C5 og C3A er to kriteriekataloger fra det tyske forbundskontor for informationssikkerhed, BSI. C5 beskriver, hvad en sikker cloudtjeneste skal opfylde, og C3A fra april 2026 beskriver, hvad der skal til, for at kunden har kontrol over sin cloud. En dansk virksomhed kan bruge begge som kilde til krav og spørgsmål, selv om ingen af dem er et dansk krav.
Det er vores læsning, at katalogerne er brugbare for en dansk køber. Der findes ingen dansk tekst om dem, og intet dansk regelsæt henviser til dem.
C5: sikkerheden
C5 (Cloud Computing Compliance Criteria Catalogue) angiver ifølge BSI minimumskrav til sikker cloud og er rettet mod professionelle cloududbydere, deres revisorer og kunder. Kataloget blev offentliggjort første gang i 2016, og BSI oplyser, at der er givet over hundrede erklæringer efter det.
Erklæringer. BSI skriver, at der ikke findes nogen certificeringsprocedure for C5 og derfor ingen C5-certifikater. En C5-erklæring afgives af en revisor efter ISAE 3000 eller en tilsvarende national standard. Ved en erklæring er der to parter, den reviderede udbyder og revisoren, og rapporten gennemgås ikke af et uafhængigt organ. Til gengæld er rapporten skrevet til kunden.
Omfanget. En C5-erklæring gives ikke for udbyderen som helhed. Den dækker de reviderede cloudtjenester i de geografiske regioner, der er defineret i rapporten. Det er det første, I skal læse.
Underleverandører. Udbyderen skal give kriterierne videre til sine underleverandører, og rapporten skal beskrive de kontroller, udbyderen forudsætter hos dem.
Rapporten. Kunden har ifølge BSI i princippet ikke krav på rapporten. Den tilhører udbyderen, som afgør, om den gives videre. BSI anbefaler, at kunden bestiller rapporten, analyserer den og gentager det hvert år. BSI vælger ikke revisorer og kontrollerer ikke rapporterne, og kunden skal selv vurdere, om niveauet er nok.
Versionerne. C5:2020 er den anbefalede version for revisionsperioder, der slutter 15. februar 2021 eller senere. C5:2026 anbefales for perioder, der slutter 1. juni 2027 eller senere, og må bruges før. C5:2026 har et afsnit om portabilitet og interoperabilitet. Selve C5:2026-kataloget er ikke læst til denne artikel.
C3A: selvbestemmelsen
Criteria enabling Cloud Computing Autonomy (C3A), version 1.0 af 27. april 2026, er BSI’s svar på, hvordan suverænitet kan gøres kontrollerbar. Kataloget følger strukturen og målene i Kommissionens Cloud Sovereignty Framework og omsætter rammens bidragende faktorer til kriterier.
Status. BSI skriver, at C3A ikke er bindende i sig selv.
Forudsætter C5. En udbyder skal opfylde C5 for at bruge C3A.
Udeladt. Sikkerhed og compliance (rammens SOV-7) er ikke med, fordi C5:2026 og andre BSI-produkter dækker det. Miljø (SOV-8) er ikke med, fordi det ligger uden for BSI’s område. Portabilitet er ikke med, fordi C5:2026 har et afsnit om det.
Kunden vælger. Kataloget har kriterier og tillægskriterier, og kunden vælger, hvilke der gælder for brugen. Udbyderen kan dokumentere opfyldelsen gennem en revision. BSI vil senere offentliggøre, hvordan C3A-revisioner kan standardiseres. Pr. 28. september 2026 findes der altså ingen standardiseret C3A-revision.
Seks C3A-kriterier, en dansk køber kan låne
Kriterierne er gengivet i egne ord fra BSI’s engelske udgave. Kun disse er læst til artiklen.
- Fremmed lovgivning. Udbyderen skal mindst én gang om året identificere love uden for EU med grænseoverskridende virkning for tjenesten og vurdere risikoen ved dem.
- Kontrol med placering. Kunden skal kunne bestemme, hvor data og kontodata lagres og behandles.
- Afledte data i EU. Udbyderen skal tilbyde en mulighed, hvor afledte data og kontodata alene lagres og behandles i EU.
- Nøgler uden for udbyderen. For infrastruktur- og platformtjenester skal nøglehåndteringen kunne ligge uden for udbyderens eget miljø.
- Personale. Personale med adgang til infrastrukturen, kundesupport og ledelse skal være EU-borgere med bopæl i EU.
- Netforbindelse. Forbindelsen skal være redundant og uafhængig, og mindst én leverandør skal være en virksomhed baseret i EU.
Kriterierne kan stå direkte som spørgsmål i et kravark. Ikke alle passer til alle systemer. Kriterium 5 er det mest vidtgående og giver efter vores vurdering mening for få systemer i en privat virksomhed. Kriterium 2 og 4 kan de fleste stille som krav.
Sådan bruger I de to sammen
C5 svarer på, om tjenesten er sikker. C3A svarer på, hvor meget kontrol I har. De to spørgsmål hører sammen, og en udbyder, der kan dokumentere det ene, kan godt mangle det andet.
Bed om C5-erklæringen for de tjenester, I vil bruge, og læs omfang, periode og forbehold. Vælg derefter de C3A-kriterier, der passer til jeres vigtigste systemer, og stil dem som spørgsmål. Svarer udbyderen ja, så spørg, hvordan det er dokumenteret. Rammen bag C3A er beskrevet for virksomheder i SEAL brugt af en privat virksomhed.
Hvad det kræver, og hvad det koster at lade være
At læse en C5-rapport første gang tager en til to arbejdsdage for en, der er vant til revisionserklæringer, især de afsnit, der beskriver afvigelser og de kontroller, I selv forudsættes at have. At vælge C3A-kriterier og formulere dem som spørgsmål tager et par timer.
Lader I være, ved I ikke, hvad en udbyders “C5” dækker, eller I bruger et dokument, der hører til andre tjenester end jeres. Posten er den tid, det tager at finde ud af det bagefter, og risikoen for at have valgt en tjeneste, der ikke var med i revisionen.
Det skal I lade være med
- At kalde en C5-erklæring et certifikat · BSI skriver, at der ikke findes C5-certifikater.
- At gå ud fra, at erklæringen dækker hele udbyderen · den dækker de reviderede tjenester og regioner.
- At kræve alle C3A-kriterier for alle systemer · kunden skal vælge dem, der passer til brugen.
Det skal valget kunne vise
- ☐ C5-erklæringens omfang, periode, version og revisor for de tjenester, I bruger.
- ☐ Om rapporten er modtaget og læst, med dato.
- ☐ Valgte C3A-kriterier for de vigtigste systemer og udbyderens svar.
- ☐ Hvordan svarene er dokumenteret.
Kilder
- BSI: Criteria Catalogue C5, C5 aktuelle version og C5 FAQ.
- BSI: Criteria enabling Cloud Computing Autonomy (C3A), version 1.0, 27. april 2026, og C3A-siden.
Senest gennemgået: november 2026.
Næste skridt
Bed jeres vigtigste cloududbyder om C5-erklæringen for de tjenester, I bruger, og vælg to eller tre C3A-kriterier at stille som spørgsmål.
Læs også: EUCS · ISAE-erklæringen fra hosting og datacenter
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
