BSI C3A – Kriterien für Cloud-Souveränität

Cloud-Nutzung basiert auf dem Modell der geteilten Verantwortung – der Anbieter trifft damit zwangsläufig Entscheidungen, die die Selbstbestimmung des Kunden einschränken können. Das C3A liefert hierfür einen Bewertungsmaßstab: Es definiert Kriterien, mit denen sich prüfen lässt, ob ein Cloud-Angebot im jeweiligen Risikokontext selbstbestimmt nutzbar ist. Der Katalog versteht sich ausdrücklich als Orientierungsrahmen zur Herstellung von Transparenz und ist für sich genommen nicht verbindlich. Version 1.0 erschien am 27.04.2026 zunächst in englischer Sprache; eine deutsche Fassung hat das BSI angekündigt.

Der Katalog gliedert sich in sechs Blöcke: SOV-1 Strategische Souveränität (Jurisdiktion, Firmensitz, effektive Kontrolle, 90-Tage-Vorankündigung bei Kontrollwechseln), SOV-2 Rechtliche und jurisdiktionelle Souveränität (u. a. jährliche Risikobewertung extraterritorialer Nicht-EU-Gesetze, Auditrechte für Behörden), SOV-3 Datensouveränität (Datenstandort-Optionen EU/Deutschland, externes Schlüsselmanagement, clientseitige Verschlüsselung, externe Identity Provider), SOV-4 Operative Souveränität (EU-Betriebspersonal, SOC in der EU bzw. Deutschland, Disconnect-/Reconnect-Fähigkeit mit mindestens jährlichen Disconnect-Tests), SOV-5 Lieferketten-Souveränität (Offenlegung von Software-Abhängigkeiten auf SBOM-Basis sowie von Hardware- und Service-Abhängigkeiten) und SOV-6 Technologie-Souveränität (u. a. Quellcode-Backup in der EU, nicht älter als 24 Stunden). Der Katalog unterscheidet Kriterien, optionale Zusatzkriterien und ergänzende Hinweise; viele Kriterien existieren in einer EU- und einer strengeren Deutschland-Variante.

Cloud-Kunden nutzen das C3A, um je Einsatzszenario die relevanten Kriterien auszuwählen und so ihr eigenes Souveränitäts-Basisniveau zu definieren – etwa als prüfbare Anforderungen in Leistungsbeschreibungen oder Anbieter-Assessments. Wie das in Vergaben funktionieren kann, zeigt das EU Cloud Sovereignty Framework: Dort dienen die Assurance-Stufen SEAL-0 bis SEAL-4 als Mindestanforderung je Souveränitätsziel (Angebote darunter werden ausgeschlossen) und ein gewichteter Sovereignty Score als Zuschlagskriterium. Das BSI weist zugleich darauf hin, dass Beschränkungen auf EU- oder Deutschland-Varianten in Vergabeverfahren begründet werden müssen und rechtlich zulässig sein müssen, etwa aus Gründen der öffentlichen Sicherheit.

Ein standardisiertes Testatverfahren wie beim C5 existiert für das C3A noch nicht: Das BSI hat standardisierte C3A-Prüfprozesse und eine Berichtsnutzung analog zum etablierten C5-Verfahren angekündigt. Der Katalog selbst sieht vor, dass Anbieter die Erfüllung ausgewählter Kriterien durch Nachweise im Rahmen eines Audits belegen. Im EU Cloud Sovereignty Framework beruht die Bewertung dagegen auf Angaben der Bieter, ergänzenden Belegen und öffentlicher Dokumentation – faktisch also auf einer strukturierten Selbstauskunft, die die Vergabestelle bewertet. Bis belastbare C3A-Prüfberichte verfügbar sind, sollten Sie Selbstauskünfte konsequent mit vorhandenen Nachweisen wie C5-Testaten oder SOC-2-Berichten abgleichen.

Das C3A setzt voraus, dass der Anbieter die C5-Kriterien erfüllt – die Sicherheitsdimension der Souveränität deckt der am 07.04.2026 veröffentlichte C5:2026 ab, der u. a. Container-Management, Post-Quanten-Kryptografie und Confidential Computing neu aufnimmt. Vom EU Cloud Sovereignty Framework (Version 1.2.1, Oktober 2025) übernimmt das C3A die Kategorisierung, lässt aber zwei Ziele bewusst aus: SOV-7 (Security & Compliance) ist durch C5:2026 und IT-Grundschutz abgedeckt, SOV-8 (ökologische Nachhaltigkeit) liegt außerhalb des BSI-Auftrags. Das europäische Cloud-Zertifizierungsschema EUCS nach dem Cybersecurity Act ist dagegen weiterhin nicht verabschiedet (Stand Juli 2026); die in früheren Entwürfen diskutierten Souveränitätsanforderungen waren politisch umstritten. C3A und EU CSF adressieren diese Lücke außerhalb des Zertifizierungsrahmens.

Das C3A ist kein Gesetz und kein Zertifikat: Es entfaltet Wirkung erst, wenn Kunden oder Vergabestellen die Kriterien vertraglich verankern. Ein etabliertes Prüf- und Testatverfahren fehlt bislang, sodass Aussagen von Anbietern vorerst nur eingeschränkt unabhängig validierbar sind. Der Katalog liefert zudem bewusst kein binäres Label „souverän“ – welche Kriterien und Zusatzkriterien gelten, hängt vom Einsatzszenario und Risikokontext ab und erfordert eine eigene Anforderungsanalyse. Cloud-Sicherheit selbst und Nachhaltigkeitsaspekte behandelt das C3A nicht, sondern verweist auf C5:2026 bzw. andere Rahmenwerke.