§ 393 SGB V: Cloud im Gesundheitswesen mit C5-Testat rechtssicher nutzen

Was regelt § 393 SGB V und für wen gilt die Vorschrift?

§ 393 SGB V legt fest, unter welchen Voraussetzungen Sozial- und Gesundheitsdaten im Wege des Cloud-Computing verarbeitet werden dürfen. Die Vorschrift stammt aus dem Gesetz zur Beschleunigung der Digitalisierung des Gesundheitswesens (DigiG) und gilt seit dem 1. Juli 2024. Inzwischen hat der Gesetzgeber sie um eine Regel für neu in Verkehr gebrachte Systeme ergänzt.

Neue Datenschutzpflichten schafft § 393 SGB V nicht. DSGVO, SGB X und BDSG bleiben uneingeschränkt anwendbar, für SGB X und BDSG stellt das § 393 Abs. 8 SGB V ausdrücklich klar. Die Vorschrift ergänzt diese Regeln um zusätzliche IT-Sicherheitsanforderungen beim Einsatz von Cloud-Diensten. Ziel ist, Rechtsklarheit zu schaffen und die Nutzung moderner IT-Infrastrukturen im Gesundheitswesen zu fördern.

Diese Stellen erfasst § 393 Abs. 1 SGB V:

• Leistungserbringer nach dem Vierten Kapitel SGB V, etwa Vertragsärzt:innen, Psychotherapeut:innen, Apotheken, Krankenhäuser und Hebammen
• Krankenkassen und Pflegekassen
• Auftragsdatenverarbeiter dieser Stellen

Sachlich geht es um Gesundheitsdaten im Sinne von Art. 4 Nr. 15 DSGVO und Sozialdaten nach § 67 Abs. 2 SGB X. Wer zu diesem Kreis gehört, muss beim Einsatz von Cloud-Diensten die Zulässigkeitsvoraussetzungen des § 393 SGB V erfüllen.

Unter welchen Voraussetzungen dürfen Gesundheitsdaten in die Cloud?

Die Verarbeitung von Gesundheits- und Sozialdaten in der Cloud ist nach § 393 Abs. 2 und 3 SGB V nur zulässig, wenn Ort der Verarbeitung, Niederlassung und Informationssicherheit den gesetzlichen Vorgaben entsprechen. Kernstück ist ein aktuelles C5-Testat für die eingesetzten Cloud-Systeme.

Alle fünf Voraussetzungen müssen zusammen erfüllt sein:

• Ort der Verarbeitung: im Inland, in einem EU-Mitgliedstaat, einem nach § 35 Abs. 7 SGB I gleichgestellten Staat (EWR, Schweiz) oder einem Drittstaat mit Angemessenheitsbeschluss nach Art. 45 DSGVO.
• Niederlassung im Inland: Die datenverarbeitende Stelle muss über eine Niederlassung in Deutschland verfügen, auch wenn die Verarbeitung außerhalb Deutschlands stattfindet.
• Technische und organisatorische Maßnahmen (TOM): angemessen nach dem Stand der Technik, um die Informationssicherheit zu gewährleisten.
• Aktuelles C5-Testat: im Hinblick auf die C5-Basiskriterien für die eingesetzten Cloud-Systeme und die eingesetzte Technik oder ein gleichwertiger Nachweis nach der C5-Gleichwertigkeitsverordnung.
• Kundenseitige Kriterien: Die im Prüfbericht des Testats genannten Kriterien für Kunden sind umgesetzt.

Bei den TOM hilft § 393 Abs. 5 SGB V vielen Nutzern: Die Maßnahmen gelten als angemessen, wenn die für sie geltenden IT-Sicherheitsanforderungen erfüllt sind. Das sind § 390 SGB V für die vertragsärztliche und vertragszahnärztliche Versorgung, § 391 SGB V für Krankenhäuser und der B3S-GKV/PV für Kranken- und Pflegekassen. Für alle anderen Stellen gilt nach Abs. 6 ein Maßstab, der den Anforderungen nach § 391 SGB V gleichwertig ist.

Fehlt eine der fünf Voraussetzungen des § 393 SGB V, ist die Verarbeitung in der Cloud unzulässig, sofern der Dienst überhaupt als Cloud-Computing-Dienst im Sinne des SGB V gilt.

 

Was gilt als Cloud-Computing-Dienst im Sinne des SGB V?

Ein Cloud-Computing-Dienst ist nach § 384 Nr. 5 SGB V ein digitaler Dienst, der auf Abruf Fernzugriff auf skalierbare und elastische Rechenressourcen bietet, auch wenn diese auf mehrere Standorte verteilt sind. Nur für solche Dienste gelten die Voraussetzungen des § 393 SGB V.

Die Legaldefinition in § 384 Nr. 5 SGB V beschreibt Dienste mit diesen Eigenschaften:

• Verfügbarkeit auf Abruf
• Fernzugriff auf skalierbare und elastische Rechenressourcen
• standortübergreifende Bereitstellung dieser Ressourcen

Die Definition lehnt sich an die Begriffsbestimmung der NIS-2-Richtlinie (EU) 2022/2555 an und umfasst acht Merkmale, darunter Skalierbarkeit, geteilte Nutzung und Elastizität.

Daneben existieren abweichende technische Definitionen, etwa im BSI-Katalog C5:2026, der seine Begriffe aus dem IT-Grundschutz-Kompendium und der Norm ISO/IEC 22123 ableitet. Es herrscht daher eine gewisse Unsicherheit hinsichtlich der konkreten Anforderungen an Cloud-Computing-Dienste nach § 384 Nr. 5 SGB V, eine Einzelfallprüfung ist stets erforderlich.

Welches C5-Testat verlangt § 393 SGB V heute?

Seit dem 1. Juli 2025 verlangt § 393 Abs. 3 Nr. 2 in Verbindung mit Abs. 4 Satz 2 SGB V grundsätzlich ein aktuelles C5-Typ2-Testat. Ein C5-Typ1-Testat reicht nur noch für informationstechnische Systeme, die nach dem 30. Juni 2025 erstmals in Verkehr gebracht wurden, und zwar für die ersten 18 Monate.

Der Cloud Computing Compliance Criteria Catalogue (C5) ist ein Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik (BSI). Er soll einen Mindeststandard für die Informationssicherheit bei Cloud-Diensten etablieren. Das Testat gibt es in zwei Formen:

• C5-Typ1: bescheinigt die Eignung der Kontrollen zum Prüfzeitpunkt. Nach dem BSI-Katalog C5:2026 ist ein Typ-1-Bericht auf den Erstauftrag beschränkt. Bis zum 30. Juni 2025 galt es als aktuelles Testat im Sinne des § 393 SGB V.
• C5-Typ2: umfasst zusätzlich die Wirksamkeit der Maßnahmen über einen Prüfungszeitraum, der nach C5:2026 mindestens drei und höchstens zwölf Monate umfassen soll. Seit dem 1. Juli 2025 ist es der Regelfall.
• Ausnahme für neue Systeme: Wird ein informationstechnisches System nach dem 30. Juni 2025 erstmals in Verkehr gebracht, genügt für die ersten 18 Monate ein C5-Typ1-Testat. Ab dem 19. Monat ist ein C5-Typ2-Testat nötig (§ 393 Abs. 4 Satz 3 SGB V).

Für Kunden schafft das C5-Testat Transparenz über das Sicherheitsniveau des Cloud-Dienstes. Es verpflichtet sie aber auch, die kundenspezifischen Maßnahmen selbst zu bewerten und umzusetzen. Das C5-Typ2-Testat ist damit seit Juli 2025 der gesetzliche Regelnachweis nach § 393 SGB V.

Wie kommt ein Cloud-Dienst zum C5-Testat?

Ein C5-Testat entsteht in einer Prüfung durch Wirtschaftsprüfer. Für Kunden zählt am Ende der Prüfbericht, denn aus ihm ergeben sich die kundenseitigen Kriterien nach § 393 Abs. 3 SGB V.

Wer prüft nach C5 und wie läuft die Prüfung ab?

Die C5-Prüfung führen ausschließlich Wirtschaftsprüfer nach dem internationalen Prüfstandard ISAE 3000 durch. Das BSI ist in den Prüfprozess nicht eingebunden und wertet die Prüfberichte auch nicht aus. Der Ablauf umfasst drei Schritte:

1. Readiness Assessment
2. Audit mit Kontrolltests und Nachweisen
3. Berichterstellung

Geprüft werden nur konkrete Cloud-Dienste und definierte Regionen, nicht die gesamte Cloud-Plattform eines Anbieters.

Welche Kriterien enthält der C5-Katalog?

Der Kriterienkatalog C5 gliedert sich in 17 Themengebiete, auch in der aktuellen Fassung C5:2026. C5:2020 enthält 121 Anforderungen, C5:2026 umfasst 168 Kriterien. Die Prüfung erfolgt organisatorisch, technisch und prozessorientiert. Zu den Themengebieten gehören etwa:

• Organisation der Informationssicherheit
• Kryptographie und Schlüsselmanagement
• Compliance
• Kontinuität des Geschäftsbetriebs und Notfallmanagement
• Produktsicherheit

Die C5-Kriterien teilen sich in Basis- und Zusatzkriterien. Die Basiskriterien bilden nach dem BSI das Mindestniveau für Informationen mit normalem Schutzbedarf und den Mindestumfang jeder C5-Prüfung. Zusatzkriterien können Anbieter für Kunden mit höherem Schutzbedarf in die Prüfung aufnehmen. § 393 SGB V verlangt ein Testat im Hinblick auf die Basiskriterien und nennt keine Katalogversion.

Was steht im C5-Prüfbericht?

Der C5-Prüfbericht ist das Dokument, aus dem Kunden die für sie geltenden Anforderungen ablesen. Bei der üblichen Prüfung einer Erklärung der gesetzlichen Vertreter enthält ein C5-Bericht nach dem BSI-Katalog C5:2026:

• den Prüfungsbericht des unabhängigen Wirtschaftsprüfers mit seinem Urteil
• die Erklärung der gesetzlichen Vertreter zur Angemessenheit und gegebenenfalls Wirksamkeit der Kontrollen
• die Systembeschreibung des Cloud-Anbieters
• die Kontrollen des Anbieters, die Prüfungshandlungen und ihre Ergebnisse
• optional sonstige Informationen des Anbieters, etwa Stellungnahmen zu festgestellten Abweichungen

Die korrespondierenden Kontrollen der Cloud-Kunden bewertet der Prüfer nicht. Er stellt im Bericht klar, dass die C5-Kriterien nur erfüllt sind, wenn auch diese Kundenkontrollen angemessen ausgestaltet und wirksam sind. Die kundenseitigen Kriterien aus dem C5-Prüfbericht umzusetzen, ist deshalb nach § 393 Abs. 3 Nr. 3 SGB V Voraussetzung für eine zulässige Cloud-Nutzung.

Was ändert sich mit dem neuen Katalog C5:2026?

Mit C5:2026 hat das BSI seinen Kriterienkatalog zum zweiten Mal inhaltlich überarbeitet. Die Neufassung führt die Kriterien aus C5:2020 fort, ergänzt sie um neue Anforderungen und gilt für Prüfungen mit Stichtag oder Beginn des Prüfungszeitraums ab dem 1. Juni 2027.

Inhaltlich baut C5:2026 auf den Anforderungen des europäischen Cloud-Zertifizierungsschemas EUCS auf und berücksichtigt unter anderem ISO/IEC 27001:2022, die Cloud Controls Matrix Version 4 und die NIS-2-Richtlinie. Als wesentliche Änderungen gegenüber C5:2020 nennt das BSI:

• Neue Kriterien insbesondere zu Container-Management, Supply-Chain-Management, Post-Quanten-Kryptographie und Confidential Computing
• Mandantenfähigkeit und Souveränität: Beide berücksichtigt der Katalog detaillierter, die Souveränität mit Blick auf ihre technische Umsetzung.
• Unterkriterien: Die Kriterien sind in klar abgegrenzte Unterkriterien gegliedert, die sich genauer einzelnen Kontrollen zuordnen lassen.
• Zusatzkriterien: Sie sind jetzt ausdrücklich als verschärfend oder erweiternd eingestuft.

C5:2026 ist bei Typ-1-Berichten mit Stichtag ab dem 1. Juni 2027 anzuwenden und bei Typ-2-Berichten, deren Prüfungszeitraum am oder nach dem 1. Juni 2027 beginnt. Eine frühere Anwendung ist zulässig. Beginnt ein Typ-2-Zeitraum vor dem 1. Juni 2027 und endet danach, sollte die Prüfung ausschließlich nach C5:2020 erfolgen. Eine Mischung beider Fassungen in einer Prüfung sieht das BSI nicht vor.

Schon früher wird der Wechsel im Prüfbericht sichtbar. Endet der Prüfungszeitraum am oder nach dem 28. Februar 2027, muss der Cloud-Anbieter in der Systembeschreibung Informationen zu geplanten Anpassungen an die Kriterien von C5:2026 aufnehmen, etwa Art der Änderung, Umsetzungsstatus und Umsetzungsdatum. Diese Angaben geben Cloud-Kunden Transparenz darüber, ob ihr Anbieter grundsätzlich in der Lage ist, die Kriterien von C5:2026 künftig einzuhalten.

Welche Nachweise ersetzen das C5-Testat nach der C5-Gleichwertigkeitsverordnung?

Die C5-Gleichwertigkeitsverordnung (C5GleichwV) vom 19. März 2025 erkennt drei andere Standards als gleichwertigen Sicherheitsnachweis an, wenn zusätzlich ein Maßnahmenplan vorliegt. Sie gilt rückwirkend seit dem 1. Juli 2024 und ist nicht befristet. Anlass war der Mangel an verfügbaren Wirtschaftsprüfern, insbesondere kleinere Anbieter waren benachteiligt.

Als Nachweis eines Sicherheitsniveaus, das einem C5-Typ1- oder C5-Typ2-Testat gleichwertig ist, gelten nach § 1 Abs. 1 C5GleichwV Testierungen oder Zertifizierungen nach:

• ISO/IEC 27001 in der jeweils gültigen Fassung
• ISO 27001 auf der Basis von IT-Grundschutz des BSI
• Cloud Controls Matrix (CCM) Version 4.0 in der jeweils gültigen Fassung

Ein ISO-27001-Zertifikat allein genügt nach der C5-Gleichwertigkeitsverordnung also nicht, erst zusammen mit dem Maßnahmenplan ersetzt es das C5-Testat übergangsweise.

Was muss der Maßnahmenplan nach der C5GleichwV enthalten?

Wer statt eines C5-Testats einen alternativen Standard wie ISO/IEC 27001 nachweist, muss die Lücken zu den C5-Basiskriterien schließen. Dafür sieht § 1 Abs. 2 C5GleichwV einen Maßnahmenplan vor, der zugleich den Weg zum eigenen C5-Testat festlegt.

Der Maßnahmenplan enthält vier Bausteine:

1. Lückendokumentation: die C5-Basiskriterien, die der alternative Standard materiell nicht abdeckt.
2. Abhilfemaßnahmen: die technischen und organisatorischen Vorkehrungen, mit denen die Lücken geschlossen werden.
3. Meilensteinplanung: Die Umsetzung darf zwölf Monate ab Erstellung der Meilensteinplanung nicht überschreiten.
4. Weg zum C5-Testat: Dokumentation der Maßnahmen zur Erlangung eines C5-Typ1-Testats innerhalb von 18 Monaten und eines C5-Typ2-Testats innerhalb von 24 Monaten ab Erstellung der Meilensteinplanung. Dazu zählen auch Verträge mit einem Auditor oder die Aufnahme von Vertragsverhandlungen.

Maßnahmenplan und Testat oder Zertifikat sind auf Verlangen unverzüglich vorzulegen, und zwar den beauftragenden Leistungserbringern, Kranken- und Pflegekassen und gegenüber den zuständigen Aufsichtsbehörden.

Weil die Fristen der C5GleichwV ab Erstellung der Meilensteinplanung laufen, erreicht das Ende der 24 Monate inzwischen oder in Kürze, wer die Planung 2024 oder Anfang 2025 erstellt hat.

Fazit: § 393 SGB V verlangt laufend aktuelle C5-Nachweise

Mit § 393 SGB V und dem C5-Testat gibt es eine klare Grundlage für Cloud-Lösungen im Gesundheitswesen. Das schafft Rechtssicherheit, bringt aber auch eigene Pflichten für Anbieter und Nutzer. Prüfen Sie deshalb:

• ob der gewählte Cloud-Dienst die Voraussetzungen des § 393 SGB V erfüllt,
• ob ein aktuelles C5-Testat oder ein gleichwertiger Nachweis vorliegt,
• welche kundenseitigen Maßnahmen Sie umsetzen müssen.

Seit Juli 2025 ist grundsätzlich ein C5-Typ2-Testat erforderlich. Handlungsbedarf entsteht jetzt vor allem durch den Wechsel auf den Katalog C5:2026, der für Typ-2-Prüfungszeiträume ab dem 1. Juni 2027 gilt, und durch die laufenden Fristen aus Maßnahmenplänen nach der C5-Gleichwertigkeitsverordnung. Wer hier rechtzeitig plant, positioniert sich als vertrauenswürdiger Anbieter in einem sensiblen Markt.

 

Häufig gestellte Fragen

Gilt § 393 SGB V auch für Auftragsverarbeiter?

Ja, § 393 Abs. 1 SGB V erfasst ausdrücklich auch die Auftragsdatenverarbeiter von Leistungserbringern sowie von Kranken- und Pflegekassen. Auch sie dürfen Gesundheits- und Sozialdaten nur dann in der Cloud verarbeiten, wenn Verarbeitungsort, Niederlassung, TOM, C5-Testat und die Umsetzung der kundenseitigen Kriterien den Vorgaben entsprechen.

Wie lange ist ein C5-Testat gültig?

Ein C5-Testat hat keine feste Gültigkeitsdauer, § 393 SGB V verlangt ein aktuelles Testat. Nach Angaben des BSI bezieht sich ein C5-Testat immer auf einen bereits abgeschlossenen Zeitraum. Der Prüfungszeitraum eines Typ-2-Berichts soll nach dem BSI-Katalog C5:2026 mindestens drei und höchstens zwölf Monate umfassen, bei der Obergrenze sind Ausnahmen möglich.

Muss der Cloud-Anbieter in Deutschland sitzen?

Einen Sitz in Deutschland verlangt § 393 Abs. 2 SGB V nicht, wohl aber eine Niederlassung der datenverarbeitenden Stelle im Inland. Die Verarbeitung selbst darf auch in einem anderen EU-Mitgliedstaat, im EWR, in der Schweiz oder in einem Drittstaat mit Angemessenheitsbeschluss stattfinden.

Stellt das BSI C5-Testate aus?

Nein, C5-Testate erstellen ausschließlich Wirtschaftsprüfer nach dem Prüfstandard ISAE 3000. Das BSI veröffentlicht den Kriterienkatalog C5, ist aber in die Prüfung selbst nicht eingebunden und wertet die Prüfberichte nicht aus.