BSI C3A: Wie Cloud-Souveränität erstmals messbar wird – und was das für Unternehmen bedeutet

Strukturell orientiert sich der C3A am EU Cloud Sovereignty Framework (EU CSF) und greift dessen Kategorien sowie überprüfbare Faktoren auf. Insgesamt unterteilt der Katalog die Aspekte der Souveränität in sechs Kriterienbereiche:

• Strategic Sovereignty
• Data Sovereignty
• Legal and Jurisdictional Sovereignty
• Operational Sovereignty
• Supply Chain Sovereignty
• Technology Sovereignty

Die Bereiche „Security & Compliance Sovereignty“ und „Environmental Sustainability“ aus dem EU CSF werden bewusst ausgespart – ersteres ist bereits durch C5, IT-Grundschutz und vergleichbare BSI-Produkte abgedeckt, zweiteres fällt nicht in den Zuständigkeitsbereich des BSI.

Wie vom C5 bekannt, unterscheidet auch der C3A zwischen Basiskriterien und Zusatzkriterien. Die Kriterien lassen sich je nach Anforderungsprofil flexibel kombinieren, sodass nicht zwingend der gesamte Katalog Anwendung finden muss. Cloud-Kunden können auf dieser Basis ihr angestrebtes Souveränitätsniveau definieren und gezielt jene Kriterien einfordern, die für ihren konkreten Anwendungsfall relevant sind. Das Souveränitätsniveau könnte für Cloud-Anbieter dabei zu einer Art Benchmark und somit zum Wettbewerbsvorteil werden.

Cloud-Anbieter können die Einhaltung der C3A-Kriterien zukünftig durch ein unabhängiges Audit nachweisen und damit gegenüber Kundinnen und Kunden Transparenz über die Datenhoheit und (Un)Abhängigkeit von anderen Dienstleistern herstellen. Das BSI plant, das Nachweisverfahren strukturell an den praxiserprobten C5-Testierungsprozes anzulehnen, um Synergien zu nutzen und den Aufwand für Anbieter überschaubar zu halten. Die Veröffentlichung der deutschen Version des C3A ist für das zweite Quartal 2026 vorgesehen.

Der C3A dürfte sich kurz- bis mittelfristig zu einem faktischen Marktstandard entwickeln. Insbesondere Behörden, Betreiber kritischer Infrastrukturen und Unternehmen mit erhöhtem Schutzbedarf werden den C3A bei ihrer Anbieterauswahl heranziehen. Anbieter, die hier frühzeitig Transparenz schaffen, positionieren sich als vertrauenswürdige Partner im europäischen und insb. deutschen Markt.

Parallel zum C3A hat das BSI mit dem C5:2026 eine aktualisierte Fassung des Cloud Computing Compliance Criteria Catalogue veröffentlicht. Auch dieser umfasst Kriterien, die in der Schnittmenge von Sicherheit und Selbstbestimmtheit liegen – insbesondere im Bereich der Portabilität. Cloud-Anbieter sollten daher beide Kataloge gemeinsam betrachten und ggf. durch ein Readiness-Assessment prüfen lassen, inwieweit bestehende Kontrollen aus laufenden C5-Prüfungen auch für zukünftige C3A-Audits genutzt werden können.

Aus unserer Erfahrung wissen wir, dass eine integrierte Betrachtung erheblichen Mehrwert bietet und den Kostendruck reduziert: Doppelarbeit lässt sich vermeiden, Synergien mit weiteren Standards wie ISO 27001 oder SOC 2 lassen sich gezielt heben und das interne Kontrollsystem kann konsolidiert weiterentwickelt werden.