Die Antwort darauf liefert Validato – ein global aufgestelltes Unternehmen für Background Checks und Human Risk Management mit Sitz in der Schweiz und Tätigkeit in über 200 Ländern. Als spezialisierter Anbieter digitaler Integritätsprüfungen bietet Validato deutschen Cloud-Anbietern eine Plattform, die alle neuen HR-Control-Anforderungen des C5:2026 auditfähig, DSGVO-konform und vollständig automatisiert erfüllt.

Acht neue Kriterien – ein blinder Fleck wird zum Prüfschwerpunkt

Der C5:2026 strukturiert den Kontrollbereich 5.3 (Personnel) neu in acht konkrete Kriterien (HR-01 bis HR-08) und übersetzt diese in prüfbare Unterkriterien. Was zuvor als ergänzende Empfehlung galt, ist nun harte Auditpflicht: Die systematische Prüfung aller Personen mit Zugriff auf Produktivumgebungen oder sensible Kundendaten – unabhängig davon, ob es sich um interne Mitarbeitende, externe Dienstleister oder Subunternehmer handelt.

Im Mittelpunkt steht HR-01 „Verification of Qualification and Trustworthiness“. Dieses Kriterium verlangt unter anderem:

• Identitätsprüfung anhand amtlicher Dokumente
• Verifikation der Berufserfahrung (CV) und akademischer Abschlüsse
• Einholung polizeilicher Führungszeugnisse für relevante Rollen
• Bonitätsprüfung zur Bewertung der Erpressbarkeit bei sicherheitssensiblen Positionen
• Jährliche Wiederholungsprüfungen für sensible Rollen gemäß Unterkriterium HR-01.01AC

Besonders die Einführung verpflichtender jährlicher Rezertifizierungen stellt viele Unternehmen vor operative Herausforderungen. Bisher wurde Personalsicherheit häufig als einmaliger Onboarding-Schritt verstanden – mit dem C5:2026 wird sie zum laufenden, dokumentierten Prozess.

Regulatorischer Druck aus mehreren Richtungen

Das C5:2026-Update steht nicht isoliert. Im Finanzsektor macht die Verordnung über die digitale operationale Resilienz (Digital Operational Resilience Act, DORA) IT-Dienstleister zu kritischen Drittparteien, wobei das C5-Testat als anerkannter Nachweisstandard gilt. Die Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS2-Richtlinie) fordert strukturierte Konzepte zur Personalsicherheit. Für Gesundheits-IT-Anbieter kommen durch das Digitale-Versorgung-und-Pflege-Modernisierungs-Gesetz (DigiG) zusätzliche Anforderungen hinzu.

Unternehmen, die heute noch keine strukturierten Pre-Employment-Checks und dokumentierten In-Employment-Screenings durchführen, werden im nächsten Audit Abweichungen produzieren – mit Folgen für das Typ-2-Testat und die damit verbundene Marktstellung.

Validato: Globale Reichweite, lokale Compliance

Validato ist in über 200 Ländern aktiv – eine globale Reichweite, die für Cloud-Anbieter mit international verteilten Teams entscheidend ist. Denn der C5:2026 gilt für alle Personen mit Produktionszugang, unabhängig von ihrem Standort. Externe Dienstleister in anderen Rechtsordnungen sind ausdrücklich eingeschlossen.

Die Plattform automatisiert den gesamten Prüfprozess – vom initialen Onboarding-Screening bis zur jährlichen Wiederholungsprüfung – und stellt alle Nachweise strukturiert für den Auditor bereit. Dabei werden die Silo-Strukturen zwischen IT-Sicherheit und HR aufgelöst: Alle Prüfergebnisse sind zentral, nachvollziehbar und per Knopfdruck abrufbar.

Validato ist ISO-27001-zertifiziert, DSGVO-konform und erfüllt die Anforderungen des Schweizer Datenschutzgesetzes (revDSG). Die Lösung ist ohne Einrichtungsgebühren oder Mindestabnahmemengen nutzbar und lässt sich über eine Programmierschnittstelle (API) nahtlos in bestehende HR-Systeme integrieren.