Rechenzentrum und Zertifikate prüfen: ISO 27001, C5, SOC 2

Worum es bei der Auswahl geht

Sie wählen einen Hosting-Anbieter für Ihr ERP und erhalten als Nachweis ein Zertifikat: ISO 27001, C5 oder SOC 2. Die drei Nachweise sind nicht austauschbar. Jeder belegt etwas anderes, deckt einen anderen Geltungsbereich ab und wird von einer anderen Stelle ausgestellt.

C5 ist ein Kriterienkatalog des deutschen BSI, ISO 27001 eine internationale Norm, SOC 2 ein US-Standard des AICPA. Keiner der drei ist ein Gesetz. Nach der Darstellung des DIN e. V. werden Normen erst bindend, wenn sie Vertragsinhalt sind oder der Gesetzgeber ihre Einhaltung zwingend vorschreibt. Ein Nachweis ersetzt deshalb keine Zeile im Vertrag.

Zur Auswahl gehört auch der Standort des Rechenzentrums. Der C5-Prüfbericht enthält die Datenlokation und den Gerichtsstand als Rahmenbedingungen. Bei ISO 27001 und SOC 2 prüfen Sie, ob Zertifikat oder Bericht die Standorte der Datenverarbeitung nennen, und fordern Sie die Angabe an, wenn sie fehlt. Der Standort ist keine Formalie, aber er bestimmt nicht allein, welches Recht auf die Datenverarbeitung anwendbar ist und welche Aufsichtsbehörde zuständig ist: Art. 3 DSGVO knüpft an die Niederlassung des Verantwortlichen oder Auftragsverarbeiters in der Union und an das Angebot von Waren oder Dienstleistungen an Personen in der Union an, Art. 56 DSGVO an die Hauptniederlassung. Ein Dienst, der in mehreren Regionen betrieben wird, kann je nach Region einem anderen Gerichtsstand unterliegen.

Diese Kriterien zählen

Die folgende Tabelle vergleicht die drei Nachweise nach Geltungsbereich, Aussagekraft und dem, was Sie im Bericht anfordern. Die Reihenfolge ist keine Bewertung.

Nachweis	Geltungsbereich	Was er belegt	Was Sie im Bericht anfordern
ISO/IEC 27001	der zertifizierte Bereich, der im Zertifikat steht (Unternehmen, Geschäftsbereich, Rechenzentrum)	der Inhaber steuert seine Informationssicherheit und ein unabhängiger Dritter hat den Prozess für standardkonform befunden; kein bestimmtes Sicherheitsniveau	das Zertifikat mit Geltungsbereich und Ausstellungsdatum; prüfen, ob Ihr Dienst im Scope liegt
C5-Testat (BSI)	ein oder mehrere Cloud-Dienste eines Anbieters in festgelegten Regionen; nie der Anbieter als Ganzes	ein Wirtschaftsprüfer hat mindestens alle C5-Basiskriterien für die geprüften Dienste geprüft (ISAE 3000); Typ 2: Konformität für einen Zeitraum von 3 bis 12 Monaten, Typ 1: Stichtag	den vollständigen Prüfbericht (Prüfaussage, Systembeschreibung, Kontrollprüfung) mit den Rahmenbedingungen BC-01 bis BC-06 (Datenlokation, Gerichtsstand, bestehende Zertifikate)
SOC 2 (AICPA)	das interne Kontrollsystem eines Dienstleisters für IT-Dienstleistungen; Typ 1 (Design) oder Typ 2 (Design plus Wirksamkeit im Berichtszeitraum)	das interne Kontrollsystem in Bezug auf die im Berichtsumfang erfassten Trust-Service-Kategorien (Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit, Datenschutz); Typ 2 zusätzlich die Wirksamkeit im Berichtszeitraum	den Typ-2-Bericht mit dem Berichtszeitraum; prüfen, ob Ihr Dienst im Scope liegt und welche Trust-Service-Kategorien geprüft wurden

Zwei Punkte aus der Tabelle sind für die Praxis entscheidend. Erstens der Geltungsbereich: Ein Zertifikat für den Anbieter als Ganzes deckt Ihren konkreten Dienst nicht zwingend ab; entscheidend ist der dokumentierte Scope. Prüfen Sie immer, ob der Dienst und die Region, in der Ihr ERP läuft, im Scope des Nachweises liegen. Zweitens der Zeitraum: Ein C5-Testat bezieht sich auf einen abgeschlossenen Prüfzeitraum in der Vergangenheit; ein Typ-2-Testat attestiert Konformität für einen Zeitraum von 3 bis 12 Monaten, ein Typ-1-Testat für einen Stichtag. Das BSI nennt keine starre Verfallsgrenze, empfiehlt aber regelmäßige Wiederholungen; typischerweise verlangen Kunden den Bericht des zuletzt abgelaufenen Prüfzeitraums und vereinbaren vertraglich die Vorlage aller folgenden Berichte. Als Auswahlkriterium: Ein Testat, dessen Prüfzeitraum länger als 12 Monate zurückliegt, ist für das Risikomanagement kaum brauchbar.

Der C5-Prüfbericht ist dreiteilig: die zusammenfassende Prüfaussage des Wirtschaftsprüfers, die Systembeschreibung und die Kontrollprüfung. Die Rahmenbedingungen BC-01 bis BC-06 verlangen in der Systembeschreibung unter anderem die Datenlokation, den Gerichtsstand und die bereits erteilten Zertifikate. Diese Angaben beantworten die Standortfrage, die bei ISO 27001 und SOC 2 im Zertifikat beziehungsweise Bericht zu prüfen ist.

Beim C5-Testat und bei SOC 2 gibt es jeweils zwei Typen. Typ 1 prüft, ob das Design der internen Maßnahmen so ausgelegt ist, dass die Kriterien erfüllt werden. Typ 2 prüft zusätzlich, ob die Maßnahmen im Berichtszeitraum wirksam waren. Für die Praxis ist Typ 2 aussagekräftiger, weil er die Wirksamkeit über einen Zeitraum belegt, nicht nur das Design zu einem Stichtag. Ein C5-Testat nach Typ 2 ist auch die Voraussetzung, die § 393 SGB V seit 1. Juli 2025 für die in Absatz 1 genannten Stellen (Leistungserbringer im Sinne des Vierten Kapitels, Kranken- und Pflegekassen, ihre Auftragsdatenverarbeiter) für die Verarbeitung von Sozial- und Gesundheitsdaten im Wege des Cloud-Computing-Dienstes verlangt. Für nach dem 30. Juni 2025 erstmalig in Verkehr gebrachte informationstechnische Systeme gilt 18 Monate ein Typ-1-Testat. Die C5-Gleichwertigkeitsverordnung (C5GleichwV, in Kraft seit 1. Juli 2024) erlaubt als gleichwertigen Nachweis unter anderem ein ISO/IEC-27001-Zertifikat, wenn zusätzlich ein Maßnahmenplan vorliegt, der die materiellen Lücken zum C5-Kriterienkatalog dokumentiert, die individuellen technischen und organisatorischen Vorkehrungen zu deren Behebung dokumentiert, deren Behebung innerhalb von zwölf Monaten ab Erstellung der Meilensteinplanung vorsieht und die Erlangung eines C5-Typ1-Testats innerhalb von 18 Monaten und eines C5-Typ2-Testats innerhalb von 24 Monaten ab Erstellung der Meilensteinplanung vorsieht; der Maßnahmenplan und das Zertifikat sind den beauftragenden Leistungserbringern, Kassen und Aufsichtsbehörden auf Verlangen vorzulegen.

Woraus sich die Kosten zusammensetzen

Die Auditkosten trägt der Anbieter. Was Sie kostet, ist die Zeit, den Bericht zu lesen, und die vertraglichen Klauseln, die den Nachweis an den Vertrag binden.

Wenn Sie einen bestimmten Nachweis brauchen, etwa das C5-Testat für Sozial- und Gesundheitsdaten im Cloud-Computing-Dienst nach § 393 SGB V, kann der Anbieter den Aufwand für die Prüfung auf den Preis umlegen. Das ist eine Vertragsfrage, keine Normfrage. Fragen Sie je Angebot: Welche Position trägt welchen Anteil, und was ist ihre Bezugsgröße (je Benutzer, je Instanz, je Vorfall)?

Ein Rechenmodell über fünf Jahre steht in ERP-Gesamtkosten über fünf Jahre.

Warnsignale in Angebot und Vertrag

• Ein Zertifikat ohne Geltungsbereich: Es steht nicht, welcher Dienst und welche Region abgedeckt sind.
• Ein C5-Testat, dessen Prüfzeitraum länger als 12 Monate zurückliegt.
• Ein Zertifikat, dessen Scope Ihren konkreten Dienst nicht erkennbar abdeckt (etwa ein Zertifikat für den Anbieter als Ganzes ohne Dienstbeschreibung).
• Der Anbieter verweigert die Einsicht in den Bericht oder liefert nur eine Zusammenfassung.
• Der Nachweis ist nicht vertraglich festgelegt: Es gibt keine Klausel, dass der Anbieter den Nachweis aufrechterhält und den Bericht weitergibt.
• Die Rede von einem „C5-Zertifikat”: Es gibt kein C5-Zertifikat, nur ein C5-Testat.

Welche Kriterien für welchen Betrieb

Welcher Nachweis zuerst zu prüfen ist, hängt davon ab, welche Daten Sie verarbeiten und wo Ihr Betrieb angesiedelt ist. Die Zuordnung ist eine redaktionelle Einschätzung.

Betrieb	Was am schwersten wiegt	Welcher Nachweis zuerst
Gesundheitswesen in Deutschland	Verarbeitung von Sozial- und Gesundheitsdaten im Wege des Cloud-Computing-Dienstes durch Leistungserbringer, Kassen und ihre Auftragsdatenverarbeiter	C5-Testat (Typ 2) nach § 393 SGB V; 18 Monate Typ 1 für neu in Verkehr gebrachte Systeme, alternativ gleichwertiger Nachweis nach C5GleichwV
Öffentlicher Sektor in Deutschland	Nachweis für die Nutzung externer Cloud-Dienste	C5-Testat
ERP mit US-Anbieter	Datenübermittlung in die USA	SOC 2 (Typ 2) und die Übermittlungsgrundlage
Allgemeines ERP in DACH	Informationssicherheit des Hosting-Anbieters	ISO 27001 oder C5-Testat

So vergleichen Sie in fünf Schritten

1. Fordern Sie vom Anbieter die Liste der Nachweise mit dem Geltungsbereich (Dienst, Region) an.
2. Verlangen Sie den vollständigen Bericht: beim C5-Testat den Prüfbericht, bei ISO 27001 das Zertifikat mit Scope, bei SOC 2 den Typ-2-Bericht.
3. Prüfen Sie den Zeitraum: Beim C5-Testat muss der Prüfzeitraum aktuell sein (nicht länger als 12 Monate zurückliegend).
4. Prüfen Sie den Geltungsbereich: Deckt der Nachweis Ihren konkreten Dienst und die Region ab, in der Ihr ERP läuft?
5. Binden Sie den Nachweis in den Vertrag: eine Klausel, dass der Anbieter den Nachweis aufrechterhält und den Bericht weitergibt.