BSI C5, ISO 27001, TISAX: Welche Sicherheitsnachweise deutsche Einkäufer wirklich verlangen

Im deutschen Enterprise-Vertrieb kommt der Sicherheitsfragebogen vor dem Vertragsentwurf — und er akzeptiert selten „Sicherheit hat bei uns höchste Priorität“ als Antwort. Einkäufer wollen Nachweise, die sie kennen. Für SaaS-Anbieter, die in den DACH-Markt eintreten, lautet die Frage nicht, ob sie zertifizieren, sondern welcher Nachweis welche Tür öffnet — und in welcher Reihenfolge sich der Aufbau lohnt.

Drei deutsche Besonderheiten prägen das Feld. Einkaufsabteilungen arbeiten mit standardisierten Fragebögen und bevorzugen Zertifikate, die sie ablegen können, gegenüber Erklärungen, die sie bewerten müssen. Regulierte Kunden — Banken unter DORA, Betreiber unter NIS2 — geben ihre eigenen Pflichten in die Lieferkette weiter. Und das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat einen cloudspezifischen Standard geschaffen, der weit über den öffentlichen Sektor hinaus Gewicht hat.

Die Basis: ISO/IEC 27001

Die ISO-27001-Zertifizierung des Informationssicherheits-Managementsystems ist die gemeinsame Sprache des deutschen Einkaufs. Sie ist international anerkannt, prüfbar und zeigt, dass Sicherheit als Prozess gesteuert wird und nicht als Sammlung von Werkzeugen. Die Übergangsfrist von der Ausgabe 2013 zur ISO/IEC 27001:2022 endete im Oktober 2025; Einkäufer erwarten daher Zertifikate nach der aktuellen Ausgabe. Zwei Details zählen in der Praxis: der Geltungsbereich — deckt er wirklich das Produkt und die Teams ab, auf die sich der Kunde verlässt? — und die Erklärung zur Anwendbarkeit, die erfahrene Einkäufer Zeile für Zeile lesen.

Die deutsche Besonderheit: BSI C5

Der Cloud Computing Compliance Criteria Catalogue (C5) definiert Mindestanforderungen an sichere Cloud-Dienste. Er ist kein Zertifikat, sondern ein Testat: Ein unabhängiger Prüfer berichtet über die Kontrollen des Anbieters gegen die C5-Kriterien — entweder über deren Ausgestaltung zu einem Stichtag (Typ 1) oder über deren Wirksamkeit über einen Zeitraum (Typ 2). C5 verlangt zudem Transparenz zu Datenstandort, Gerichtsstand und Offenlegung gegenüber Behörden — genau das, was deutsche Kunden bei US-Anbietern fragen.

Im Frühjahr 2026 hat das BSI den C5:2026 veröffentlicht, die erste vollständige Überarbeitung seit 2020. Er behält die bewährte Struktur, ist an ISO 27001:2022 und NIS2 ausgerichtet und ergänzt Kriterien zu Containern, Post-Quanten-Kryptografie und Confidential Computing. Wer ein erstes C5-Testat plant, sollte auf dem neuen Katalog aufbauen; wer bereits einen C5:2020-Bericht hat, stimmt den Migrationspfad mit seinem Prüfer ab.

• Öffentlicher Sektor: Bundesbehörden erwarten C5 für Cloud-Dienste; viele Länder und Kommunen folgen.
• Finanzdienstleister: Banken und Versicherer fordern C5 zunehmend im Rahmen der DORA-Drittparteienprüfung an.
• Gesundheitswesen: Deutsche Vorgaben zur Cloud-Nutzung bei der Verarbeitung von Gesundheitsdaten verweisen auf C5.

Der Branchenstandard: TISAX

TISAX ist das Informationssicherheits-Assessment der Automobilindustrie, betrieben von der ENX Association auf Basis des VDA-ISA-Katalogs. Sind Ihre Kunden Autohersteller oder deren Zulieferer, ist es nicht optional — ohne TISAX-Label auf dem geforderten Prüfniveau bestehen Sie das Lieferanten-Onboarding nicht. Außerhalb der Automobilbranche fragt niemand danach; wer vorzeitig investiert, gibt Geld an der falschen Stelle aus.

SOC 2 und der Rest

SOC-2-Berichte, in den USA Standard, akzeptieren viele deutsche Einkäufer als ergänzenden Nachweis, selten aber als Ersatz für ISO 27001 oder C5. Zusammenfassungen von Penetrationstests, Ergebnisse von Notfalltests und eine aktuelle Liste der Unterauftragsverarbeiter vervollständigen das typische Nachweispaket. Regulierte Einkäufer ergänzen DORA- oder NIS2-spezifische Fragen zu Vorfallsmeldung, Exit-Unterstützung und Subunternehmerketten.

“

Der deutsche Einkauf kauft kein Vertrauen auf Kredit. Er kauft Nachweise, die er ablegen kann — und das richtige Zertifikat spart mehr Vertriebszyklen als das beste Pitch-Deck.

Die Reihenfolge, die sich auszahlt

1. 01Mit ISO 27001:2022 beginnen — mit einem Geltungsbereich, der das in Deutschland verkaufte Produkt wirklich abdeckt.
2. 02Ein C5-Testat (Typ 1, dann Typ 2) ergänzen, wenn öffentliche Auftraggeber, Finanzdienstleister oder das Gesundheitswesen Zielkunden sind — aufgebaut auf C5:2026.
3. 03TISAX nur verfolgen, wenn die Automobilbranche ein Zielsegment ist.
4. 04Eine Fragebogen-Bibliothek auf Deutsch und Englisch und ein Trust Center mit Nachweisen zum Download unter NDA aufbauen — das verkürzt jede künftige Prüfung.
5. 05Datenstandort, Unterauftragsverarbeiter und Zugriff durch Behörden außerhalb der EU vorab dokumentieren; das ist die erste Rückfrage nach dem Zertifikat.

Fazit

Sicherheitsnachweise sind im deutschen Markt ein Vertriebsinstrument, keine reinen Compliance-Kosten. Anbieter, die ihre Zertifizierungs-Roadmap entlang ihrer Zielsegmente planen, machen den Einkauf vom Hindernis zur Formalie. Aegiron Capital Group unterstützt SaaS- und Fintech-Unternehmen bei der Vorbereitung auf deutsche Enterprise- und Finanzbranchen-Einkäufe; formale Prüfungen, Zertifizierungen und Testate übernehmen die akkreditierten Prüfer und Sicherheitsspezialisten, die Sie beauftragen.