Europa & Regulierung
BSI C5
Der Kriterienkatalog C5 des BSI beschreibt Mindestanforderungen an sichere Cloud-Dienste. Univerx ist darauf ausgelegt. Ein Testat nennen wir erst, wenn es vorliegt – mit Typ, Zeitraum und Fassung.
Auf einen Blick
- Ausgelegt auf
Die Plattform ist auf die Anforderung hin gebaut. Ein Nachweis wie ein Testat liegt noch nicht vor – wir nennen ihn, sobald es ihn gibt.
- Auf Anfrage
Die Unterlagen liegen vor. Sie erhalten sie für Ihre Prüfung über das Kontaktformular.
- Verfügbar
Erfüllt und belegt. Diese Stufe vergeben wir erst, wenn der Nachweis vorliegt.
Zu diesem Thema sind keine Unterlagen gelistet. Fragen aus Ihrem Fragebogen beantworten wir im Gespräch.
#Was der C5 ist
Der Cloud Computing Compliance Criteria Catalogue, kurz C5, ist ein Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik. Er beschreibt Mindestanforderungen an die Informationssicherheit von Cloud-Diensten und richtet sich an Anbieter, deren Prüfer und deren Kunden.
Der C5 ist kein Siegel, sondern Grundlage einer Prüfung. Ein unabhängiger Wirtschaftsprüfer prüft den Dienst gegen die Kriterien und erteilt ein Testat. Der Prüfbericht geht an die Kunden des Anbieters, die ihn für ihre eigene Risikobewertung nutzen.
#Was der Katalog prüft
Der Katalog deckt den ganzen Betrieb eines Cloud-Dienstes ab: Organisation, Personal, Betrieb, Zugriffe, Kryptografie, Kommunikation, Dienstleister, Vorfälle und Kontinuität. Dazu kommen Transparenzangaben, etwa zum Ort der Datenverarbeitung.
Die Tabelle zeigt, wo Sie die Themen bei Univerx wiederfinden. Sie beschreibt, worauf die Plattform ausgelegt ist, und ersetzt keine Prüfung.
| Bereich des Katalogs | Wo Sie es bei Univerx finden |
|---|---|
| Identitäts- und Berechtigungsmanagement | Rollenrechte in der zentralen Verwaltung |
| Kryptografie | Verschlüsselung bei Übertragung und Speicherung (Sicherheit) |
| Kommunikationssicherheit | Netz- und API-Sicherheit (Sicherheit & Verfügbarkeit) |
| Kontinuität | Mehrzonige Verfügbarkeit, Notfallpläne (Resilienz) |
| Portabilität | Datenexport (Datenresidenz) |
| Sicherheitsvorfälle | Meldewege für Ihre Pflichten (NIS2) |
#Warum wir kein Testat behaupten
Im öffentlichen Sektor und in regulierten Branchen ist der C5 oft Teil der Ausschreibung. Gerade dort zählt, was belegt ist. Eine Formulierung wie „C5-konform“ ohne Testat hilft niemandem, der eine Vergabe begründen muss.
Univerx schreibt deshalb „ausgelegt auf“. Sobald ein Testat vorliegt, nennen wir es hier mit Typ, Prüfzeitraum und Fassung des Katalogs. Bis dahin beantworten wir Ihren Sicherheitsfragebogen im Gespräch.
#Wie es weitergeht
Ein Testat ist das Ergebnis eines Prozesses, nicht sein Anfang. Die Grundlage legt Univerx in der Architektur: Mandantentrennung, Verschlüsselung, Rollenrechte, mehrzoniger Betrieb.
Wenn Sie Ihre Entscheidung schon heute vorbereiten, helfen die technischen und organisatorischen Maßnahmen aus dem DSGVO-Paket. Den Begriff erklärt das Glossar unter BSI C5.
#Quellen
- BSI: Kriterienkatalog Cloud Computing C5.
- BSI, Pressemitteilung vom 7. April 2026: Sicheres Cloud-Computing: BSI veröffentlicht C5.
Produkte
Wo das Thema greift.
Die Produktfamilien, für die dieses Thema am meisten zählt.
Univerx Cloud
Eine Cloud für jeden Kundenkontakt.
- EU
- BSI C5
- NIS2
Univerx Trust Center
Sicherheit und Regulierung als Konstruktionsprinzip, nicht als Anhang.
- DSGVO
- EU
- AI Act
- BSI C5
- eIDAS
- NIS2
- DORA
- BFSG
Vertrauen & Europa
Alle Themen im Trust Center.
Jedes Thema trägt einen Status. Er sagt, was ein Konstruktionsziel ist, welche Unterlagen Sie anfordern können und was nachgewiesen vorliegt.
| Thema | Status |
|---|---|
| DSGVO | Auf Anfrage |
| Datenresidenz & Hosting in Deutschland | Ausgelegt auf · Hosting in DE vorgesehen |
| EU AI Act | Ausgelegt auf |
| BSI C5 | Ausgelegt auf · Ziel, kein Testat |
| eIDAS & Online-Ausweis | Ausgelegt auf |
| NIS2 | Ausgelegt auf |
| DORA | Ausgelegt auf |
| BFSG / European Accessibility Act | Ausgelegt auf · WCAG 2.1 AA als Ziel |
| Verantwortungsvolle KI | Ausgelegt auf · Grundsätze & Kontrollen |
| Sicherheit & Verfügbarkeit | Ausgelegt auf |
| USA: HIPAA, PCI DSS, SOC 2, TCPA, CCPA | Ausgelegt auf |
Häufige Fragen
Ist Univerx C5-testiert?
Nein. Univerx ist auf die Anforderungen des C5 ausgelegt. Ein Testat nennen wir auf dieser Seite, sobald es vorliegt – mit Typ, Prüfzeitraum und Fassung des Katalogs.
Was unterscheidet Typ 1 und Typ 2?
Ein Typ-1-Testat beurteilt, ob die Kontrollen zu einem Stichtag angemessen ausgestaltet sind. Ein Typ-2-Testat beurteilt zusätzlich, ob sie über einen Zeitraum, meist mehrere Monate, wirksam waren.
Welche Fassung des Katalogs gilt?
Das BSI hat im Frühjahr 2026 die Fassung C5:2026 veröffentlicht; davor galt C5:2020. Welche Fassung Ihre Ausschreibung verlangt, steht in der Regel in den Vergabeunterlagen.
Was können wir bis dahin prüfen?
Die technischen und organisatorischen Maßnahmen aus dem DSGVO-Paket erhalten Sie auf Anfrage. Fragen aus Ihrem Sicherheitsfragebogen beantworten wir im Gespräch.
Passend dazu
Vertrauen & EuropaSicherheit & Verfügbarkeit
Verschlüsselung bei Übertragung und Speicherung, Identitäts- und Zugriffsverwaltung, Netz- und API-Sicherheit, mehrzonige Verfügbarkeit und Notfallpläne: worauf Univerx ausgelegt ist, damit Ihr Kundenservice läuft.
Vertrauen & EuropaDatenresidenz & Hosting in Deutschland
Ziel: Daten und Medien bleiben in der EU-Region, die Sie wählen. Hosting in Deutschland ist vorgesehen. Was wo liegt und wer darauf zugreifen kann, beschreiben Unterlagen, die Sie auf Anfrage erhalten.
Vertrauen & EuropaNIS2
NIS2 verpflichtet Unternehmen in wichtigen Sektoren zu Risikomanagement, Meldewegen und Sicherheit in der Lieferkette. Univerx ist ein Glied dieser Kette und darauf ausgelegt, Ihre Pflichten mit Unterlagen und klaren Meldewegen zu unterstützen.
Vertrauen & EuropaDSGVO
Auftragsverarbeitung nach Art. 28 DSGVO, Unterlagen für Ihre Datenschutz-Folgenabschätzung, Löschkonzepte und Rollenrechte. Was vorliegt, erhalten Sie auf Anfrage; was ein Ziel ist, nennen wir so.
Leitfäden2. November 2026 · 10 Min. LesezeitContact Center in Europa betreiben
Was DSGVO, EU AI Act und Mitbestimmung für Routing, Aufzeichnung und Auswertung bedeuten – und wie Sie die Fragen von Einkauf, Datenschutz und Betriebsrat beantworten, bevor der erste Kontakt über die neue Plattform läuft.
Leitfäden2. November 2026 · 11 Min. LesezeitCloud-Migration aus der bestehenden Anlage
Telefonie anbinden, Kanäle umziehen, Teams schulen: wie ein Contact Center Schritt für Schritt aus der bestehenden Anlage in die Cloud wechselt – mit Bestandsaufnahme, Reihenfolge, Umstellungsplan, Risiken und Checkliste.
Europa & Regulierung1. November 2026 · 4 Min. LesezeitDatenresidenz: die fünf Fragen, die Einkauf und Datenschutz stellen
„Die Daten liegen in Europa“ ist ein guter Anfang, aber keine Antwort. Fünf Fragen, mit denen Einkauf und Datenschutz nachhaken, und was eine belastbare Antwort ausmacht.
GlossarBSI C5
Der C5 ist der Kriterienkatalog des BSI für sichere Cloud-Dienste. Unabhängige Prüfer bestätigen seine Einhaltung in einem Testat vom Typ 1 oder Typ 2. Warum „ausgelegt auf“ etwas anderes ist als „testiert“.
GlossarDatenresidenz
Datenresidenz beschreibt, wo Daten und Medien gespeichert und verarbeitet werden. Im Kundenservice betrifft das nicht nur die Datenbank, sondern auch Aufzeichnungen, Transkripte, KI-Verarbeitung, Backups und Supportzugriffe.
Sehen Sie Univerx an Ihrem eigenen Beispiel.
In einer Demo zeigen wir die Plattform entlang Ihrer Kanäle und Anliegen – vom KI-Agenten über Video und Einsatzplanung bis zur Auswertung.
Online, in Deutsch oder Englisch, ohne Vorbereitung auf Ihrer Seite.