En C5-attestation er en revisorerklæring om navngivne cloudtjenester, målt mod et kriteriekatalog fra det tyske cybersikkerhedsagentur BSI. Den er ikke et certifikat, den gælder kun de tjenester og regioner, der er auditeret, og en konklusion uden forbehold betyder ikke, at revisor ikke har fundet afvigelser.
Danske købere møder C5, når en europæisk cloududbyder sender sin attestation som svar på et spørgsmål om dokumentation. Artiklen forklarer, hvordan den læses fra modtagerens side. Den bygger på BSI’s egen side med spørgsmål og svar om C5.
Hvad C5 er
C5 er BSI’s kriteriekatalog. BSI beskriver det som en teststandard, der fastsætter minimumskravene til sikker cloud computing. BSI udvikler kataloget, men tester ikke selv tjenester og afgiver ikke attestationer. Kataloget er udgivet under en åben licens.
Der findes i dag to udgaver. C5:2020 har 121 kriterier. C5:2026 har 168 kriterier fordelt på 17 emneområder, fx personale, fysisk sikkerhed og kryptografi med nøglehåndtering, og skelner mellem basiskriterier og tillægskriterier. Den nye udgave bruges ved type 1-erklæringer pr. en dato efter 1. juni 2027 og ved type 2-perioder, der begynder 1. juni 2027 eller senere. Den må tages i brug før.
Attestation og ikke certifikat
BSI skriver direkte, at der i dag ikke findes en certificeringsprocedure for C5, og at der derfor ikke findes C5-certifikater. En C5-attestation er en revisionskonklusion i form af en rapport efter en audit af en eller flere cloudtjenester, hvor mindst alle basiskriterier er auditeret. Auditten følger ISAE 3000 eller et nationalt sidestykke, og kun revisorer må afgive attestationen.
BSI forklarer også forskellen på de to former. Ved et certifikat er der tre parter: den auditerede, auditor og et certificeringsorgan, der gennemgår rapporten, før certifikatet udstedes. Ved en attestation er der to: den auditerede og den revisor, den auditerede selv har valgt og betaler. Rapporten gennemgås ikke af et uafhængigt organ. Ifølge BSI er den kritiske vurdering af rapporten og dens kvalitet derfor kundens ansvar.
Det er et klart budskab til en køber. Attestationen er skrevet til jer, og det er jer, der skal læse den.
Hvad den dækker
Tjenesterne. Attestationen gælder ikke udbyderen som helhed. Den gælder de auditerede tjenester i udbyderens definerede geografiske regioner. Find listen, og se, om de tjenester, I bruger, står på den, og om jeres region er med.
Perioden. Ifølge BSI bekræfter en attestation overholdelse over en periode på 3 til 12 måneder bagud. Kunder vil typisk have bevis for hele den periode, de bruger tjenesten. Se derfor efter, om der er et hul mellem to attestationsperioder.
Systembeskrivelsen. De generelle betingelser i C5 kræver bl.a. en detaljeret systembeskrivelse, oplysning om, hvor databehandlingen finder sted, og hvilken jurisdiktion der gælder, samt andre auditresultater eller certifikater for tjenesten. Det er her, I finder oplysninger om placering og retsforhold.
Underleverandørerne. Kriterierne skal føres videre til underleverandører, og de kontroller, underleverandørerne forudsættes at udføre, skal stå i rapporten. Læs dem som en del af kæden, se er underleverandørens kontroller med i erklæringen.
Konklusionen og afvigelserne
Konklusionen kan være med eller uden forbehold, alt efter hvor alvorlige afvigelserne er. Ved mindre afvigelser kan den være uden forbehold. BSI understreger, at en konklusion uden forbehold ikke er det samme som, at der ingen afvigelser er. Ved afvigelser skal rapporten sige, hvad der gøres ved dem, og om de også forekom i forrige periode.
Læs derfor hver afvigelse, og spørg: angår den en tjeneste eller et område, vi bruger? Er den gentaget fra sidste periode? Gentagne afvigelser er et emne for opfølgning med udbyderen.
Jeres egne pligter
Ifølge BSI peger attestationen på det, kunden selv skal bidrage med, og sikker brug af en cloudtjeneste hviler derfor også på kunden. BSI lægger desuden vurderingen af, om basiskriterierne rækker til jeres beskyttelsesbehov, hos jer. Find de kontroller, rapporten forudsætter hos jer, og giv dem en ejer, som beskrevet i komplementære brugerkontroller.
Får I rapporten?
Rapporten ejes af udbyderen, og BSI skriver, at kunden i princippet ikke har krav på den. Samtidig regner BSI med, at udbyderen normalt selv har interesse i at dele den, og råder kunden til altid at spørge efter den. Siger udbyderen nej, står mellemvejene i leverandøren vil ikke udlevere dokumentation.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen læser en omfattende rapport, finder jeres tjenester og regioner, går afvigelserne igennem og skriver de forudsatte kundekontroller op. Det er arbejde, som BSI selv lægger hos kunden.
Behandler I attestationen som et certifikat, overser I, at ingen uafhængig part har gennemgået rapporten, og at konklusionen kan dække over afvigelser. Bruger I tjenester uden for attestationens liste, har I ingen dokumentation for dem.
Det skal I lade være med
- At kalde attestationen et certifikat · BSI skriver, at der ikke findes C5-certifikater.
- At gå ud fra, at alle udbyderens tjenester er med · attestationen gælder navngivne tjenester og regioner.
- At læse en ren konklusion som fravær af afvigelser · BSI siger udtrykkeligt det modsatte.
Det skal auditten kunne vise
- ☐ Attestationens udgave af C5, type og periode.
- ☐ At de tjenester og regioner, I bruger, står på listen.
- ☐ Oplysningerne om placering og jurisdiktion fra systembeskrivelsen.
- ☐ Afvigelser, og om de er gentaget fra forrige periode.
- ☐ De kontroller, rapporten forudsætter hos jer, med ejer.
Kilder
- BSI, C5 FAQ, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find listen over auditerede tjenester i udbyderens attestation, og sæt kryds ved dem, I bruger.
Læs også: Audit af en leverandør, der er langt større end jer · Certifikatet slået op
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
