Ein Unternehmen, das eine Menge sensibler personenbezogener Daten verarbeitet und sowohl unter Art. 35 DSGVO fällt, als auch unter die NIS2/BSIG Regulierung, plant weite Teile der Verarbeitung in eine Cloud-Lösung zu migrieren. Aus meiner Sicht ist die Einhaltung der Kriterien von C5 verpflichtend, idealerweise fordert der Verantwortliche ein C5 Testat von den Anbietern vor Vertragsabschluss. Zumindest aber muss sich ein Verantwortlicher vergewissern, dass die Kriterien eingehalten werden und entsprechende Formulierungen in den AV-Vertrag aufnehmen.
Wie ist Eure Meinung? C5 Testat verpflichtend? Oder optional?
Soweit ich weiss, ist C5 nur im Gesundheitsbereich verpflichtend. In anderen Bereichen wäre es damit freiwillig - aber sicher nicht verkehrt. Aber wenn man schon ISO 27001 hat und vielleicht noch was anderes, dann würde ich C5 vielleicht auch (aus Kostengründen) nicht noch oben drauf satteln.