المعيار الأمني الألماني للخدمات السحابية.
يحدّد كتالوج معايير الامتثال للحوسبة السحابية (Cloud Computing Compliance Criteria Catalogue) الصادر عن BSI الحدّ الأدنى من متطلبات أمن المعلومات في السحابة. نرافقكم من تحليل الفجوات حتى شهادة التدقيق من النوع 2 (Typ-2-Testat) — وفق المعيار، وقابلة للفحص، وبشكل عملي.
- 2016نُشر لأول مرة، وخضع لمراجعة جوهرية في 2020
- 121معايير فحص مقسّمة إلى معايير أساسية وإضافية
- 17مجالات متطلبات من OIS حتى PCS
- § 393SGB V — إلزامي في قطاع الرعاية الصحية منذ يوليو 2025
- ISAE3000 / IDW PS 860 — فحص يجريه مدققو الحسابات
ما هو كتالوج معايير C5؟
المعيار الألماني للفحص والتصديق للخدمات السحابية — طوّره المكتب الاتحادي لأمن المعلومات (BSI) لجعل مستوى أمني مقبول عمومًا قابلًا للإثبات.
المعيار
يترجم C5 أطرًا راسخة مثل ISO/IEC 27001 و ISO/IEC 27017 و AICPA Trust Services Criteria إلى كتالوج معايير قابل للفحص وخاص بالسحابة — ويُعدّ مرجعًا لأمن السحابة في منطقة DACH.
المبدأ
يحدّد BSI ما يجب استيفاؤه — لا كيفية ذلك. ويقع التنفيذ الفعلي على عاتق مزوّد الخدمة السحابية، والفحص المستقل على عاتق مدققي الحسابات وفق ISAE 3000 (revised) أو IDW PS 860.
الالتزام
تشترط الجهات الاتحادية C5 وفق EVB-IT Cloud. ومنذ 1 يوليو 2025 تفرض المادة 393 من SGB V (DigiG) على الخدمات السحابية في قطاع الرعاية الصحية شهادة تدقيق C5 من النوع 2 أو دليل إثبات معادلًا.
إنه 17 مجالًا من المتطلبات في C5.
يتضمن كل مجال معايير أساسية ملموسة وقابلة للفحص، إضافةً إلى معايير إضافية اختيارية لمستويات حماية أعلى. وتتبع الاختصارات تسميات BSI وتشكّل أساس مصفوفة الضوابط لديكم.
تنظيم أمن المعلومات
الأدوار، والمسؤوليات، والتزام الإدارة
السياسات والتعليمات الأمنية
سياسات موثّقة، واعتمادها ومراجعتها
الموظفون
التوظيف، والتوعية، وإجراءات انتهاء الخدمة
إدارة الأصول
الجرد، والتصنيف، والتعامل
الأمن المادي
مراكز البيانات، والدخول، وحماية البيئة المحيطة
التشغيل الاعتيادي
السعة، والتسجيل، وإدارة الثغرات الأمنية
إدارة الهوية والصلاحيات
IAM، والوصول المميّز، و MFA
التشفير وإدارة المفاتيح
الخوارزميات، والمفاتيح، ودورة الحياة
أمن الاتصالات
تقسيم الشبكة، و TLS، والنقل
قابلية النقل والتشغيل البيني
التصدير، والمعايير، وإعادة البيانات
الشراء والتطوير والتغيير
Secure SDLC، وإدارة التغيير
مزوّدو الخدمات والمورّدون
مزوّدو الخدمات الفرعيون، والإدارة، والمراقبة
إدارة الحوادث الأمنية
الكشف، والاستجابة، والمتابعة اللاحقة
استمرارية الأعمال و BCM
BIA، والاستعادة، والاختبارات
والامتثال
المتطلبات القانونية والتنظيمية والتعاقدية
طلبات التحقيق من الجهات الحكومية
المشروعية، والشفافية، والإجراءات
أمن المنتجات
التوفير والتشغيل الآمن للخدمة السحابية
متطلبات الشفافية
الإفصاح عن المقاولين من الباطن، ومواقع تخزين البيانات، والأنظمة القانونية
النوع 1 أو النوع 2 — أيهما يناسب ومتى؟
يعرف C5 نوعين من التقارير. ويوصي BSI بتقرير النوع 2، لأن فحص الفعالية وحده يوفّر تقييمًا ذا دلالة على امتداد فترة زمنية.
فحص الملاءمة
يقيّم في تاريخ محدد ما إذا كان نظام الرقابة الداخلية المرتبط بالخدمة مناسبًا لاستيفاء معايير C5. وهو مفيد كفحص أول عند البدء بالمعيار — ولا يُقصد به وفق BSI إعداد تقارير متكررة.
تدقيق الفعالية
يقيّم على امتداد فترة محددة (عادةً 6–12 شهرًا) ما إذا كانت الضوابط لم تُصمَّم بشكل ملائم فحسب، بل نُفّذت أيضًا بفعالية. وهو دليل الإثبات الذي يتوقعه السوق — ومنذ DigiG المشرّع أيضًا.
في خمس خطوات إلى دليل إثبات C5.
نرافقكم كشريك في GRC وأمن المعلومات بشكل منظّم عبر جميع المراحل — من أول تحليل للفجوات حتى شهادة التدقيق من مدقق الحسابات.
لمن يُعدّ C5 ذا صلة؟
يخصّ C5 مزوّدي الخدمات السحابية الذين يتعيّن عليهم إثبات شهادة تدقيق، وكذلك مستخدمي السحابة من القطاعات المنظَّمة الذين يطالبون مزوّديهم بشهادة تدقيق.
مزوّدو الخدمات السحابية
مزوّدو SaaS و PaaS و IaaS الراغبون في إثبات نضجهم الأمني أمام العملاء والمدققين والجهات الرقابية.
قطاع الرعاية الصحية
المستشفيات وصناديق التأمين الصحي ومقدّمو الخدمات وفق المادة 393 من SGB V — مع التزام قانوني بالإثبات لمزوّدي خدماتهم السحابية منذ يوليو 2025.
القطاع العام
الجهات الاتحادية وجهات الولايات والبلديات التي تشتري خدمات سحابية خارجية وفق EVB-IT Cloud والحدّ الأدنى من معايير BSI.
القطاعات المنظَّمة
مزوّدو الخدمات المالية وشركات الطاقة وشركات KRITIS التي تعتمد C5 كمكمّل لـ ISO 27001 أو DORA أو NIS2.
BSI C5 — تسجيل الندوة الإلكترونية
نظرة معمّقة على متطلبات BSI C5 وأنواع شهادات التدقيق والتنفيذ العملي — كتسجيل لندوة إلكترونية مباشرة.
أبرز الشائعة حول C5.
هل C5 شهادة اعتماد؟
لا. إن C5 معيار تصديق. يفحص مدقق حسابات مستقل وفق ISAE 3000 (revised) أو IDW PS 860 ويُصدر تقرير فحص مع شهادة تدقيق. ولا يجري BSI نفسه أي تدقيقات ولا يمنح شهادات.
ما علاقة C5 بـ ISO 27001؟
تشكّل شهادة ISO/IEC 27001 القائمة أساسًا جيدًا جدًا. إذ تشير كثير من معايير C5 مباشرة إلى ضوابط Annex A. ويوفّر BSI جداول إحالة مرجعية متقاطعة يمكن من خلالها تحديد الفجوات بين نظام ISMS ومتطلبات C5 الخاصة بالسحابة بكفاءة.
ما الفرق بين المعايير الأساسية والمعايير الإضافية؟
للحصول على شهادة تدقيق C5 يجب استيفاء جميع المعايير الأساسية المنطبقة بالكامل — فهي تشكّل الحدّ الأدنى. أما المعايير الإضافية فهي اختيارية وتعالج احتياجات الحماية المرتفعة. وكثيرًا ما يطالب بها صراحةً العملاء ذوو أعباء العمل الحساسة بشكل خاص.
كم يستغرق الطريق إلى أول شهادة تدقيق من النوع 2؟
واقعيًا من 9 إلى 18 شهرًا، بحسب مستوى نضج نظام ISMS القائم. يخصَّص منها عادةً 3–6 أشهر لتحليل الفجوات والتنفيذ، و6–12 شهرًا لفترة الفحص الخاصة بفحص الفعالية، إضافةً إلى الفحص الفعلي وإعداد التقرير.
ما الذي يتغيّر مع C5:2026؟
يبني C5:2026 اللاحق على C5:2020 ويُكمل المعايير بإشارات منها إلى NIS2 و CEN/TS 18026 و AICPA Trust Services Criteria المحدّثة. وتحتفظ الخدمات السحابية الحاصلة على شهادة تدقيق بوضعها — وتسري المعايير الجديدة على فترات الفحص الجديدة وفق الفترات الانتقالية لـ BSI.
هل يسري C5 أيضًا إذا استعنّا بمزوّدي خدمات فرعيين؟
نعم — وهو يعالج هذه الحالة صراحةً. فالضوابط التي تقع ضمن نطاق مسؤولية مزوّدي الخدمات الفرعيين (مثل مزوّدي IaaS لخدمات SaaS) تُدرج في وصف النظام بوصفها Complementary Subservice Organization Controls. ويحدّد القسم 3.4.5 من C5:2020 التفاصيل.
«C5 ليس علامة اختيار في قائمة — بل هو دليل الثقة الذي يتوقعه العملاء المنظَّمون اليوم من مزوّدي الخدمات السحابية. نبني نظام الرقابة الداخلية بحيث يصمد في التدقيق — لا أن يجتازه شكليًا فحسب.»
هل أنتم مستعدون لمعيار C5؟
30 دقيقة مع Valeri Milke: نوضّح نقطة انطلاقكم، ونقيّم بنيتكم السحابية، ونعرض الطريق الواقعي إلى شهادة التدقيق من النوع 2 — بما في ذلك تقدير الجهد والجدول الزمني.
احجزوا موعدًا