Melden Sie sich zu unserem Newsletter an!
In unserem monatlich erscheinenden Newsletter informieren wir Sie über alle wichtigen Ereignisse, Neuerungen sowie Urteile. Melden Sie sich an und sichern Sie sich unseren Fachartikel zur datenschutzkonformen Umsetzung des Hinweisgeberschutzgesetzes.
Jetzt anmelden!© kanawatTH, Canva
Ab sofort Pflicht: C5-Typ-2-Testat für Cloud-Anwendungen im Gesundheitswesen
Zuletzt aktualisiert am 11.11.2025
Genau hier setzt seit dem 1. Juli 2025 die neue C5-Typ-2-Testat Pflicht an. Sie betrifft alle Leistungserbringer, die digitale Anwendungen in der Cloud einsetzen – von der Online-Terminvergabe über Pflegesoftware bis hin zu medizinischen Forschungsplattformen. Der Gesetzgeber verlangt nun, dass diese Dienste durch ein unabhängiges Testat nachweislich belegen, dass Sicherheitsmaßnahmen nicht nur existieren, sondern auch über längere Zeit wirksam sind.
Für viele Institutionen im Gesundheitswesen bedeutet das einen tiefen Eingriff in ihre bisherige Praxis: Verträge müssen angepasst, Nachweise eingefordert und Prozesse überprüft werden. Wer die Anforderungen ignoriert, riskiert Bußgelder.
Dieser Beitrag erklärt im Detail, was es mit der C5-Typ-2-Testat Pflicht auf sich hat, welche rechtlichen Grundlagen sie hat, wen sie betrifft und welche Schritte jetzt notwendig sind, um rechtssicher und zukunftsfähig aufgestellt zu sein.
Rechtlicher Hintergrund der C5-Typ-2-Testat Pflicht
Ziel ist es, durch verbindliche Nachweise zu gewährleisten, dass angemessene technische und organisatorische Maßnahmen (TOMs) umgesetzt sind. Diese Maßnahmen müssen dokumentiert, überprüfbar und nachhaltig wirksam sein, um den hohen Anforderungen an Datensicherheit und Compliance gerecht zu werden.
Wer ist von der C5-Typ-2-Testat Pflicht betroffen?
Doch nicht nur die direkten Leistungserbringer sind betroffen: Auch Cloud-Dienstleister, Softwareanbieter und deren Unterauftragnehmer müssen ein gültiges C5-Typ-2-Testat vorlegen, wenn sie Teil der Datenverarbeitungskette sind.
Was ist ein C5-Typ-2-Testat?
Während beim C5-Typ-1-Testat lediglich geprüft wird, ob die geforderten Kontrollen und Prozesse zu einem bestimmten Zeitpunkt existieren, geht das C5-Typ-2-Testat einen entscheidenden Schritt weiter: Es bewertet, ob diese Maßnahmen über einen Zeitraum von 6 bis 12 Monaten wirksam umgesetzt und gelebt werden. Dazu gehören u. a. die Einhaltung von Sicherheitsrichtlinien, Nachweise über Kontrollen sowie eine nachhaltige Dokumentation.
Für Leistungserbringer und Institutionen, die Sozial- und Gesundheitsdaten verarbeiten, bedeutet dies: Nur das C5-Typ-2-Testat liefert die notwendige Sicherheit, dass ihre Cloud-Dienste langfristig den gesetzlichen Anforderungen entsprechen und somit rechtlich nutzbar bleiben.
Übergangsregelungen und Fristen
Der Gesetzgeber hat klare Zeitpläne definiert:
- Innerhalb von 12 Monaten müssen erkannte Sicherheitslücken geschlossen werden.
- Innerhalb von 18 Monaten ist das C5-Typ-1-Testat nachzuweisen.
- Spätestens nach 24 Monaten muss das C5-Typ-2-Testat vorliegen.
Die vollständige Umsetzung dieser Übergangsmaßnahmen muss bis spätestens 1. Juli 2027 abgeschlossen sein. Danach dürfen nur noch Cloud-Dienste genutzt werden, die über ein gültiges C5-Typ-2-Testat verfügen.
Sie wollen up to date bleiben?
In unserem monatlich erscheinenden Newsletter informieren wir Sie über alle wichtigen Ereignisse, Neuerungen sowie Urteile. Melden Sie sich an und sichern Sie sich unseren Fachartikel zur datenschutzkonformen Umsetzung des Hinweisgeberschutzgesetzes.
Konsequenzen eines fehlenden C5-Typ-2-Testats
Die weitere Nutzung solcher Anwendungen würde erhebliche Datenschutzverstöße darstellen und kann zu Bußgeldern führen. Darüber hinaus riskieren Institutionen, dass ihre gesamte IT-Infrastruktur als nicht compliant eingestuft wird – ein Problem, das nicht nur rechtliche, sondern auch organisatorische und finanzielle Risiken nach sich zieht.
Was Institutionen und Leistungserbringer jetzt beachten müssen
Bei neuen Cloud-Lösungen sollte das Thema von Anfang an in die Vertragsgestaltung einfließen. Neben dem obligatorischen Auftragsverarbeitungsvertrag (AV-Vertrag) und den dokumentierten technischen und organisatorischen Maßnahmen (TOMs) sind künftig auch die C5-Testate oder Übergangsdokumente einzufordern.
Alle Schritte von der Anforderung über die Prüfung bis zur Dokumentation müssen Teil des Datenschutz-Managementsystems sein. Da Testate zeitlich befristet gültig sind, ist zudem ein regelmäßiger Prüfzyklus einzuplanen, um die langfristige Compliance und Datensicherheit zu gewährleisten.
C5-Kriterienkatalog des BSI: Stetige Anpassung für Cloud-Compliance
Leistungserbringer und Cloud-Anbieter sollten deshalb ihre Cloud-Compliance-Strategie regelmäßig überprüfen und anpassen. Wer frühzeitig in flexible und sichere Lösungen investiert, verschafft sich nicht nur rechtliche Sicherheit, sondern auch einen Wettbewerbsvorteil.
Fazit
Die Einführung der C5-Typ-2-Testat Pflicht markiert einen entscheidenden Wendepunkt für das deutsche Gesundheitswesen. Institutionen und Leistungserbringer, die Sozial- und Gesundheitsdaten mithilfe von Cloud-Diensten verarbeiten, sind nun verpflichtet, höchste Standards der Datensicherheit und Compliance nachzuweisen. Während Übergangsregelungen für bereits ISO 27001-zertifizierte Anbieter gewisse Erleichterungen bieten, führt langfristig kein Weg am C5-Typ-2-Testat vorbei.
Für die Praxis bedeutet das: Bestehende Dienste müssen überprüft, neue Verträge angepasst und Nachweise konsequent eingefordert und dokumentiert werden. Wer diese Anforderungen ignoriert, riskiert nicht nur rechtliche Konsequenzen und Bußgelder, sondern auch das Vertrauen von Patient:innen und Partner.
Damit ist klar: Die C5-Typ-2-Testat Pflicht ist mehr als eine regulatorische Formalität – sie ist ein zentrales Instrument für die sichere und zukunftsfähige Digitalisierung im Gesundheitswesen.
Quellen
“, Bonn, https://www.bsi.bund.de/dok/13448096, letzter Zugriff 23.10.2025
Externer Datenschutz – Datenschutz und Datensicherheit – Datenschutzschulungen
Impressum | Datenschutzerklärung