BSI C5
BSI C5, le Cloud Computing Compliance Criteria Catalogue, est un catalogue d’exigences de sécurité cloud publié par l’Office fédéral allemand de la sécurité des technologies de l’information. Le BSI a publié C5 pour la première fois en 2016 afin de fournir des critères d’évaluation des services cloud. Un fournisseur peut mandater un auditeur indépendant pour examiner son service et produire un rapport d’attestation.
Les clients cloud utilisent ces rapports pour comprendre les contrôles de sécurité d’un service envisagé. Les banques allemandes peuvent utiliser des rapports tiers dans leur audit interne, sous les conditions fixées par BaFin. Le rapport couvre un service et un périmètre définis, le client devant donc encore vérifier leur adéquation à ses exigences.
Contenu d’une attestation C5
Le catalogue comporte des critères de base respectés par chaque fournisseur attesté et des critères supplémentaires pour les besoins de protection supérieurs. Le fournisseur décrit son système, puis un commissaire aux comptes le teste selon la norme d’assurance ISAE 3000 (révisée). Un rapport de type 1 confirme l’adéquation de la conception des contrôles à un instant donné. Un rapport de type 2 teste aussi leur fonctionnement sur une période.
L’attestation s’est étendue à d’autres secteurs que celui de la finance. Selon Rödl & Partner, le droit allemand de la santé exige depuis le 1 juillet 2025 une attestation C5 de type 2 pour les services cloud traitant des données de santé.
Comment BaFin et la BCE traitent les rapports C5
La communication de BaFin sur l’externalisation cloud de février 2024 (en allemand) permet à l’audit interne d’utiliser des certificats et rapports d’audit tiers, citant ISO 27001, BSI C5, SOC 2 et la CSA Cloud Controls Matrix. Pour une externalisation importante, l’audit interne ne peut s’appuyer uniquement sur eux. Il lit le rapport complet, au-delà du certificat, et vérifie que le périmètre couvre les services réellement utilisés par la banque.
Le guide sur l’externalisation cloud de la BCE suit la même ligne pour les banques supervisées: l’audit interne ne peut se fier uniquement aux certifications. Un rapport C5 réduit donc le travail d’audit propre à la banque sans le remplacer.
Les ajouts de C5:2026
Le BSI a révisé son catalogue sous la version C5:2026. Selon IT Finanzmagazin (en allemand), cette version couvre pour la première fois la gestion des conteneurs, la cryptographie post-quantique et l’informatique confidentielle, et correspond au schéma cloud européen EUCS, à la CSA Cloud Controls Matrix v4, à ISO 27001:2022 et à NIS2. Pour les banques, les critères cryptographiques rejoignent leurs propres plans de migration, voir la cryptographie post-quantique en finance.
Prochains événements sur l’infrastructure numérique
BSI C5 est-il une certification?
Le BSI publie les critères sans certifier lui-même les fournisseurs. Un commissaire aux comptes teste le fournisseur et délivre un rapport d’attestation, le terme correct étant donc attestation, et non certificat. Les clients lisent ensuite le rapport pour connaître les critères testés et leurs résultats.
Quelle différence entre BSI C5 et ISO 27001?
ISO 27001 certifie le système de management de la sécurité de l’information de toute organisation. C5 concerne les services cloud, leur fixe des critères détaillés, et son rapport de type 2 décrit chaque test et son résultat. Une banque obtient davantage de détails d’un rapport C5 que d’un certificat ISO, et les grands fournisseurs cloud détiennent les deux.
À quel pays BSI C5 est-il destiné?
C5 vient d’Allemagne et est publié par l’agence fédérale allemande de sécurité informatique. Des fournisseurs étrangers l’utilisent pour vendre aux clients allemands de la finance et du secteur public, et Amazon Web Services et Microsoft Azure publient des rapports C5 pour leurs services.
BSI C5 et Finance Loop
Finance Loop réunit les auditeurs internes et responsables d’externalisation des banques allemandes avec les fournisseurs cloud dont ils lisent les rapports C5, dans l’axe Infrastructure numérique & souveraineté. Finance Loop propose à un cabinet d’audit ou fournisseur un webinaire sponsorisé pour présenter aux banques les changements de C5:2026.
Finance Loop est un réseau professionnel qui favorise l’usage institutionnel des technologies émergentes en finance, comme l’IA, les paiements numériques, le cloud et les solutions blockchain. Finance Loop aide ses membres à développer leurs compétences et leurs réseaux personnels dans ces domaines: Investissement & actifs numériques, Paiements & monnaie numérique, Infrastructure numérique & souveraineté et Risque & conformité.