Der nächste Meilenstein: Stackfield erhält das C5-Testat des BSI

DORA, NIS-2, CRA, EU Data Act ... Die Regulierungen im Bereich der Daten- und IT-Sicherheit nehmen angesichts steigender Gefahren für Informationssicherheit und Datenschutz immer mehr zu. Die Folge: Immer größere Anforderungen an Unternehmen, Behörden und Einrichtungen, insbesondere an jene der kritischen Infrastruktur. Für sie ist es aktuell wichtiger denn je, auf starke, unterstützende und vor allem sichere Software für die alltägliche Arbeit zu setzen.

Stackfield hat sich von Anfang an den bestmöglichen Schutz Deiner Daten auf die Fahne geschrieben, um sich als das führende All-in-One-Tool für eine produktive und vor allem sichere Zusammenarbeit zu etablieren. Daher ist es für uns selbstverständlich, die aktuellen Richtlinien und Standards im Blick zu behalten und Nachweise zu erlangen, die unser Streben nach Datensicherheit bestätigen. So wird es für jeden deutlich: Bei Stackfield wird Datenschutz gelebt!

Entsprechend sind wir nun stolz darauf, dass wir mit dem sehr gut abgeschlossenen C5-Testat des Bundesamts für Sicherheit in der Informationstechnik eindrücklich nachweisen können, dass Stackfield die strengen Kriterien des führenden Cloud-Computing-Standards für die IT-Sicherheit in Deutschland erfüllt. In diesem Artikel gehen wir näher auf das Testat ein und beleuchten, welche Inhalte es abdeckt, welche Vorteile es für Anwender bietet und wie es sich von anderen Sicherheitsstandards abhebt.

Inhalt des Artikels:
• Was ist das C5-Testat?
• Unser Weg zum C5-Testat
• Welche Inhalte umfasst das Testat?
• Das C5-Testat und seine Vorteile
• ISO-Zertifizierung, C5-Testat – Was ist der Unterschied?
• Bei Stackfield steht die Informationssicherheit an erster Stelle

Was ist das C5-Testat?

Der sogenannte Cloud Computing Compliance Criteria Catalogue (C5) ist ein Standard für Anbieter von Cloud-Diensten, der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelt wurde. Das C5-Testat bewertet dabei die Informationssicherheit bei Cloud-Dienstleistern wie Stackfield anhand verschiedener Sicherheitsmaßnahmen und -empfehlungen.

Dieses Testat hilft insbesondere Kunden aus Deutschland und Europa, verlässliche Cloud-Anbieter zu identifizieren und eine fundierte Entscheidung über deren Sicherheitsstandards zu treffen. Für Unternehmen ist dieser in Deutschland anerkannte und international respektierte Maßnahmenkatalog ein hilfreicher Orientierungspunkt im oft unübersichtlichen Cloud-Markt.

Unser Weg zum C5-Testat

Nachdem wir bereits erfolgreich im Jahr 2022 nach ISO 27001 sowie im Jahr 2023 nach ISO 27017 und ISO 27018 zertifiziert wurden, war der Schritt zum C5-Testat für uns der einzig logische. Die strengen Vorgaben des BSI zeigen verlässlich, dass ein Unternehmen dem Schutz seiner Daten in der Cloud die höchste Priorität zukommen lässt. Die Vorbereitungen für diesen anspruchsvollen Schritt haben bereits 2023 begonnen. Dank der guten Basis, die wir uns im Zuge der ISO-Zertifizierungen erarbeitet haben, und Dank eines leistungsstarken ISMS-Tools war diese Aufgabe trotz der großen Zahl an Anforderungen gut umsetzbar.

Ende April 2024 wurde das C5-Testat offiziell beauftragt. Nach einigen weiteren intensiven Monaten der Vorarbeit, vielen technischen Erweiterungen und Anpassungen, einem spannenden Workshop zur Gap-Analyse im Juni / Juli und der Erweiterung der bestehenden Dokumentation war es im November soweit und wir konnten den Auditor einer unabhängigen Prüfstelle in unseren Räumlichkeiten begrüßen. Nach zwei arbeitsreichen Tagen stand dann fest – Stackfield erhält das C5-Testat!

Welche Inhalte umfasst das Testat?

Das C5-Testat setzt strenge Anforderungen an die organisatorischen und technischen Sicherheitsmaßnahmen eines Cloud-Dienstleisters. Im Detail umfasst das Testat 17 zentrale Bereiche. Dazu gehören beispielsweise:

1. Organisation der Informationssicherheit: Dazu gehört die Planung, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung eines Rahmenwerks zur Informationssicherheit innerhalb der Organisation, beispielsweise durch ein Informationssicherheitsmanagementsystem (ISMS).
2. Personal: Dazu gehört die nachweisbare Garantie, dass Mitarbeiter ihre Aufgaben verstehen, sich ihrer Verantwortung in Bezug auf Informationssicherheit bewusst sind und dass die Assets der Organisation bei Änderung der Aufgaben oder Beendigung des Arbeitsverhältnisses geschützt werden.
3. Physische Sicherheit: Dieser Bereich umfasst die Abwehr von unberechtigtem physischem Zutritt sowie den Schutz vor Diebstahl, Schaden, Verlust und Ausfall des Betriebs. Zu letzterem gehört beispielsweise die Bereitstellung des Cloud-Dienstes aus zwei Standorten, die sich gegenseitig Redundanz geben.
4. Kryptographie und Schlüsselmanagement: Dieser Punkt behandelt den angemessenen und wirksamen Gebrauch von Kryptographie zum Schutz der Vertraulichkeit, Authentizität oder Integrität von Information. Dazu gehört etwa ein starkes Verschlüsselungsverfahren.
5. Umgang mit Sicherheitsvorfällen: Hierunter fällt ein konsistentes und umfassendes Vorgehen zur Erfassung, Bewertung, Kommunikation und Behandlung von Sicherheitsvorfällen – von der Kundenkommunikation bis zur Meldung der Vorfälle an externe Stellen wie z. B. das BSI.
6. Compliance: Das Vermeiden von Verstößen gegen gesetzliche, regulatorische, selbstauferlegte oder vertragliche Anforderungen zur Informationssicherheit gehört genauso zu diesem Punkt wie das Überprüfen der Einhaltung und regelmäßige Audits.

Das C5-Testat und seine Vorteile

Für Dich als Stackfield-Nutzer bringt das C5-Testat einen klaren Vorteil: Es gibt Dir die Sicherheit, dass Stackfield unabhängig geprüft wurde und den höchsten Sicherheitsstandards entspricht. Gerade für Unternehmen, die sensible Daten oder vertrauliche Dokumente verwalten, bietet das C5-Testat ein zusätzliches Sicherheitsnetz. Zudem schafft es Vertrauen, weil die Sicherheitsmaßnahmen transparent gemacht und kontinuierlich überprüft werden.

Der Nachweis zum C5-Testat ist insbesondere für Behörden und andere Einrichtungen des öffentlichen Rechts relevant. Laut dem Mindeststandard des BSI zur Nutzung externer Cloud-Dienste sind diese Stellen verpflichtet, die C5-Kriterien als Mindestanforderung bei der Nutzung von Cloud-Angeboten zu nutzen. Damit wird deutlich, dass Stackfield nachweislich dazu geeignet ist, sogar von Bundesbehörden bedenkenlos genutzt zu werden.

ISO-Zertifizierung, C5-Testat – Was ist der Unterschied?

Es ist nicht einfach, sich im Dschungel der Fachbegriffe zurechtzufinden. Was ist eigentlich der Unterschied zwischen einer ISO-Zertifizierung und dem C5-Testat? Hat das nicht beides einfach nur mit Datenschutz und Informationssicherheit zu tun? Und was ist wertvoller, eine Zertifizierung oder ein Testat?

Während das C5-Testat speziell auf die Sicherheitsanforderungen in der Cloud ausgelegt ist, geht z. B. die ISO 27001-Zertifizierung allgemeiner auf das Informationssicherheits-Managementsystem eines Unternehmens ein. Beide Standards ergänzen sich: Während die ISO 27001 das Fundament für das Sicherheitsmanagement bildet, fokussiert sich das C5-Testat auf Cloud-spezifische Herausforderungen wie Datentransfer, Skalierbarkeit und die Sicherheit komplexer Netzwerkinfrastrukturen. Dabei basiert und erweitert C5 explizit die Kriterien unterschiedlicher nationaler und internationaler Datenschutzstandards. Dazu gehören:

• ISO 27001, ISO 27002 und ISO 27017
• Das IT-Grundschutzkompendium des BSI
• CSA (Cloud Security Alliance)
• AICPA (American Institute of Certified Public Accountants, amerikanischer Berufsverband der Wirtschaftsprüfer)
• ANSSI (Agence nationale de la sécurité des systèmes d’information, französische Behörde für die Sicherheit von Informationssystemen)
• IDW (Institut der Wirtschaftsprüfer)

Bei Stackfield steht die Informationssicherheit an erster Stelle

Das C5-Testat zeigt es einmal mehr: Stackfield nimmt Datenschutz und Informationssicherheit ernst. Wir gehören damit zu den wenigen Anbietern eines digitalen Kollaborationstools, das nicht nur ISO-zertifiziert ist, sondern auch den hohen BSI-Anforderungen entspricht. Du kannst als Nutzer nicht nur sicher sein, dass wir den höchsten Ansprüchen an die Informationssicherheit entsprechen, sondern auch, dass wir unsere Sicherheitsstandards regelmäßig überprüfen – damit Du Dich stets darauf verlassen kannst, dass Deine Daten in sicheren Händen sind.