BSI C3A – معايير السيادة السحابية

يقوم استخدام السحابة على نموذج المسؤولية المشتركة – وبذلك يتخذ المزوّد حتمًا قرارات قد تحدّ من استقلالية العميل. ويوفّر C3A لذلك مقياس تقييم: إذ يحدد معايير يمكن بها التحقق مما إذا كان العرض السحابي قابلًا للاستخدام المستقل في سياق المخاطر المعني. ويُعرّف الكتالوج نفسه صراحةً كإطار توجيهي لتحقيق الشفافية، وهو غير ملزم بحد ذاته. صدر الإصدار 1.0 في 27.04.2026 باللغة الإنجليزية أولًا؛ وأعلن BSI عن نسخة ألمانية.

ينقسم الكتالوج إلى ست كتل: SOV-1 السيادة الاستراتيجية (الاختصاص القضائي، ومقر الشركة، والسيطرة الفعلية، وإشعار مسبق بـ 90 يومًا عند تغيير السيطرة)، وSOV-2 السيادة القانونية والقضائية (منها التقييم السنوي لمخاطر القوانين غير الأوروبية ذات الأثر خارج الحدود، وحقوق التدقيق للسلطات)، وSOV-3 سيادة البيانات (خيارات موقع البيانات الاتحاد الأوروبي/ألمانيا، والإدارة الخارجية للمفاتيح، والتشفير من جانب العميل، ومزوّدو الهوية الخارجيون)، وSOV-4 السيادة التشغيلية (موظفو تشغيل في الاتحاد الأوروبي، وSOC في الاتحاد الأوروبي أو ألمانيا، وقدرة الفصل وإعادة الاتصال مع اختبارات فصل سنوية على الأقل)، وSOV-5 سيادة سلسلة التوريد (الإفصاح عن تبعيات البرمجيات استنادًا إلى SBOM وعن تبعيات الأجهزة والخدمات)، وSOV-6 السيادة التقنية (منها نسخة احتياطية من الشيفرة المصدرية في الاتحاد الأوروبي لا يتجاوز عمرها 24 ساعة). ويميّز الكتالوج بين المعايير والمعايير الإضافية الاختيارية والملاحظات المكمّلة؛ وتوجد كثير من المعايير في صيغة أوروبية وصيغة ألمانية أكثر صرامة.

يستخدم عملاء السحابة C3A لاختيار المعايير ذات الصلة لكل سيناريو استخدام وتحديد مستوى السيادة الأساسي الخاص بهم – مثلًا كمتطلبات قابلة للتدقيق في كراسات الشروط أو تقييمات المزوّدين. ويُظهر EU Cloud Sovereignty Framework كيف يمكن أن يعمل ذلك في المناقصات: إذ تُستخدم فيه مستويات الضمان SEAL-0 إلى SEAL-4 كحد أدنى لكل هدف سيادي (وتُستبعد العروض الأدنى منه)، ودرجة Sovereignty Score مرجّحة كمعيار للترسية. وفي الوقت نفسه يشير BSI إلى أن تقييد الصيغ بالاتحاد الأوروبي أو ألمانيا في إجراءات المناقصات يجب أن يكون مبرّرًا وجائزًا قانونيًا، مثلًا لأسباب تتعلق بالأمن العام.

لا يوجد لـ C3A حتى الآن إجراء شهادات موحّد كما في C5: فقد أعلن BSI عن عمليات تدقيق C3A موحّدة واستخدام للتقارير على غرار إجراء C5 الراسخ. وينص الكتالوج نفسه على أن يثبت المزوّدون استيفاء معايير مختارة عبر أدلة إثبات في إطار تدقيق. أما في EU Cloud Sovereignty Framework فيقوم التقييم على بيانات مقدّمي العروض وأدلة مكمّلة ووثائق عامة – أي فعليًا على إفصاح ذاتي منظّم تقيّمه الجهة المتعاقدة. وإلى أن تتوفر تقارير تدقيق C3A موثوقة، ينبغي لكم مقارنة الإفصاحات الذاتية باتساق مع أدلة الإثبات المتاحة مثل شهادات C5 أو تقارير SOC 2.

يشترط C3A أن يستوفي المزوّد معايير C5 – ويغطي البُعد الأمني للسيادة الإصدار C5:2026 المنشور في 07.04.2026، والذي يضيف من بين أمور أخرى إدارة الحاويات والتشفير ما بعد الكمّي وConfidential Computing. ويتبنّى C3A التصنيف من EU Cloud Sovereignty Framework ‏(الإصدار 1.2.1، أكتوبر 2025)، لكنه يستثني هدفين عن قصد: SOV-7 ‏(Security & Compliance) مغطى عبر C5:2026 وIT-Grundschutz، وSOV-8 ‏(الاستدامة البيئية) خارج نطاق تكليف BSI. في المقابل لم يُعتمد بعد مخطط الشهادات السحابية الأوروبي EUCS وفق Cybersecurity Act ‏(حتى يوليو 2026)؛ وكانت متطلبات السيادة التي نوقشت في مسودات سابقة محل خلاف سياسي. ويعالج C3A وEU CSF هذه الثغرة خارج إطار الحصول على الشهادة.

C3A ليس قانونًا ولا شهادة: فهو لا يؤتي أثره إلا عندما يرسّخ العملاء أو الجهات المتعاقدة المعايير تعاقديًا. ولا يوجد حتى الآن إجراء تدقيق وشهادات راسخ، ولذلك لا يمكن التحقق المستقل من بيانات المزوّدين إلا بشكل محدود في الوقت الراهن. كما لا يقدّم الكتالوج عن قصد تصنيفًا ثنائيًا «سيادي» – فالمعايير والمعايير الإضافية السارية تتوقف على سيناريو الاستخدام وسياق المخاطر وتتطلب تحليلًا خاصًا للمتطلبات. ولا يتناول C3A أمن السحابة ذاته ولا جوانب الاستدامة، بل يحيل إلى C5:2026 أو إلى أطر أخرى.