← Zurück zu News 18.10.2026 Reihe Grundbegriffe, Folge 8

Ein Testat ist kein Zertifikat

Grundbegriffe, Folge 8: Im Lieferantenfragebogen steht „ISO 27001 zertifiziert“, „C5-Testat“, „BSI-geprüft“ oder „akkreditiert“. Vier Antworten, die ähnlich klingen und Verschiedenes bedeuten. Wer prüft, wer den Prüfer prüft, und was am Ende auf dem Papier steht: Zertifizierung, Akkreditierung und Attestierung, mit den Stellen aus EU-Recht, BSI-Gesetz und dem C5 des BSI.

Zwanzig Lieferanten haben den Fragebogen zurückgeschickt. Bei der Frage nach dem Nachweis für Informationssicherheit steht „ISO 27001 zertifiziert“, „C5-Testat“, „BSI-geprüft“ und einmal „akkreditiert“. Alle vier Antworten bekommen in der Auswertung dasselbe Häkchen. Dabei bedeuten sie Verschiedenes, und eine davon passt gar nicht zur Frage.

Zertifizierung: eine Stelle bestätigt, dass Anforderungen erfüllt sind

Das EU-Recht fasst Zertifizierungen unter den Oberbegriff Konformitätsbewertung. Die Verordnung (EG) Nr. 765/2008 definiert sie in Artikel 2 Nummer 12 als

„das Verfahren zur Bewertung, ob spezifische Anforderungen an ein Produkt, ein Verfahren, eine Dienstleistung, ein System, eine Person oder eine Stelle erfüllt sind“

Wer das tut, ist nach Nummer 13 eine Konformitätsbewertungsstelle, eine Stelle, die unter anderem „Prüfungen, Zertifizierungen und Inspektionen durchführt“. Bei ISO/IEC 27001 bewertet eine Zertifizierungsstelle das Managementsystem einer Organisation für einen festgelegten Geltungsbereich und stellt bei Erfolg ein Zertifikat mit Laufzeit aus. Daneben kann auch das BSI selbst zertifizieren. § 52 Absatz 1 BSIG lautet: „Das Bundesamt ist nationale Zertifizierungsstelle der Bundesverwaltung für IT-Sicherheit.“ Dort läuft etwa die ISO-27001-Zertifizierung auf Basis von IT-Grundschutz.

Die entscheidende Angabe auf einem Zertifikat ist deshalb nicht das Logo, sondern der Geltungsbereich. Ein Zertifikat für das Rechenzentrum in Frankfurt sagt nichts über die Softwareentwicklung in Lissabon.

Akkreditierung: jemand prüft den Prüfer

Woher weiß man, dass die Zertifizierungsstelle selbst etwas taugt? Dafür gibt es die Akkreditierung. Artikel 2 Nummer 10 derselben Verordnung definiert sie als

„Bestätigung durch eine nationale Akkreditierungsstelle, dass eine Konformitätsbewertungsstelle die in harmonisierten Normen festgelegten Anforderungen und, gegebenenfalls, zusätzliche Anforderungen, einschließlich solcher in relevanten sektoralen Akkreditierungssystemen, erfüllt, um eine spezielle Konformitätsbewertungstätigkeit durchzuführen“

Und Artikel 4: „Jeder Mitgliedstaat benennt eine einzige nationale Akkreditierungsstelle.“ In Deutschland ist das die Deutsche Akkreditierungsstelle (DAkkS). Akkreditiert werden also Prüfer, nicht die geprüften Organisationen. Ein Lieferant, der als Nachweis seiner Informationssicherheit „akkreditiert“ angibt, beantwortet eine andere Frage, außer er ist selbst ein Prüflabor. Die richtige Rückfrage an ein Zertifikat lautet: Ist die Stelle, die es ausgestellt hat, für genau diese Norm akkreditiert?

Attestierung: ein Prüfer bestätigt eine Aussage

Beim C5, dem Kriterienkatalog des BSI für Cloud-Dienste, gibt es kein Zertifikat. Das BSI beschreibt den Weg so: „Die Erfüllung der Kriterien kann dann durch Wirtschaftsprüfer testiert und somit gegenüber Kunden nachgewiesen werden.“ Das Ergebnis ist ein Testat mit Prüfbericht. Je nach Prüfungstyp untersuchen die Prüfer, ob die Kriterien „derzeit erfüllt sind“ oder auch, „ob diese in der Vergangenheit durchgängig erfüllt waren“, also ein Stichtag oder ein Zeitraum.

Und ein Satz auf der Seite des BSI sollte in jeder Lieferantenbewertung stehen:

„Das BSI ist bei der Auswahl der Auditoren sowie der eigentlichen Prüfung nicht involviert und wertet die Prüfberichte auch nicht aus.“

Ein C5-Testat ist also nicht „vom BSI geprüft“. Es ist ein Bericht nach einem Katalog des BSI, und lesen muss ihn der Kunde selbst. Das BSI empfiehlt ausdrücklich, den Prüfbericht „initial und dann regelmäßig jährlich anfordern und auswerten“ zu lassen. Der Katalog liegt inzwischen in einer neuen Fassung C5:2026 vor.

Drei Fragen an jeden Nachweis

Wer hat geprüft? Eine akkreditierte Zertifizierungsstelle, das BSI, ein Wirtschaftsprüfer oder der Lieferant selbst?
Wogegen und wofür? Welche Norm oder welcher Katalog, und welcher Geltungsbereich: das ganze Unternehmen oder der eine Dienst, den Sie nutzen?
Für welchen Zeitpunkt? Ein Stichtag, ein Zeitraum, und ist das Zertifikat oder der Bericht noch aktuell?

Zertifikat, Testat und Akkreditierung sind alle wertvoll. Nur sollten sie in der Auswertung nicht dasselbe Häkchen bekommen. Wo Lieferantennachweise in isidaten geführt werden, steht deshalb neben dem Dokument auch, wer es ausgestellt hat, für welchen Geltungsbereich und bis wann es gilt.