La conformité cloud avec le catalogue de critères C5 du BSI

Le BSI a publié le C5 pour la première fois en 2016 et l'a profondément remanié en 2020. Le C5:2020 définit 121 critères répartis en 17 domaines – de l'organisation de la sécurité de l'information à la cryptographie, en passant par le personnel et la sécurité physique. Les critères de base décrivent le niveau minimal obligatoire et doivent être intégralement satisfaits ; les critères additionnels répondent à des besoins de protection accrus. Le catalogue exige par ailleurs de la transparence : la description du système du fournisseur divulgue des paramètres de contexte tels que la juridiction compétente, les lieux de traitement et les obligations de divulgation envers les autorités, afin que les clients puissent juger eux-mêmes de l'adéquation du service.

Le C5 n'est pas un schéma de certification, mais un référentiel d'audit : des auditeurs indépendants – en Allemagne, généralement des commissaires aux comptes – attestent du respect des critères selon l'International Standard on Assurance Engagements 3000 (ISAE 3000) et, au niveau national, selon l'IDW PS 860. Le résultat n'est pas un label binaire, mais un rapport d'audit détaillé comprenant la description du système, les contrôles et les résultats de l'audit. Cette logique issue de l'audit des comptes offre un niveau de détail nettement supérieur à celui d'un certificat – mais transfère le travail d'évaluation au lecteur : le rapport doit être analysé sur le fond.

Un rapport de type 1 confirme que les contrôles du fournisseur sont conçus et mis en place de manière appropriée à une date de référence donnée – un simple examen de conception. Un rapport de type 2 vérifie en outre l'efficacité de ces contrôles sur une période d'audit allant en général de trois à douze mois. Seul l'examen d'efficacité de type 2 fournit des conclusions fiables sur l'exploitation courante ; depuis le 1er juillet 2025, le § 393 SGB V n'accepte lui aussi, en principe, plus que des attestations de type 2. Dans la pratique, une attestation de type 1 reste néanmoins une étape intermédiaire courante vers la première attestation, car la période d'audit requise pour le type 2 doit d'abord s'écouler.

Le C5 a été développé pour une utilisation sécurisée du cloud par l'administration publique ; pour l'administration fédérale, il est ancré dans le standard minimal du BSI relatif à l'utilisation de services cloud externes, et il est régulièrement exigé comme justificatif dans les procédures de passation de marchés. Depuis le 1er juillet 2024, le § 393 SGB V impose en outre : les prestataires de soins, les caisses d'assurance maladie et de dépendance ainsi que leurs sous-traitants ne peuvent traiter des données de santé et des données sociales dans le cloud que si, entre autres, le traitement a lieu en Allemagne, dans l'UE ou dans un État équivalent, si l'entité qui traite les données dispose d'un établissement en Allemagne et si une attestation C5 à jour portant sur les critères de base est disponible. Depuis le 1er juillet 2025, il doit s'agir d'une attestation de type 2 ; pour les systèmes mis sur le marché pour la première fois après le 30 juin 2025, une attestation de type 1 suffit pendant les 18 premiers mois.

La sécurité du cloud est une responsabilité partagée : les rapports d'audit C5 contiennent des critères correspondants pour les clients – des contrôles que l'utilisateur doit lui-même mettre en œuvre pour que les contrôles attestés du fournisseur produisent leurs effets, par exemple dans la gestion des identités et des habilitations. Le § 393 SGB V en fait une obligation légale explicite : l'utilisation du cloud n'est licite que si « les critères correspondants pour les clients figurant dans le rapport d'audit de l'attestation sont mis en œuvre ». Concrètement, cela signifie : demander et analyser le rapport d'audit, extraire les obligations du client, les rattacher à ses propres contrôles et documenter leur mise en œuvre de manière vérifiable. L'attestation du fournisseur ne suffit pas, à elle seule, à rendre l'utilisation conforme.

ISO/IEC 27001 certifie le système de management d'une organisation, tandis que le C5 atteste le service cloud concret – les deux se complètent sans se substituer l'un à l'autre ; le BSI met à disposition des tables de correspondance, notamment avec ISO/IEC 27001:2022. SOC 2 suit la même logique fondée sur l'audit et, selon le BSI, les audits C5 et SOC 2 peuvent être combinés, de sorte que la description du système et les résultats d'audit peuvent être réutilisés pour les contrôles qui se recoupent. Après consultation publique du community draft, la refonte C5:2026 est finalisée depuis fin mars 2026 : elle comprend 168 critères répartis toujours en 17 domaines, ajoute des thèmes tels que la gestion des conteneurs, la sécurité de la chaîne d'approvisionnement, la cryptographie post-quantique, le confidential computing et la souveraineté technique, et paraît pour la première fois dans un format YAML lisible par machine. Elle est d'application obligatoire pour les attestations dont la date de référence ou la période d'audit commence à partir du 1er juin 2027 ; une application anticipée est admise.