الامتثال السحابي مع كتالوج معايير BSI ‏C5

نشر BSI معيار C5 لأول مرة عام 2016 ونقّحه جذريًا عام 2020. يحدد C5:2020 ‏121 معيارًا في 17 مجالًا موضوعيًا – من تنظيم أمن المعلومات مرورًا بالموظفين والأمن المادي وصولًا إلى التشفير. تصف المعايير الأساسية الحد الأدنى الإلزامي ويجب استيفاؤها بالكامل؛ وتعالج المعايير الإضافية احتياجات الحماية المرتفعة. إلى جانب ذلك يتطلب الكتالوج الشفافية: يكشف وصف النظام لدى المزوّد عن معاملات البيئة مثل الاختصاص القضائي ومواقع المعالجة والتزامات الإفصاح تجاه السلطات، كي يتمكن العملاء من تقدير ملاءمة الخدمة بأنفسهم.

C5 ليس مخططًا للحصول على الشهادة، بل مقياس للتدقيق: يشهد مدققون مستقلون – في ألمانيا عادةً مدققو حسابات – على استيفاء المعايير وفق International Standard on Assurance Engagements 3000 ‏(ISAE 3000)، ووطنيًا وفق IDW PS 860. والنتيجة ليست ختمًا ثنائيًا، بل تقرير تدقيق مفصّل يتضمن وصف النظام والضوابط ونتائج التدقيق. هذا المنطق المستمد من تدقيق القوائم المالية يوفّر عمقًا تفصيليًا أكبر بكثير من شهادة الاعتماد – لكنه ينقل عبء التقييم إلى القارئ: إذ يجب تقييم التقرير من حيث المضمون.

يؤكد تقرير النوع 1 أن ضوابط المزوّد مصممة ومُنشأة بشكل ملائم في تاريخ مرجعي محدد – وهو تدقيق للتصميم فقط. ويدقق تقرير النوع 2 إضافةً إلى ذلك في فعالية هذه الضوابط على مدى فترة تدقيق تتراوح في العادة بين ثلاثة واثني عشر شهرًا. ولا يقدّم بيانات موثوقة عن التشغيل الجاري إلا تدقيق الفعالية وفق النوع 2؛ كما لا تقبل المادة 393 من SGB V منذ 1 يوليو 2025 من حيث المبدأ إلا شهادات النوع 2. ومع ذلك تُعد شهادة النوع 1 في الممارسة خطوة وسيطة معتادة نحو الشهادة الأولى، لأنه يجب أولًا اجتياز فترة التدقيق الخاصة بالنوع 2.

طُوّر C5 للاستخدام الآمن للسحابة في الإدارة العامة؛ وهو مرسّخ للإدارة الاتحادية عبر المعيار الأدنى لـ BSI لاستخدام الخدمات السحابية الخارجية، كما يُطلب بانتظام كدليل إثبات في إجراءات المناقصات. ومنذ 1 يوليو 2024 تشترط المادة 393 من SGB V أيضًا: لا يجوز لمقدّمي الخدمات وصناديق التأمين الصحي وتأمين الرعاية والجهات المعالِجة للبيانات بتكليف منهم معالجة البيانات الصحية والاجتماعية عبر السحابة إلا إذا تمت المعالجة، من بين أمور أخرى، داخل البلاد أو في الاتحاد الأوروبي أو في دولة مكافئة، وكان للجهة المعالِجة للبيانات فرع داخل البلاد، وتوفرت شهادة C5 حديثة تشمل المعايير الأساسية. ومنذ 1 يوليو 2025 يجب أن تكون هذه شهادة من النوع 2؛ وبالنسبة للأنظمة المطروحة في السوق لأول مرة بعد 30 يونيو 2025 تكفي شهادة من النوع 1 خلال الأشهر الـ 18 الأولى.

أمن السحابة مسؤولية مشتركة: تتضمن تقارير تدقيق C5 معايير مقابلة خاصة بالعملاء – وهي ضوابط يجب على المستخدم تطبيقها بنفسه كي تؤتي ضوابط المزوّد المشهود لها أثرها، مثلًا في إدارة الهويات والصلاحيات. وتجعل المادة 393 من SGB V من ذلك التزامًا قانونيًا صريحًا: فاستخدام السحابة لا يجوز إلا إذا «طُبّقت المعايير المقابلة الخاصة بالعملاء الواردة في تقرير تدقيق الشهادة». وهذا يعني في الممارسة: طلب تقرير التدقيق وتقييمه، واستخراج التزامات العملاء، وربطها بالضوابط الخاصة بكم، وتوثيق التطبيق بشكل قابل للإثبات. فشهادة المزوّد وحدها لا تجعل الاستخدام متوافقًا.

تمنح ISO/IEC 27001 الشهادة لنظام الإدارة في المؤسسة، بينما يشهد C5 على الخدمة السحابية المحددة – ويكمّل كلٌّ منهما الآخر دون أن يحلّ محله؛ ويوفّر BSI جداول مرجعية متقاطعة منها ما يتعلق بـ ISO/IEC 27001:2022. ويتبع SOC 2 المنطق نفسه القائم على التدقيق، ووفقًا لـ BSI يمكن الجمع بين تدقيقات C5 وSOC 2 بحيث يُعاد استخدام وصف النظام ونتائج التدقيق للضوابط المتداخلة. وأصبح الإصدار الجديد C5:2026 نهائيًا منذ نهاية مارس 2026 بعد التعليق العام على Community Draft: يضم 168 معيارًا في 17 مجالًا كما في السابق، ويضيف موضوعات مثل إدارة الحاويات وأمن سلسلة التوريد والتشفير ما بعد الكمّي وConfidential Computing والسيادة التقنية، ويصدر لأول مرة بصيغة YAML قابلة للقراءة آليًا. ويجب تطبيقه إلزاميًا على الشهادات ذات التواريخ المرجعية أو فترات التدقيق اعتبارًا من 1 يونيو 2027؛ ويجوز تطبيقه في وقت أبكر.