare di conseguenza i propri sistemi di controllo interni.
Suggerimento di lettura: Legge quadro KRITIS – Nuovi requisiti per i gestori di infrastrutture critiche
Valutare i criteri C5 in relazione al proprio caso specifico
Il C5:2026 offre alle aziende che Nuvola-Utilizzare o valutare i servizi, una base affidabile per la valutazione dei fornitori. Un certificato C5 attesta che un fornitore soddisfa i requisiti minimi. Le Condizioni Generali consentono tuttavia anche un confronto strutturato e oggettivo tra diversi fornitori. Il BSI raccomanda di richiedere regolarmente i rapporti C5, di valutarli in base al singolo caso d’uso e di concordarne la conformità a livello contrattuale.
Le aziende con esigenze di protezione più elevate dovrebbero inoltre esaminare in modo approfondito i criteri aggiuntivi (Additional Criteria): con l’aiuto di un consulente qualificato è possibile individuare quali di questi criteri siano rilevanti per il proprio caso specifico e quali fornitori li soddisfino già.
La stretta integrazione con gli standard europei (EUCS, NIS2, ISO/IEC 27001:2022) rende il C5:2026 a prova di futuro. Chi oggi punta su servizi conformi allo standard C5 è preparato al meglio per i futuri requisiti normativi. Per le autorità a livello federale si applica inoltre lo standard minimo del BSI relativo all’utilizzo di servizi esterni Nuvola-servizi che richiedono espressamente la conformità alla norma C5.
Contattateci!
Vorreste sapere quali requisiti della norma C5:2026 si applicano alla vostra Nuvola-che sono rilevanti per le infrastrutture o su come potete applicare lo standard nella scelta dei fornitori e nella gestione degli stessi? Vi supportiamo nell'analisi e nell'attuazione.
Domande importanti
Che cos’è lo standard BSI C5:2026?
Lo standard BSI C5:2026 è il nuovo Nuvola Informatica Conformità Catalogo dei criteri dell'Ufficio federale per la sicurezza informatica. Esso definisce i requisiti minimi in materia di sicurezza delle informazioni per Nuvola-servizi e funge da base strutturata per le aziende al fine di Nuvola-Fornitori, controlli di sicurezza, informazioni sulla trasparenza e Audit-valutare i rapporti in modo comparabile.
Perché la norma BSI C5:2026 è importante per le aziende nella scelta di una soluzione cloud?
La norma BSI C5:2026 aiuta le aziende a, Nuvola-servizi non solo in base alle funzionalità o al prezzo, ma anche in base a criteri di sicurezza affidabili e Conformità-valutare i criteri. Soprattutto in caso di dati personali, dati aziendali sensibili, riferimenti alle infrastrutture critiche (KRITIS), requisiti NIS 2 o elevate esigenze di protezione, un attestato C5 può costituire una prova importante nella gestione dei fornitori e dei rischi.
Cosa cambia con il C5:2026 rispetto al C5:2020?
La norma C5:2026 amplia lo standard precedente con nuovi criteri tecnici e una struttura più orientata a livello europeo. Tra gli aspetti nuovi o a cui viene data maggiore attenzione figurano, tra l’altro, la gestione dei container, la gestione della catena di approvvigionamento, la crittografia post-quantistica, il confidential computing, la sovranità digitale, categorie di dati più precise e una struttura più chiara dei criteri di base e aggiuntivi.
Qual è la differenza tra un rapporto C5 di tipo 1 e uno di tipo 2?
Un rapporto C5 di tipo 1 valuta se i controlli descritti siano adeguati a una determinata data di riferimento. Un rapporto di tipo 2 verifica inoltre se tali controlli siano stati effettivamente efficaci per un periodo compreso tra un minimo di tre e un massimo di dodici mesi. Per le verifiche periodiche, pertanto, è soprattutto il rapporto di tipo 2 a fornire indicazioni significative.
Le aziende devono limitarsi a richiedere i rapporti C5 o devono anche analizzarli?
Le aziende non dovrebbero limitarsi ad archiviare i rapporti C5, ma dovrebbero valutarli in base al proprio caso specifico. È importante verificare se i controlli esaminati siano adeguati alle proprie esigenze di protezione, ai dati trattati, ai requisiti normativi, ai rischi contrattuali e alle linee guida interne in materia di sicurezza. Particolarmente importanti sono le Condizioni Generali, i criteri aggiuntivi e le indicazioni relative alla cancellazione dei dati, alle richieste delle autorità, alle sedi e Disponibilità.
Chi assiste le aziende nella valutazione della norma BSI C5:2026, dei fornitori di servizi cloud e dei rischi legati ai fornitori?
2B Advice supporta le aziende nell'adempimento dei requisiti C5:2026 relativi a Nuvola-Infrastrutture, gestione dei fornitori, Protezione dei dati, Conformità e nella gestione dei rischi. Ciò comprende l’analisi dei rapporti C5, la valutazione dei criteri di base e aggiuntivi rilevanti, l’integrazione nella gestione dei rischi di terze parti, nonché la Documentazione da Nuvola- e i rischi legati ai fornitori.
German 
English 
Italian 
French