01.07.2025
C5-Testatspflicht: Was Anbieter im Gesundheitswesen jetzt wissen müssen
Mit dem Inkrafttreten des neuen Digitalgesetzes (DigiG) und der damit einhergehenden Ergänzung des § 393 SGB V gelten ab sofort verschärfte Vorgaben zur Informationssicherheit im Gesundheitswesen. Seit 1. Juli 2025 ist Cloud-Computing nur unter klar definierten Bedingungen zulässig – betroffen sind insbesondere Anbieter cloudbasierter Softwarelösungen und Leistungserbringer wie niedergelassene Ärzte, Krankenhäuser und Apotheken sowie die Kranken- und Pflegekassen.
In diesem Artikel informieren wir Sie über
- die gesetzlichen Neuerungen zur Cloud-Nutzung im Gesundheitswesen.
- den C5-Standard als Maßstab für Informationssicherheit.
- die verschiedenen Arten von Prüfungen und Fristen.
- konkrete Handlungsempfehlungen für betroffene Organisationen.
Hintergrund
Cloud-Computing ist in den vergangenen Jahren zu einem zentralen Bestandteil moderner IT-Infrastrukturen geworden. Immer mehr Unternehmen verlagern ihre Anwendungen und Systeme in öffentliche, private oder hybride Cloud-Umgebungen. Im Gesundheitswesen sind diese Potenziale jedoch bislang nur eingeschränkt nutzbar gewesen, insbesondere wegen der hohen Sensibilität der verarbeiteten Daten.
§ 393 SGB V schafft nun erstmals eine eindeutige gesetzliche Grundlage für den rechtskonformen Einsatz von Cloud-Diensten bei der Verarbeitung von Sozial- und Gesundheitsdaten. Dabei wird gleichzeitig ein hoher Sicherheitsstandard verpflichtend: Die Nutzung cloudbasierter Systeme ist nur dann zulässig, wenn ein aktuelles Testat nach dem C5-Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik (BSI) vorliegt.
Was ändert sich konkret?
Der zentrale Inhalt der Neuregelung ist: Wer Cloud-Dienste zur Verarbeitung sensibler Daten einsetzt, muss nachweisen, dass diese dem Stand der Technik im Bereich Informationssicherheit entsprechen. Eine wirtschaftlich angespannte Lage oder fehlende Kapazitäten sind keine Entschuldigung mehr für unzureichenden Datenschutz.
Der Gesetzgeber verweist erstmals ausdrücklich auf den BSI C5-Standard als verpflichtendes Sicherheitsniveau. Damit geht die Verantwortung für sichere Cloud-Infrastrukturen eindeutig auf die datenverarbeitende Stelle über – unabhängig davon, ob ein externer IT-Dienstleister eingebunden ist.
Der C5-Standard im Überblick
Mit Einführung des § 393 SGB V wird erstmals ein expliziter gesetzlicher Erlaubnistatbestand für die Nutzung von Cloud-Computing bei der Verarbeitung von Sozial- und Gesundheitsdaten auf Bundesebene geschaffen.
Der Cloud Computing Compliance Criteria Catalogue (C5) wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelt und umfasst eine Reihe von Kontrollen und Anforderungen, die Unternehmen erfüllen müssen, um Sicherheit, Datenschutz und Compliance in Cloud-Umgebungen zu gewährleisten. Unter anderem Richtlinien zu:
- Zugriffskontrolle
- Datenverschlüsselung
- Notfallmanagement
- Compliance-Monitoring
Mit dem neu eingeführten § 393 SGB V wird der C5-Standard des BSI nun verpflichtend vorgeschrieben – ein bedeutender Schritt in Richtung einheitlicher Sicherheitsstandards für Cloud-Anwendungen im Gesundheitswesen.
Wer ist betroffen?
Die neue Regelung betrifft sämtliche Leistungserbringer nach dem SGB V – dazu gehören unter anderem:
- niedergelassene Ärzte
- Krankenhäuser
- Apotheken
- Hersteller digitaler Gesundheitsanwendungen (DiGA)
- Kranken- und Pflegekassen
Besonders wichtig: Das C5-Testat muss durch die datenverarbeitende Stelle selbst vorgelegt werden – es genügt nicht, sich lediglich auf die Zertifizierung des Hosting-Dienstleisters zu berufen. Für Betreiber cloudbasierter Anwendungen bedeutet das: Die Verantwortung für den Nachweis liegt bei Ihnen.
C5-Testierung: Zwei Arten der Prüfung
Die C5-Testierung erfolgt in zwei Stufen:
C5- Typ 1 – Angemessenheitsprüfung:
C5-Typ 2 – Angemessenheits- und Wirksamkeitsprüfung:
Nur die Kombination aus dokumentierten Maßnahmen und deren effektiver Anwendung in der Praxis erfüllt seit Juli 2025 die gesetzlichen Anforderungen
Seit 01.07.2025 ist ein C5-Testat (Typ 2) Pflicht
Der neue § 393 SGB V ist zum 1. Juli 2024 in Kraft getreten. Bis zum 30. Juni 2025 genügte noch ein C5-Typ-1-Testat, das die Angemessenheit der Sicherheitsmaßnahmen zum Zeitpunkt der Prüfung dokumentiert.
Seit dem 1. Juli 2025 ist ein C5-Typ-2-Testat erforderlich.
Dieses prüft zusätzlich die Wirksamkeit der implementierten Maßnahmen über den Berichtszeitrum hinweg.
Das Testat darf ausschließlich von unabhängigen Wirtschaftsprüfungsprüfern ausgestellt werden und ist jährlich zu erneuern.
Was ist jetzt zu tun?
Um den seit 1. Juli 2025 geltenden Richtlinien zu entsprechen, empfehlen wir folgende Schritte:
1. Bestandsaufnahme:
Haben Sie bereits ein C5-Testat – und wenn ja, welchen Typ? Wie lange ist es gültig?
2. Lückenanalyse:
Welche Anforderungen des C5-Katalogs sind bereits erfüllt, welche noch nicht?
3. Maßnahmenplan erstellen:
Dokumentieren Sie klare Schritte, Verantwortlichkeiten und Deadlines zur Erfüllung aller Anforderungen.
4. Prüfungspartner beauftragen:
Planen Sie frühzeitig die Zusammenarbeit mit einem Wirtschaftsprüfer, um Engpässe bei der Testierung zu vermeiden.
Wir unterstützen Sie gerne
Mit dem neuen § 393 SGB V wird die Informationssicherheit im Gesundheitswesen auf ein neues Niveau gehoben. Das C5-Testat wird zum zentralen Instrument für den Nachweis gesetzeskonformer Cloud-Nutzung – seit Juli 2025 verpflichtend im Typ-2-Format.
Unsere erfahrenen Wirtschaftsprüfer begleiten Sie bei allen Schritten der C5-Umsetzung. Unser Leistungsspektrum umfasst:
- Beratung zur Umsetzung der Anforderungen des C5-Katalogs
- Durchführung von C5- Prüfungen (Typ1 und Typ 2)
Sie haben Fragen zur C5-Zertifizierung oder zur Integration der Anforderungen in Ihre Organisation? Sprechen Sie uns jederzeit gerne an – wir unterstützen Sie kompetent und praxisnah.