Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führt seinen Kriterienkatalog C5 seit April 2026 in der Fassung C5:2026. Ein Testat nach C5 Typ II bescheinigt die Wirksamkeit der Maßnahmen über einen Zeitraum und nicht nur zu einem Stichtag. Ein deutscher Managed-Cloud-Anbieter weist für seine Infrastruktur C5 Typ II, ISO 27001 und ISO 27001 auf Basis des IT-Grundschutzes aus (Herstellerangabe). Die Nachweise decken Rechenzentrum, Hardware und Betrieb der Plattform ab. Für die eigenen virtuellen Maschinen, deren Aktualisierung und die Rechtevergabe darin bleibt der Kunde zuständig. Für Versicherer und Banken heißt das in der Dienstleistersteuerung: Das Testat und die eigene Verantwortung werden getrennt dokumentiert. So gehen Praktiker vor: 1. Das Testat anfordern und prüfen, welche Systeme und welcher Zeitraum abgedeckt sind. 2. Eine Zuständigkeitsliste anlegen: Was liegt beim Anbieter, was beim eigenen Haus (Aktualisierungen, Rechte, Sicherung). 3. Das Ausfallverhalten je Anwendung klären. Nach Herstellerangabe startet ein Gast nach dem Ausfall eines Servers auf einem anderen Server neu, Erkennung und Übernahme dauern rund zwei Minuten. Anwendungen mit ständigen Schreibzugriffen oder harter Zeitvorgabe brauchen eine eigene Redundanz, zum Beispiel einen Datenbank-Cluster über zwei Gäste auf getrennten Servern. Bei unseren Kunden aus Versicherung und Bank hat sich bewährt, die Zuständigkeitsliste vor dem Umzug einer Anwendung zu erstellen und nicht erst im Prüfungsfall.