BSI C5:2026 Cloud-Compliance, IT-Grundschutz & Nationale PQC-Leitlinie: Krypto-Nachweise (CRY), CBOM-Pflicht & DevSecOps-Audit 2026

Mit der Veröffentlichung des neuen Cloud Computing Compliance Criteria Catalogue (C5:2026) (BSI-Pressemitteilung vom 07.04.2026) sowie der gemeinsamen Leitlinie von BMI, BMDS und BSI zur nationalen Umsetzung der EU-Post-Quanten-Roadmap (12.10.2026) hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Prüfmaßstäbe für Cloud-Dienstleister, SaaS-Plattformen, Rechenzentren und regulierte Enterprise-Kunden grundlegend verschärft.

Für Cloud Service Provider (CSPs), Managed Service Provider (MSPs), DiGA- und Gesundheits-Cloud-Anbieter (§ 393 SGB V), Finanz- und ERP-/E-Rechnungs-Plattformen sowie Betreiber kritischer Infrastrukturen (NIS-2 / § 30 BSIG) gilt ab sofort: Ein positives C5-Testat (Typ 1 und Typ 2 nach ISAE 3000 / IDW PS 951) setzt voraus, dass die eingesetzten Verschlüsselungsverfahren strikt dem Stand der Technik nach BSI TR-02102-1 bis -4 entsprechen, ein maschinenlesbares Krypto-Inventar (Cryptographic Bill of Materials – CBOM) gepflegt wird und kontinuierliche Cloud-Releases nach einem zertifizierten, rückverfolgbaren Secure-SDLC-Prozess gemäß BSI TR-03185 ausgerollt werden.

1. Warum der neue BSI C5:2026 zum verbindlichen B2B-Marktzugangsstandard wird

Seit seiner Einführung im Jahr 2016 hat sich der BSI C5 vom behördlichen Orientierungsrahmen zur gesetzlichen Mindestvoraussetzung in zahlreichen Schlüsselbranchen entwickelt. Mit der Version C5:2026 reagiert das BSI auf vier zentrale regulatorische Treiber:

1. NIS-2-Umsetzungsgesetz (§ 30 Abs. 2 Nr. 4 & Nr. 8 BSIG – Sicherheit der Lieferkette & Kryptographie):
   Besonders wichtige und wichtige Einrichtungen dürfen IT- und Cloud-Workloads nur noch an Dienstleister auslagern, die ihre Sicherheitsmaßnahmen nachweisbar dokumentieren. In Lieferketten-Audits wird der C5:2026-Bericht (inklusive der korrespondierenden Kunden-Komplementärkriterien) als primärer Nachweis für § 30 BSIG herangezogen.
2. Gesetzliche C5-Typ-2-Pflicht im Gesundheitswesen (§ 393 SGB V & DiGA TR-03161):
   Für die Verarbeitung von Sozial- und Gesundheitsdaten in der Cloud verlangt der Gesetzgeber ein vollwertiges C5-Typ-2-Testat (Nachweis der Wirksamkeit über einen Prüfzeitraum von mindestens 6 bis 12 Monaten). Wirtschaftsprüfer prüfen dabei explizit die Einhaltung der aktuellen BSI Technischen Richtlinien.
3. Verzahnung mit der nationalen PQC-Leitlinie (BMI, BMDS & BSI, Oktober 2026):
   Die neue Bundesleitlinie zur Umsetzung der europäischen Post-Quanten-Kryptographie-Roadmap verpflichtet Bundes-, Landes- und Kommunalverwaltungen sowie KRITIS-Betreiber, bei Cloud-Ausschreibungen ( u. a. im Kontext der Criteria enabling Cloud Computing Autonomy – C3A und CyberGovSecure) einen verbindlichen Migrationspfad weg von klassischem RSA-2048 und klassischem ECDH/ECDSA (BSI-Frist Ende 2031 bzw. 2035 für Signaturen) einzufordern.
4. Automatisierte Continuous-Compliance & SBOM-Nachweise (Cyber Resilience Act & BSI TR-03183-2):
   Statische Jahres-PDFs reichen im C5:2026 nicht mehr aus. In den Domänen DEV (Entwicklung & Change Management) und OPS (Betrieb & Schwachstellenmanagement) erwarten Prüfer automatisierte CI/CD-Nachweise, lückenlose Software Bills of Materials (CycloneDX SBOM) und reproduzierbare Härtungskonfigurationen.

2. Die CRY-Domäne im BSI C5:2026: Krypto-Inventar (CBOM), TLS 1.3, SSH & KMS/HSM-Härtung

Die Kriteriengruppe CRY (Kryptographie und Schlüsselmanagement) bildet im C5:2026 eines der häufigsten Feststellungsfelder („Abweichungen / Exceptions") bei Wirtschaftsprüfungen durch Big-4-Prüfungsgesellschaften und akkreditierte Auditoren.

Während in älteren C5-Prüfungen oft ein allgemeiner Verweis auf „TLS-Verschlüsselung und AES-256" akzeptiert wurde, verlangt der C5:2026 in Verbindung mit BSI TR-02102-1 und der nationalen PQC-Leitlinie 2026 präzise technische Evidenz über den gesamten Lebenszyklus kryptographischer Schlüssel:

• CRY-01 (Kryptographische Richtlinie & CBOM-Inventar):
  Der Cloud-Anbieter muss eine durch die Geschäftsleitung freigegebene Kryptographie-Richtlinie unterhalten, die exakt definiert, welche Algorithmen, Schlüssellängen und Protokolle für Transportverschlüsselung (Data in Transit), ruhende Daten (Data at Rest) und Backups zulässig sind. Zwingend erforderlich ist ein aktuelles Krypto-Inventar (CBOM), das alle Ingress-Controller, API-Gateways, Service-Meshes (mTLS), SSH-Bastions, VPN-Endpunkte und Datenbank-TDE-Schlüssel inklusive ihres BSI-Ablaufdatums (2031/2035) und ihres „Harvest Now, Decrypt Later" (HNDL)-Risikos klassifiziert.
• CRY-02 (Transportverschlüsselung nach BSI TR-02102-2, -3 und -4):
  Öffentliche und interne Cloud-Endpunkte müssen nach BSI TR-02102-2 gehärtet sein (TLS 1.3 mit Perfect Forward Secrecy sowie Einführung hybrider Post-Quanten-Schlüsselaustauschgruppen wie X25519MLKEM768 oder SecP256r1MLKEM768 unter OpenSSL 3.5+). Für administrativen SSH-Zugriff auf Cloud-Nodes verlangt BSI TR-02102-4 die Abschaltung von ssh-rsa (SHA-1) und die Aktivierung von mlkem768x25519-sha256 (OpenSSH 9.9+).
• CRY-03 & CRY-04 (Schlüsselgenerierung, KMS/HSM-Trennung & Rotation):
  Kryptographische Hauptschlüssel (Master Keys / Customer Managed Keys – CMK) müssen in zertifizierten Hardware Security Modulen (HSM nach FIPS 140-3 Level 3 / Common Criteria) verwaltet, rollenbasiert vom regulären Cloud-Admin-Zugriff getrennt (Split Knowledge / Dual Control) und nach dokumentierten Intervallen rotiert werden.

3. Prüfungs- und Mapping-Matrix: BSI C5:2026 vs. BSI TR-02102, TR-03185 & NIS-2

Die folgende Matrix zeigt CISOs, Cloud-Architekten und IT-Prüfern, wie die Kernanforderungen des BSI C5:2026 technisch mit den aktuellen BSI-Richtlinien und dem NIS-2-Umsetzungsgesetz korrespondieren und welche Artefakte im Audit vorgelegt werden müssen:

4. BMF- & FinTech-Compliance in der Cloud: Digitale Belege, E-Rechnung (EN 16931) & GoBD-Kryptographie

Neben dem BSI hat auch das Bundesministerium der Finanzen (BMF) im Herbst 2026 (u. a. mit dem Gesetzentwurf „Digitale Belege und digitale Kassen" vom 23.09.2026 sowie dem Jahressteuergesetz 2026) die Anforderungen an Cloud-basierte Buchhaltungs-, ERP-, Kassen- und E-Rechnungs-Systeme (XRechnung / ZUGFeRD nach EN 16931) konkretisiert:

1. Kryptographische Unveränderbarkeit und Langzeitarchivierung (GoBD & AO):
   Steuerlich relevante elektronische Rechnungen, digitale Kassenbelege und Buchungsjournale unterliegen einer gesetzlichen Aufbewahrungsfrist von 8 bis 10 Jahren (§ 147 AO / § 14b UStG). Werden diese Dokumente oder ihre qualifizierten elektronischen Signaturen / Zeitstempel (eIDAS / BSI TR-03116) bzw. Cloud-TSE-Signaturen (BSI TR-03153 / TR-03151) heute ausschließlich mit kurzlebigen klassischen Algorithmen ohne PQC-fähige Nachsignatur- oder Hash-Ketten-Architektur gesichert, fällt die Archivdauer (2026 bis 2036) exakt über das BSI-Ablaufdatum 2031/2035 hinaus!
2. C5:2026 & TR-02102 als Pflichtnachweis für TaxTech- und FinTech-SaaS:
   Steuerberater, Wirtschaftsprüfer und Finanzbehörden fordern von Cloud-ERP-Anbietern zunehmend den Nachweis, dass sowohl die Übertragungswege (API-Anbindungen zu DATEV, ELSTER, Peppol-Netzwerk) als auch die Langzeitspeicher gegen zukünftige Entschlüsselung (Store Now, Decrypt Later) gehärtet sind.

5. Technischer 4-Schritte-Prüfplan: So machen Sie Ihre Cloud-Infrastruktur in 48 Stunden C5:2026- & PQC-auditfest

Schritt 1: Automatisierter Linux- & Container-Krypto-Scan (bsi_pqc_check.py)

Statt Server-Konfigurationen manuell zu sichten, können DevSecOps-Teams und C5-Auditoren unseren quelloffenen Zero-Dependency Python CLI-Scanner direkt auf ihren Cloud-VMs, Kubernetes-Worker-Nodes und Bastion-Hosts ausführen:

# 1. Direkt via pipx ausführen (erzeugt HTML-Audit-Report + lokales CBOM-CSV):
pipx run git+https://github.com/KenanErorr404/bsi-tr02102-pqc-audit-cli.git --generate-cbom-csv

# 2. Oder als CI/CD-Check mit strukturiertem JSON-Artefakt für das C5-Audit-Dossier:
curl -sSL https://raw.githubusercontent.com/KenanErorr404/bsi-tr02102-pqc-audit-cli/main/bsi_pqc_check.py | python3 - --json-out c5_cry_findings.json

Der Scanner prüft sshd_config, openssl.cnf und lokale X.509-Zertifikate vollautomatisch gegen BSI TR-02102-1, -2 und -4 und liefert den direkten technischen Nachweis für die C5-Kriterien CRY-01 und CRY-02.

Schritt 2: Interaktive Risiko- & Bußgeldberechnung im Browser (60 Sekunden)

Quantifizieren Sie Ihren aktuellen BSI Compliance-Gap-Score für das Auslaufszenario 2031/2035 sowie Ihr regulatorisches Bußgeld- und Haftungsrisiko nach § 38 & § 60 BSIG:
👉 Jetzt kostenlosen BSI PQC & NIS-2 Risiko- und Bußgeld-Rechner starten (pqc-nis2-rechner.html)

Schritt 3: Kostenlose €0+ CSV-Audit-Leseprobe & Schnellstart-Matrix herunterladen

Für einen sofortigen Einstieg in die Struktur unserer Prüfungs-Workbooks können Sie unsere Community Edition (€0+ Pay What You Want) auf Gumroad herunterladen. Sie enthält 6 repräsentative Prüfpunkte aus den beiden Richtlinien BSI TR-02102-1 (CBOM 2031) und BSI TR-03185 (Secure SDLC) sowie einen 20 % Upgrade-Rabattcode (BSI2026PRO):
👉 📥 Kostenlose CSV-Audit-Leseprobe & Schnellstart-Matrix herunterladen (€0+)

Schritt 4: Vollständige .xlsx Enterprise-Workbooks, Server-Configs & CI/CD-Gates implementieren

Um im BSI C5:2026 Typ-2-Audit, bei NIS-2-Prüfungen (§ 33/34 BSIG) oder im BfArM DiGA-Verfahren ohne Abweichungen (Zero Exceptions) zu bestehen, stehen Ihnen unsere beiden schlüsselfertigen Enterprise-Pakete zur Verfügung: