# GC-06 Angaben zu Zertifizierungen oder Bescheinigungen

- Webseite: https://c5.patrickscheid.de/gc-06/

## Anforderung

Der Cloud-Anbieter macht in der Systembeschreibung des für die Entwicklung und den Betrieb des Cloud-Dienstes relevanten internen Kontrollsystems des Cloud-Anbieters nachvollziehbare und transparente Angaben zu vorhandenen und gültigen Zertifizierungen oder Bescheinigungen unabhängiger Dritter in Bezug auf die folgenden Aspekte des Cloud-Dienstes:

1. Konformität der Managementsysteme für Informationssicherheit, Betriebskontinuität und Qualität mit anwendbaren internationalen Standards;
2. Einhaltung der europäischen Datenschutz-Grundverordnung (DSGVO);
3. Angemessenheit der Ausgestaltung oder der Wirksamkeit von Kontrollen des internen Kontrollsystems in Bezug auf die anwendbaren Kriterien;
4. Zertifizierungen oder Bescheinigungen (Prüfberichte) gemäß branchenspezifischen Anforderungen von Cloud-Kunden; und
5. Zertifizierungen oder Bescheinigungen (Prüfberichte) in Bezug auf Umwelt-, Sozial- und Unternehmensführungs-Standards (engl. Environmental, Social and Governance, ESG).

Soweit für die Zertifizierung oder Bescheinigung anwendbar, werden folgende Angaben gemacht:

1. Ausstellungsdatum;
2. Ausstellende Organisation;
3. Anwendbarer Geltungsbereich; und
4. Datum oder Zeitraum der Gültigkeit oder Abdeckung.

Der Umfang der Angaben orientiert sich am Bedarf sachverständigen Personals der Cloud-Kunden, die Vorgaben zur Informationssicherheit machen, diese umsetzen oder die Umsetzung überprüfen und die Eignung des Cloud-Dienstes aus rechtlicher und regulatorischer Sicht beurteilen (bspw. IT, Compliance, Interne Revision).

## Hinweis

Die Transparenz kann zusätzlich durch Offenlegung von SLAs, die auf dem ISO/IEC 19086 oder vergleichbaren Standards basieren, erhöht werden

Die Konformität der Managementsysteme für Informationssicherheit, Betriebskontinuität und Qualität kann beispielsweise mit Zertifikaten gemäß ISO/IEC 27001, ISO 22301 und ISO 9001 nachgewiesen werden.

Beispiele für ESG-Berichterstattung sind die Berichterstattung gemäß der EU-Richtlinie zur Nachhaltigkeitsberichterstattung von Unternehmen (CSRD) und Zertifizierungen wie ISO 50001, ISO 14001 und das deutsche Umweltzeichen Blauer Engel.

Die Erfüllung der Rahmenbedingung setzt nicht voraus, dass der Cloud-Anbieter zu allen genannten Aspekten eine Zertifizierung oder Bescheinigung vorhält.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.