Drei Vertrauensniveaus
Basic, Substantial und High staffeln Prüftiefe und Angreifermodell – von grundlegendem Schutz bis zu Widerstandsfähigkeit gegen fortgeschrittene Angriffe.
GRC · Cloud-Zertifizierung
EUCS das entstehende EU-Siegel für Cloud-Sicherheit
EUCS (European Cybersecurity Certification Scheme for Cloud Services) ist das von der ENISA entwickelte, EU-weit geplante Zertifizierungsschema für Cloud-Dienste. Es befindet sich weiterhin im Entwurf – wir bereiten Sie heute darauf vor, mit BSI C5 als belastbarer Brücke.
KandidatenschemaStatus: Entwurf, noch nicht als Rechtsakt angenommen
ENISA / CSAGrundlage: EU Cybersecurity Act (VO (EU) 2019/881)
Basic · Substantial · HighGeplante Vertrauensniveaus (Assurance Levels)
Bezug NIS2Faktischer Hebel für Cloud-Nachweise in NIS2/Data Act
Was EUCS ist – und was (noch) nicht
EUCS ist das geplante europäische Cybersicherheits-Zertifizierungsschema für Cloud-Dienste (Cloud Services). Es wird von der ENISA im Rahmen des EU Cybersecurity Act (Verordnung (EU) 2019/881) erarbeitet und soll die heute fragmentierte Landschaft nationaler Cloud-Nachweise – etwa BSI C5 in Deutschland und SecNumCloud in Frankreich – EU-weit harmonisieren. Aufsetzend auf ISO/IEC 27001, ISO/IEC 27017 und bestehenden Schemata sollen drei Vertrauensniveaus entstehen: Basic, Substantial und High.
Wichtig: EUCS ist bislang ein Kandidatenschema. Es wurde noch NICHT als Durchführungsrechtsakt der Kommission angenommen, der Zeitplan verschiebt sich seit Jahren, und die ursprünglich umstrittenen Souveränitäts- bzw. Immunitätsanforderungen für das höchste Level wurden in späteren Entwürfen (Stand 2024) entschärft bzw. gestrichen. Wir behandeln EUCS daher als „in Vorbereitung“ und stützen Ihre heutige Nachweisfähigkeit auf das bereits belastbare BSI C5.
Kernbausteine des Schemas
So ist EUCS im aktuellen Entwurf strukturiert – Stand kann sich mit dem finalen Rechtsakt ändern.
Kontrollkatalog
Ein umfassender Satz an Sicherheitszielen und Kontrollen über Domänen wie Governance, Kryptografie, Betrieb, Incident Management und Lieferkette – abgeleitet aus etablierten Standards.
Aufbau auf bestehenden Normen
Mapping auf ISO/IEC 27001, ISO/IEC 27017 sowie nationale Schemata (BSI C5, SecNumCloud), damit vorhandene Nachweise weiterverwendbar bleiben.
Konformitätsbewertung
Zertifizierung durch akkreditierte Konformitätsbewertungsstellen (Conformity Assessment Bodies), mit unterschiedlicher Prüftiefe je Level (Selbstbewertung nur im niedrigsten Bereich vorgesehen).
Gültigkeit & Überwachung
Zertifikate mit begrenzter Laufzeit und laufender Überwachung (Continuous Monitoring / Surveillance), um den Sicherheitsstatus über die Zeit zu belegen.
Transparenz & Peer Review
Vorgesehene Veröffentlichungs- und Peer-Review-Mechanismen zur EU-weiten gegenseitigen Anerkennung der Zertifikate.
Die Brücke zu NIS2, DORA & ISO 27001
Warum EUCS für DACH-Unternehmen schon heute relevant ist – auch ohne finalen Rechtsakt.
NIS2 & Cloud-Lieferkette
NIS2 verlangt Beherrschung von Risiken in der Lieferkette. Ein harmonisiertes Cloud-Siegel wie EUCS wird der naheliegende Nachweis für Cloud-Provider – heute überbrückt durch BSI C5 als anerkannten Cloud-Attestierungsstandard.
DORA & IKT-Drittparteien
Für Finanzunternehmen adressiert DORA das Management kritischer IKT-Drittdienstleister. Cloud-Zertifikate (EUCS künftig, BSI C5 heute) liefern strukturierte Belege für Provider-Assessments.
ISO/IEC 27001 als Fundament
EUCS baut auf ISO/IEC 27001 und 27017 auf. Ein gelebtes ISMS ist die effizienteste Grundlage, um später auf ein EUCS-Level zu heben, ohne doppelte Arbeit.
BSI C5 als heutige Brücke
Bis EUCS in Kraft ist, ist BSI C5 der belastbare, testat-basierte Nachweis für Cloud-Sicherheit im DACH-Raum – und der beste Startpunkt für spätere EUCS-Reife.
So gehen wir gemeinsam vor
Pragmatischer Pfad von der Standortbestimmung zur EUCS-Bereitschaft.
01
1 · Scope & Gap-Analyse
Wir bestimmen den relevanten Cloud-Dienst, das angestrebte Vertrauensniveau und den Abstand zu bestehenden Nachweisen (ISO 27001, BSI C5).
02
2 · Brücke über BSI C5
Wir etablieren oder festigen Ihr BSI-C5-Testat als heute belastbaren Nachweis und dokumentieren die Kontrollen so, dass sie EUCS-anschlussfähig sind.
03
3 · EUCS-Readiness-Mapping
Wir mappen Ihre Kontrollen auf den aktuellen EUCS-Entwurf, identifizieren Lücken je Level und priorisieren die Nachrüstung.
04
4 · Monitoring & Fortschreibung
Wir richten laufende Überwachung ein und verfolgen den Rechtsetzungsprozess, damit Sie beim finalen Schema ohne Zeitverlust zertifizierungsfähig sind.
Quellen & weiterführende Themen
Primärquellen zum Schema und passende Leistungen von VamiSec.
Primärquellen
ENISA – EUCS Cloud Services Scheme Offizielle ENISA-Seite mit dem aktuellen Entwurf des Kandidatenschemas.ENISA – Cybersecurity Certification Framework Übersicht zum EU-Zertifizierungsrahmen unter dem Cybersecurity Act.EU Cybersecurity Act (VO (EU) 2019/881) Rechtsgrundlage für die europäischen Zertifizierungsschemata.
Passende Leistungen
Häufige Fragen zu EUCS
Klare Antworten zum Status und zur praktischen Bedeutung.
Ist EUCS bereits geltendes Recht?
Nein. EUCS ist ein Kandidatenschema und wurde bislang nicht als Durchführungsrechtsakt der Kommission angenommen. Der Zeitplan hat sich mehrfach verschoben; wir kommunizieren es als „in Vorbereitung“.
Welche Vertrauensniveaus sind geplant?
Im aktuellen Entwurf sind drei Assurance Levels vorgesehen: Basic, Substantial und High. Sie staffeln Prüftiefe und Angreifermodell.
Was ist mit den Souveränitätsanforderungen?
Die ursprünglich umstrittenen Souveränitäts- bzw. Immunitätsanforderungen für das höchste Level wurden in späteren Entwürfen (Stand 2024) entschärft bzw. gestrichen. Der finale Text bleibt abzuwarten.
Was kann ich heute schon tun?
Setzen Sie auf BSI C5 als belastbare Cloud-Attestierung und ein gelebtes ISO/IEC 27001-ISMS. Beides ist EUCS-anschlussfähig und schützt Sie vor Doppelarbeit.
Wie hängt EUCS mit NIS2 und DORA zusammen?
Beide Rahmen verlangen Beherrschung von Cloud- und IKT-Drittparteirisiken. Ein harmonisiertes Cloud-Siegel wie EUCS wird der naheliegende Nachweis – heute überbrückt durch BSI C5.
EUCS-Readiness ohne Blindflug
Wir bringen Ihre Cloud-Nachweise heute auf BSI-C5-Niveau und halten sie EUCS-anschlussfähig – Sie sind vorbereitet, sobald das Schema in Kraft tritt.