Cumplimiento cloud con el catálogo de criterios C5 del BSI

El BSI publicó el C5 por primera vez en 2016 y lo revisó en profundidad en 2020. El C5:2020 define 121 criterios en 17 áreas temáticas, desde la organización de la seguridad de la información, pasando por el personal y la seguridad física, hasta la criptografía. Los criterios básicos describen el nivel mínimo obligatorio y deben cumplirse en su totalidad; los criterios adicionales responden a necesidades de protección elevadas. Además, el catálogo exige transparencia: la descripción del sistema del proveedor revela parámetros del entorno como la jurisdicción competente, las ubicaciones de tratamiento y las obligaciones de divulgación frente a las autoridades, para que los clientes puedan valorar por sí mismos la idoneidad del servicio.

El C5 no es un esquema de certificación, sino un estándar de auditoría: auditores independientes –en Alemania, habitualmente auditores de cuentas– atestan el cumplimiento de los criterios conforme al International Standard on Assurance Engagements 3000 (ISAE 3000) y, a nivel nacional, según el IDW PS 860. El resultado no es un sello binario, sino un informe de auditoría exhaustivo con la descripción del sistema, los controles y los resultados de la auditoría. Esta lógica, procedente de la auditoría de cuentas anuales, ofrece un nivel de detalle muy superior al de un certificado, pero traslada el trabajo de evaluación al lector: el informe debe analizarse en cuanto al fondo.

Un informe de tipo 1 confirma que los controles del proveedor están adecuadamente diseñados e implantados en una fecha de referencia determinada: un examen puramente de diseño. Un informe de tipo 2 examina además la eficacia operativa de dichos controles durante un periodo de auditoría de, por lo general, entre tres y doce meses. Solo el examen de eficacia de tipo 2 ofrece conclusiones sólidas sobre la operación continuada; también el § 393 SGB V acepta desde el 1 de julio de 2025, por regla general, únicamente atestaciones de tipo 2. En la práctica, una atestación de tipo 1 sigue siendo, no obstante, un paso intermedio habitual hacia la primera atestación, ya que primero debe transcurrir el periodo de auditoría exigido para el tipo 2.

El C5 se desarrolló para el uso seguro del cloud por parte de la administración pública; para la administración federal está anclado en el estándar mínimo del BSI para el uso de servicios cloud externos, y en los procedimientos de contratación pública se exige con regularidad como acreditación. Desde el 1 de julio de 2024, el § 393 SGB V establece además: los prestadores de servicios sanitarios, las cajas de seguro de enfermedad y de dependencia y sus encargados del tratamiento solo pueden tratar datos de salud y datos sociales en el cloud si, entre otras condiciones, el tratamiento se realiza en Alemania, en la UE o en un Estado equivalente, la entidad que trata los datos dispone de un establecimiento en Alemania y existe una atestación C5 vigente sobre los criterios básicos. Desde el 1 de julio de 2025 debe tratarse de una atestación de tipo 2; para los sistemas comercializados por primera vez después del 30 de junio de 2025 basta, durante los primeros 18 meses, una atestación de tipo 1.

La seguridad en el cloud es una responsabilidad compartida: los informes de auditoría C5 contienen criterios correspondientes para clientes, es decir, controles que el usuario debe implantar por sí mismo para que los controles atestados del proveedor surtan efecto, por ejemplo en la gestión de identidades y permisos. El § 393 SGB V lo convierte en una obligación legal expresa: el uso del cloud solo es admisible si «se han implantado los criterios correspondientes para clientes contenidos en el informe de auditoría de la atestación». En la práctica, esto significa: solicitar y analizar el informe de auditoría, extraer las obligaciones del cliente, asignarlas a los propios controles y documentar su implantación de forma verificable. La atestación del proveedor, por sí sola, no hace conforme el uso del servicio.

ISO/IEC 27001 certifica el sistema de gestión de una organización, mientras que el C5 atesta el servicio cloud concreto: ambos se complementan, pero no se sustituyen entre sí; el BSI pone a disposición tablas de referencias cruzadas, entre otras con ISO/IEC 27001:2022. SOC 2 sigue la misma lógica basada en auditorías y, según el BSI, las auditorías C5 y SOC 2 pueden combinarse, de modo que la descripción del sistema y los resultados de auditoría pueden reutilizarse para los controles que se solapan. Tras la consulta pública del community draft, la nueva versión C5:2026 es definitiva desde finales de marzo de 2026: comprende 168 criterios en las mismas 17 áreas, incorpora temas como la gestión de contenedores, la seguridad de la cadena de suministro, la criptografía poscuántica, el confidential computing y la soberanía técnica, y se publica por primera vez en formato YAML legible por máquina. Su aplicación es obligatoria para las atestaciones con fechas de referencia o periodos de auditoría a partir del 1 de junio de 2027; se admite una aplicación anticipada.