SaaS im Gesundheitswesen: Braucht Ihre Software ein C5-Testat?

Das Wichtigste in Kürze

• Seit dem 1. Juli 2024 dürfen Leistungserbringer der gesetzlichen Krankenversicherung sowie Kranken- und Pflegekassen Gesundheitsdaten nur dann in der Cloud verarbeiten, wenn ein aktuelles C5-Testat vorliegt (§ 393 SGB V). Die Pflicht erfasst auch ihre Auftragsverarbeiter, also die meisten Health-SaaS-Anbieter.
• Das C5-Testat Ihres Hosting-Anbieters reicht nicht aus. Testiert werden muss der Dienst, der die Daten verarbeitet, und das ist Ihr SaaS-Produkt.
• Seit dem 1. Juli 2025 ist ein Typ-2-Testat Pflicht. Dienste, die nach dem 30. Juni 2025 erstmals auf den Markt gekommen sind, kommen die ersten 18 Monate mit einem Typ-1-Testat aus.
• Für Typ-2-Prüfzeiträume, die ab dem 1. Juni 2027 beginnen, gilt ausschließlich der neue Katalog C5:2026 mit 168 statt bisher 121 Basiskriterien.
• Eine ISO/IEC-27001-Zertifizierung kann nach der C5-Gleichwertigkeitsverordnung bis zu 24 Monate als Brücke dienen, wenn ein verbindlicher Plan zur Schließung der C5-Lücken vorliegt.

Braucht meine SaaS im Gesundheitswesen ein C5-Testat?

Wenn Sie im Auftrag einer Praxis, einer Klinik, eines Pflegedienstes oder einer Kasse Gesundheitsdaten in der Cloud verarbeiten, lautet die Antwort in der Regel "Ja", auch wenn Sie nicht selbst hosten. Entscheidend ist vor allem, wer Ihre Kunden sind.

§ 393 SGB V richtet sich auf den ersten Blick an Vertragsärzte, Krankenhäuser, Apotheken und therapeutische Berufe. Betroffen sind aber nicht nur die Leistungserbringer nach dem Vierten Kapitel des SGB V und die Kranken- und Pflegekassen, sondern auch ihre Auftragsverarbeiter. Wer Software anbietet, mit der diese Berufsgruppen Patientendaten verarbeiten, trägt die Verantwortung für die Informationssicherheit maßgeblich mit. Was ein C5-Testat grundsätzlich ist und wie die Prüfung abläuft, erklären wir in unserem Leitfaden zum C5-Testat.

Viele Softwareanbieter merken erst im Sales-Gespräch, dass sie betroffen sind: Die Einkaufsabteilung des Leads verlangt plötzlich das C5-Testat. Kurz vor Vertragsabschluss wird das schnell zum Dealbreaker, wenn weder ein übergangsweise anerkanntes Zertifikat noch ein konkretes Datum für das Typ-2-Testat vorliegt.

Gerade in wachsenden Softwareunternehmen bekommt eine neue gesetzliche Anforderung neben langen To-do-Listen nicht immer sofort die nötige Aufmerksamkeit. Auch Start-ups und Scale-ups, die Software für Arztpraxen, Pflegeberufe oder Apotheken anbieten, stehen in der Pflicht. Der über 200 Seiten starke Kriterienkatalog wirkt dann schnell wie eine unüberwindbare Hürde.

Diese Tabelle bietet Ihnen eine erste Orientierung:

Reicht es, wenn mein Hosting-Anbieter ein C5-Testat hat?

Nein. § 393 verlangt das Testat von der Stelle, die die Daten verarbeitet (§ 393 Abs. 3 Nr. 2 SGB V), und das sind Sie als SaaS-Anbieter. Ihre Kunden müssen außerdem die korrespondierenden Kundenkriterien aus Ihrem Prüfbericht umsetzen (§ 393 Abs. 3 Nr. 3 SGB V).

Dieses Missverständnis begegnet mir in Gesprächen mit Health-SaaS-Anbietern immer wieder. Ich erkläre es gern mit einem Bild: Ein abgesichertes Gebäude ersetzt nicht das abgeschlossene Büro. Genauso ersetzt das Testat des Hosters nicht das Testat des Softwareanbieters, der die Daten verarbeitet.

Das Testat Ihres Hosting-Anbieters brauchen Sie trotzdem. Ihm gegenüber sind Sie selbst in der Kundenrolle und müssen seine Kundenkriterien umsetzen, damit Ihr eigenes C5-Testat belastbar ist. Ihr Prüfer klammert die Infrastruktur des Hosters aus Ihrer Prüfung aus und stützt sich stattdessen auf dessen Testat und Prüfbericht (Carve-out-Methode). Das Hoster-Testat ist also ein Baustein für Ihres, kein Ersatz. Ein C5-Testat gilt immer nur für die geprüften Dienste, nie für den Anbieter als Ganzes.

Das Gleiche gilt für Unterauftragsverarbeiter. Wenn Sie nicht direkt an Praxen verkaufen, sondern an Softwareanbieter, die Praxen bedienen, betrifft C5 Sie genauso. Ein Beispiel aus der Praxis: Sie bieten eine KI-gestützte Transkriptions-API an, die ein Praxisverwaltungssystem in sein Produkt einbaut. Ihr Vertragspartner ist der PVS-Hersteller, nicht die Praxis. Da durch Ihre API trotzdem Patientendaten laufen, sind Sie Unterauftragsverarbeiter in der Lieferkette. Ihr Kunde muss die Anforderungen vertraglich an Sie weitergeben und wird das C5-Testat verlangen.

Zwei weitere Irrtümer höre ich häufig. Die Pflicht entfällt nicht, nur weil Ihre Kunden bisher nicht danach gefragt haben. Und Pseudonymisierung befreit Sie nicht: Pseudonymisierte Gesundheitsdaten bleiben personenbezogene Daten im Sinne der DSGVO. Nur vollständig anonymisierte Daten sind ausgenommen.

Was verlangt § 393 SGB V für Cloud-Software im Gesundheitswesen?

§ 393 SGB V erlaubt die Cloud-Verarbeitung von Gesundheits- und Sozialdaten nur unter vier Bedingungen. Das C5-Testat ist eine davon, aber nicht die einzige.

1. Verarbeitungsort: Die Verarbeitung muss in Deutschland, der EU, einem gleichgestellten Staat oder einem Land mit Angemessenheitsbeschluss erfolgen (§ 393 Abs. 2 SGB V). Das gilt auch für Zugriffe: Kunden-Support aus Drittstaaten ohne Angemessenheitsbeschluss ist nicht zulässig. Daran ändern auch Standardvertragsklauseln nichts.
2. Technische und organisatorische Maßnahmen: Das verarbeitende Unternehmen muss nach dem Stand der Technik angemessene TOMs zur Informationssicherheit definieren und umsetzen. Welcher Maßstab gilt, richtet sich nach dem Kunden: Für Praxen, Kliniken und Kassen gelten unterschiedliche Anforderungen nach §§ 390 und 391 SGB V.
3. Aktuelles C5-Testat: Es muss die Basiskriterien des Katalogs abdecken.
4. Kundenkriterien: Die im Prüfbericht gelisteten korrespondierenden Kriterien für Kunden müssen umgesetzt sein.

Darüber hinaus gelten die Anforderungen aus SGB X und BDSG weiter. Ein C5-Testat ersetzt keinen ordentlichen Auftragsverarbeitungsvertrag. Welche Pflichten die DSGVO zusätzlich mit sich bringt, fassen wir in unserem Überblick zu den DSGVO-Anforderungen zusammen.

Das C5-Testat hilft Ihnen auch im Vertrieb. Auf Antrag können Sie testierte Systeme auf der Plattform des Kompetenzzentrums für Interoperabilität im Gesundheitswesen veröffentlichen lassen (§ 393 Abs. 7 SGB V). Dort finden Praxen, Kliniken, Kranken- und Pflegekassen Ihr Produkt direkt, wenn sie einen Cloud-Anbieter suchen, der § 393 SGB V erfüllt.

C5 Typ 1 oder Typ 2: Welches Testat brauche ich nach § 393?

Grundsätzlich Typ 2. Inhaltlich unterscheiden sich die beiden Typen nicht: Typ 1 bewertet die Angemessenheit der Maßnahmen zu einem Stichtag, Typ 2 ihre Wirksamkeit über einen Zeitraum. Die Unterschiede im Detail erklären wir in unserem Leitfaden zur C5-Attestierung.

Bis zum 30. Juni 2025 genügte für § 393 ein Typ-1-Testat, seit dem 1. Juli 2025 ist das Typ-2-Testat verpflichtend. Eine Ausnahme gibt es nur für Dienste, die nach dem 30. Juni 2025 erstmals in Verkehr gebracht wurden: Für sie reicht in den ersten 18 Monaten ein Typ-1-Testat, ab dem 19. Monat wird Typ 2 gefordert.

Für die Planung ist der Prüfzeitraum entscheidend. Laut BSI deckt ein Typ-2-Testat einen Beobachtungszeitraum von 6 bis 12 Monaten ab, wie die Einführung des BSI zum C5 erläutert. Die Maßnahmen müssen ab dem ersten Tag dieses Zeitraums Nachweise erzeugen, etwa Tickets, Logs oder dokumentierte Reviews. Der Prüfer zieht Stichproben aus dem gesamten Zeitraum, und Lücken lassen sich nicht nachträglich schließen.

Ich empfehle deshalb, den Prüfzeitraum für das Typ-2-Testat direkt an das Typ-1-Testat anzuschließen. So vermeiden Sie im 19. Monat böse Überraschungen.

Gilt für neue Prüfungen noch C5:2020 oder schon C5:2026?

Wer heute anfängt, sollte direkt nach C5:2026 testieren lassen. Für Typ-2-Prüfzeiträume, die ab dem 1. Juni 2027 beginnen, gilt nur noch der neue Katalog.

Prüfungen, die vor dem 28. Februar 2027 enden, können vollständig nach C5:2020 laufen. Endet ein C5:2020-Prüfzeitraum zwischen dem 28. Februar und dem 31. Mai 2027, muss die Systembeschreibung die geplanten Änderungen hin zu C5:2026 dokumentieren.

C5:2026 umfasst 168 Basiskriterien statt bisher 121, dazu 89 Zusatzkriterien. Für § 393 SGB V sind nur die Basiskriterien verpflichtend. Neu sind unter anderem Anforderungen an Confidential Computing, Post-Quanten-Kryptografie und Container-Management. Einige bestehende Anforderungen, etwa an die Überwachung der Lieferkette und die Mandantentrennung, wurden verschärft (BSI, Änderungshistorie C5:2026). Die Kriterien sind weiterhin 17 Themengebieten zugeordnet, die Kapitel 5 des Kriterienkatalogs C5:2026 gliedern.

Wie lange dauert ein C5-Testat und was kostet es?

Mit einem bestehenden ISMS nach ISO/IEC 27001 dauert der Weg zum Typ-2-Testat etwa 7 bis 14 Monate, weil allein der Beobachtungszeitraum mindestens 6 Monate beträgt. Ohne operatives ISMS sollten Sie konservativer mit 12 bis 20 Monaten planen. Wie Sie ein ISMS von Grund auf aufbauen, beschreiben wir gesondert.

In der Praxis ist die initiale Umsetzung der Kriterien selten das Problem. Worauf ich meine Kunden vor allem hinweise: Über den gesamten Prüfzeitraum müssen lückenlos Nachweise entstehen. Wer im dritten Monat ein Review vergisst, kann es nicht nachholen.

Auch die Kosten variieren stark. Zu berücksichtigen sind Softwarelizenzen, Beratung, die Honorare des testierenden Wirtschaftsprüfers und interne Aufwände. Einfache Typ-1-Prüfungen beginnen im unteren fünfstelligen Bereich, komplexe Typ-2-Prüfungen über längere Zeiträume können sechsstellige Beträge erreichen. Die Prüfgesellschaften legen ihre Honorare frei fest. Jährliche Folgeprüfungen sind in der Regel günstiger als die Erstprüfung.

Ersetzt ein ISO/IEC-27001-Zertifikat das C5-Testat?

Nur übergangsweise. Die ISO/IEC 27001 ist ein solides Fundament: Das Kriterium OIS-01 des C5:2026 verlangt sogar ein nach ISO/IEC 27001 aufgebautes, wenn auch nicht zwingend zertifiziertes ISMS (C5:2026, Kapitel 5.1, Kriterium OIS-01). Über die C5-Gleichwertigkeitsverordnung kann das Zertifikat bis zu 24 Monate als Brücke dienen.

Die Gleichwertigkeitsverordnung setzt voraus, dass über das ISO/IEC-27001-Zertifikat hinaus vier Punkte erfüllt sind (§ 1 Abs. 2 C5GleichwV):

• Es liegt eine Gap-Dokumentation der nicht erfüllten C5-Basiskriterien vor.
• Es bestehen technische und organisatorische Maßnahmen, die die identifizierten Lücken abdecken.
• Ein Meilensteinplan sieht vor, diese Lücken innerhalb von 12 Monaten zu schließen.
• Es liegen Maßnahmen vor, um das Typ-1-Testat innerhalb von 18 und das Typ-2-Testat innerhalb von 24 Monaten ab Erstellung des Meilensteinplans zu erlangen.

Den Umsetzungsplan und das Zertifikat müssen Sie Kunden und Aufsichtsbehörden auf Verlangen unverzüglich vorlegen (§ 1 Abs. 3 C5GleichwV).

In meinen Projekten beginnen wir deshalb immer mit der ISO/IEC 27001. Ihre Anforderungen decken viele wichtige Basiskriterien des C5-Katalogs ab und bilden den Grundstein für Ihre Informationssicherheit. Nach einer Gap-Analyse bauen wir darauf das individuelle Kontrollsystem für Ihr C5-Testat auf. Wie das Zertifizierungsaudit selbst abläuft, zeigt unser Beitrag zur ISMS-Zertifizierung nach ISO 27001.

Wie unterstützt Kertos Health-SaaS-Anbieter beim C5-Testat?

Kertos verbindet eine Compliance-Plattform für Kontrollen und Nachweise mit der Begleitung durch erfahrene Experten, die Ihr Projekt von der Gap-Analyse bis zum Testat betreuen. Ob Sie als junges Unternehmen gerade Ihr erstes Produkt an Praxen verkaufen oder seit Jahren große Kliniken bedienen: Wir helfen Ihnen, das C5-Testat so zu planen, dass es Ihren Vertrieb nicht blockiert.

Auf der Plattform sind die Kriterien so strukturiert, dass Sie Nachweise direkt pro Beobachtungszeitraum verknüpfen. Module für Asset-, Lieferanten- und Risikomanagement sowie für Business Continuity und Vorfallsmanagement decken weitere Teile des Katalogs ab. Im Trust Center teilen Sie mit Ihren Kunden gezielt die Inhalte, die sie anfragen, vom C5-Prüfbericht bis zum Register der Unterauftragsverarbeiter.

Wenn Sie sehen möchten, wie sich Ihr Weg zum C5-Testat konkret planen lässt, buchen Sie eine Kertos-Demo und besprechen Sie Ihren Anwendungsfall mit unseren Experten.

Häufig gestellte Fragen

Was kostet ein C5-Testat?

Das hängt vor allem vom Prüfumfang und vom Testat-Typ ab. Einfache Typ-1-Prüfungen beginnen im unteren fünfstelligen Bereich, komplexe Typ-2-Prüfungen können sechsstellige Beträge erreichen. Hinzu kommen Software, Beratung und interne Aufwände. Folgeprüfungen sind in der Regel günstiger als die Erstprüfung.

Brauche ich ein Typ-1- oder ein Typ-2-Testat?

Grundsätzlich Typ 2. Für ein System, das nach dem 30. Juni 2025 erstmals in Verkehr gebracht wurde, reicht in den ersten 18 Monaten ein Typ-1-Testat. Ab dem 19. Monat ist Typ 2 Pflicht (§ 393 Abs. 4 SGB V).

Reicht eine ISO/IEC-27001-Zertifizierung?

Nur übergangsweise. ISO/IEC 27001 gilt als gleichwertig, wenn zusätzlich ein Maßnahmenplan zur Schließung der C5-Lücken vorliegt. Ab dessen Erstellung muss innerhalb von 18 Monaten ein Typ-1-Testat und innerhalb von 24 Monaten ein Typ-2-Testat folgen.

Wie lange dauert der Weg zum Typ-2-Testat?

Mit bestehendem ISMS nach ISO/IEC 27001 etwa 7 bis 14 Monate, ohne ISMS eher 12 bis 20 Monate. Den größten Teil macht der Beobachtungszeitraum von 6 bis 12 Monaten aus, hinzu kommen Vorbereitung und Berichtserstellung.

Darf unser Support aus dem Ausland auf Gesundheitsdaten zugreifen?

Nur aus Deutschland, der EU, gleichgestellten Staaten oder Drittstaaten mit Angemessenheitsbeschluss. Auch ein Fernzugriff ist eine Verarbeitung. Standardvertragsklauseln reichen nicht, weil § 393 SGB V sie nicht als Grundlage vorsieht.

Was passiert, wenn wir kein C5-Testat haben?

§ 393 SGB V selbst enthält kein Bußgeld. Ein Verstoß kann aber zugleich ein DSGVO-Verstoß sein, außerdem drohen Gewährleistungsansprüche der Kunden. Leistungserbringer dürfen den Dienst ohne Testat nicht einsetzen, deshalb ist das fehlende Testat im Vertrieb meist das größere Problem.

‍