Ein C5-Testat hat auch Pflichten für den Kunden

Die Praxissoftware soll in die Cloud. Der Anbieter schickt ein C5-Testat, Typ 2, aktuell, mit Prüfbericht als PDF. Der Einkauf hakt den Punkt ab, die Geschäftsführung unterschreibt. Im Prüfbericht steht ein Kapitel, das niemand gelesen hat: die korrespondierenden Kriterien für Kunden.

Was § 393 SGB V verlangt

§ 393 SGB V regelt, unter welchen Bedingungen Leistungserbringer, Kranken- und Pflegekassen und ihre Auftragsverarbeiter Sozial- und Gesundheitsdaten im Wege des Cloud-Computing verarbeiten dürfen. Neben dem Ort der Verarbeitung und angemessenen technischen und organisatorischen Maßnahmen verlangt Absatz 3, dass

„ein aktuelles C5-Testat der datenverarbeitenden Stelle im Hinblick auf die C5-Basiskriterien für die im Rahmen des Cloud-Computing-Dienstes eingesetzten Cloud-Systeme und die eingesetzte Technik vorliegt und 3. die im Prüfbericht des Testats enthaltenen, korrespondierenden Kriterien für Kunden umgesetzt sind.“

Nummer 3 richtet sich nicht an den Anbieter. Sie richtet sich an den, der den Dienst nutzt. Das Testat bestätigt, dass der Anbieter seinen Teil erfüllt, unter der Annahme, dass der Kunde seinen Teil erfüllt. Welcher Teil das ist, steht im Prüfbericht.

Absatz 4 regelt, welches Testat als aktuell gilt: „Ab dem 1. Juli 2025 gilt als aktuelles C5-Testat im Sinne des Absatzes 3 Nummer 2 ein aktuelles C5-Typ2-Testat.“ Ein Typ-1-Bericht bezieht sich auf einen Zeitpunkt, ein Typ-2-Bericht auf einen Zeitraum. Für Systeme, die nach dem 30. Juni 2025 erstmals in Verkehr gebracht wurden, reicht in den ersten 18 Monaten noch ein Typ-1-Testat.

Was korrespondierende Kriterien sind

Viele Kontrollen in der Cloud funktionieren nur, wenn beide Seiten mitspielen. Der Anbieter stellt eine Mehrfaktor-Anmeldung bereit, der Kunde muss sie für seine Konten einschalten. Der Anbieter protokolliert Zugriffe, der Kunde muss die Protokolle auswerten. Der Anbieter trennt Mandanten, der Kunde muss Berechtigungen in seinem Mandanten pflegen. Solche Pflichten weist der C5 dem Kunden ausdrücklich zu, und der Prüfbericht listet sie auf.

Wer diese Liste nie gelesen hat, kann nicht belegen, dass er sie umsetzt. Und damit fehlt nach § 393 Absatz 3 Nummer 3 eine Voraussetzung für die Cloud-Nutzung, auch wenn das Testat des Anbieters einwandfrei ist.

Was ab Juni 2027 dazukommt

Das BSI hat den Katalog als C5:2026 überarbeitet. Laut den FAQ des BSI gilt: „Die Kriterien des C5:2026 sind für alle Testierungen mit spezifischem Datum (Typ 1 Berichte) oder für Testierungen über einen Zeitraum (Typ 2 Berichte) ab dem 1. Juni 2027 anzuwenden.“ Für Kunden heißt das: Mit dem nächsten Prüfbericht kann sich auch die Liste der korrespondierenden Kriterien ändern. Die Prüfung, ob man sie erfüllt, ist also keine einmalige Aufgabe.

Was zu tun ist

• Den Prüfbericht anfordern, nicht nur das Testat. Die korrespondierenden Kriterien stehen im Bericht, nicht auf der Bescheinigung.
• Die Kriterien zuordnen. Für jedes eine Person, die es im eigenen Haus umsetzt, und einen Nachweis, dass es umgesetzt ist.
• Den Typ und den Zeitraum prüfen. Typ 2, und endet der Prüfzeitraum nicht schon so lange zurück, dass „aktuell“ fraglich ist?
• Bei jedem neuen Bericht wiederholen. Spätestens mit dem Wechsel auf den C5:2026.

Wie isidaten das abbildet

Im Cloud-Register von isidaten steht je Cloud-Dienst, welche Nachweise vorliegen, darunter BSI C5. Für Anbieter bereitet das Modul BSI C5 den Prüfbericht je Dienst vor, auf Grundlage des C5:2026, und gibt die korrespondierenden Kriterien für Kunden im Originalwortlaut als Liste aus, damit sie mit der Kundeninformation weitergegeben werden können.

Die Prüffrage

Für Ihren wichtigsten Cloud-Dienst mit Gesundheitsdaten: Wer im Haus hat die korrespondierenden Kriterien aus dem C5-Prüfbericht gelesen, und wo steht, dass sie umgesetzt sind?

Wenn die Antwort „Wir haben ein Testat“ lautet, fehlt die Hälfte.

Quellen

§ 393 SGB V, Absatz 1, 3 und 4. BSI, Kriterienkatalog C5, FAQ (abgerufen am 26.10.2026). Mehr zum Unterschied zwischen Testat und Zertifikat in der Reihe Grundbegriffe: Ein Testat ist kein Zertifikat.