C5-Testate werden zum entscheidenden Faktor in der Gesundheitswirtschaft

​​​​​​​​​​​​​​​veröffentlicht am 27. November 2025

Warum jetzt alle Akteure handeln müssen – und welche Konsequenzen drohen
Die Anforderungen an Informationssicherheit und Compliance steigen in der Gesundheitswirtschaft seit Jahren kontinuierlich. Doch ein Baustein gewinnt aktuell besondere Bedeutung: das C5-Testat. Was bislang häufig als optionales Qualitätsmerkmal betrachtet wurde, wird jetzt zur Pflicht – und zwar für nahezu alle Akteure, die Cloud-Dienste zur Verarbeitung von Sozial- ​oder Gesundheitsdaten nutzen.
 

Gesetzliche Pflicht – aber bislang kaum eingefordert

Gemäß § 393 SGB V sind C5-Testate bereits heute verpflichtend, wenn Leistungserbringer, Krankenkassen oder Pflegekassen sowie deren Auftragsdatenverarbeiter sensible Daten in Cloud-Diensten verarbeiten. In der Praxis wird diese Nachweispflicht jedoch bislang häufig ignoriert oder schlicht nicht aktiv eingefordert.
 
Doch das wird sich bald ändern. In der neuen Version des Branchenspezifischen Sicherheitsstandards (B3S) „Medizinische Versorgung“ findet sich eine klare Vorgabe:

KRITIS-Betreiber müssen künftig C5-Prüfberichte ihrer Dienstleister einholen, bewerten und deren Wirksamkeit nachweisen. Spätestens im Rahmen der nächsten KRITIS-Wirksamkeitsprüfungen müssen diese Nachweise vorliegen. ​Schon vor diesen neuen Anforderungen gilt: Es ist Aufgabe der jeweiligen Geschäftsführung, entsprechende Nachweise einzufordern – andernfalls verstoßen sie gegen die Sorgfaltspflichten aus NIS-2. Das kann zu erheblichen Bußgeldern führen.

 
Damit wird klar: Die C5-Testierung ist nicht nur eine technische Absicherung, sondern ein Compliance-Pflichtprogramm für jede Organisation im Gesundheitswesen.
 

Cloud-Dienstleister unter Druck – aber auch mit neuen Chancen

Für Cloud- und SaaS-Anbieter bedeutet die Entwicklung zunächst einen deutlichen Mehraufwand. Insgesamt 121 Anforderungen aus 17 Bereichen müssen nach dem aktuellen Standard C5:2020 erfüllt werden.
 
Mit dem neuen Standard C5:2025 verschärfen sich die Vorgaben weiter. Die Überarbeitung bringt strengere Sicherheitsanforderungen, modernisierte Controls und zusätzliche Vorgaben zur Lieferkettensicherheit. Ziel ist unter anderem eine stärkere Harmonisierung mit europäischen Standards wie der NIS-2-Richtlinie und dem EUCS.