Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat gemeinsam mit der französischen Behörde ANSSI den Kriterienkatalog „Criteria Enabling Cloud Computing Autonomy“ (C3A) veröffentlicht. Der Katalog formuliert erstmals verbindliche Musskriterien für die Prüfung digitaler Souveränität von Cloud-Diensten. Er ergänzt den bestehenden Cloud Computing Compliance Criteria Catalogue (C5) um eine eigenständige Souveränitätsdimension und schließt damit eine strukturelle Lücke, die bislang weder durch C5, NIS2 noch durch DORA adressiert wurde.
Dieser Beitrag ordnet C3A in den regulatorischen Kontext ein, erläutert die sechs Souveränitätsziele und analysiert die Verbindlichkeit sowie die praktische Prüfungsrelevanz des Katalogs für Compliance Manager, IT-Auditoren und Wirtschaftsprüfer.
1. Hintergrund und Entstehungskontext
Der Begriff Cloud-Souveränität wird im Markt uneinheitlich verwendet. Anbieter vermarkten Dienste als „souverän“, obwohl diese Höchstens europäisch gehostet, jedoch operativ oder kapitalmäßig von US-amerikanischen Konzernmüttern abhängig sind. Dieses Phänomen – in der Fachwelt als Souveränitäts-Washing bezeichnet – erschwert eine belastbare Risikobewertung im Rahmen von IT-Revision, Lieferkettenprüfung und regulatorischen Assessments.
C3A adressiert dieses Problem durch einen konsequent kriterienbasierten Ansatz. Das BSI orientiert sich dabei am EU Cloud Sovereignty Framework (EU CSF), das von der Generaldirektion DIGIT für die IT-Beschaffung der EU-Institutionen entwickelt wurde. Von den acht Souveränitätszielen des EU CSF übernimmt das BSI sechs in C3A. Die Ziele zur Sicherheits- und Compliancesouveränität sowie zur ökologischen Nachhaltigkeit werden bewusst ausgeklammert, da für diese Bereiche mit C5, NIS2 und DORA eigenständige, bereits etablierte Rahmenwerke existieren.
Ein wesentlicher methodischer Unterschied zum EU CSF: Während das EU-Framework mit gewichteten SEAL-Levels (Sovereignty Effectiveness Assurance Levels, 0–4) und einem aggregierten Sovereignty Score arbeitet, der im Wesentlichen auf Selbsteinschätzung beruht, formuliert C3A für jedes Souveränitätsziel konkrete, überprüfbare Musskriterien. Damit verschiebt sich der Ansatz von einer qualitativen Selbstbewertung zu einem objektiv prüfbaren Anforderungskatalog – eine Voraussetzung für die Einbindung in formalisierte Revisions- und Prüfprozesse.
2. Die sechs Souveränitätsziele im Überblick
C3A strukturiert Souveränität in sechs prüfbare Dimensionen:
- SOV-1 – Strategische Souveränität: Eigentümerstruktur, Jurisdiktion des Cloud Service Providers (CSP) und effektive Kontrollfähigkeit. Im Mittelpunkt steht die Frage, welchem nationalen Recht der wirtschaftlich Berechtigte unterliegt und ob damit extraterritoriale Zugriffe Dritter – etwa durch den US CLOUD Act – möglich sind.
- SOV-2 – Operative Souveränität: Betriebsstandort, Nationalität des operativen Personals, Administrationszugriffe und Steuerungsfähigkeiten. Geprüft wird, ob der Anbieter tatsächlich unabhängig von Drittstaatinterventionen operiert werden kann.
- SOV-3 – Technische Souveränität: Herkunft eingesetzter Technologie, Offenheit und Standardkonformität von Schnittstellen sowie Daten- und Anwendungsportabilität. Dieser Bereich umfasst auch die Vermeidung prohibitiven Vendor Lock-ins.
- SOV-4 – Souveränität der Lieferkette: Transparenz über kritische Subdienstleister, deren Jurisdiktion sowie Kontrollmöglichkeiten gegenüber Drittlieferanten. Relevant sind insbesondere Abhängigkeiten in der Basisinfrastruktur (CDN, DNS, KI-Dienste, Authentifizierungssysteme).
- SOV-5 – Souveränität im Krisenfall: Disconnect-Fähigkeit: Kann der Dienst bei Ausfall oder politisch motiviertem Entzug externer Verbindungen autark weiterbetrieben werden? Dieses Kriterium ist für sicherheitskritische und öffentliche Einrichtungen von besonderer Relevanz.
- SOV-6 – Hoheitliche Souveränität: Regelungen zur Übergabe des Betriebs an staatliche Stellen im Verteidigungsfall. Betrifft vor allem KRITIS-Betreiber und Behörden, ist jedoch auch für Unternehmen mit kritischer Lieferkettenfunktion relevant.
Jedes Ziel wird durch konkrete Musskriterien operationalisiert, die eine strukturierte Lieferantenbeurteilung und eine Gap-Analyse ermöglichen.
3. Verbindlichkeit und regulatorische Einbindung
Unmittelbare Rechtswirkung
C3A ist zum gegenwärtigen Zeitpunkt kein verbindliches Rechtsinstrument. Es besteht keine gesetzliche Norm, die Unternehmen oder Behörden unmittelbar zur Einhaltung der C3A-Kriterien verpflichtet. Der Katalog ist bewusst als freiwilliges Prüf- und Orientierungsinstrument konzipiert worden, das bestehende Standards ergänzt, ohne diese zu ersetzen.
Diese formale Freiwilligkeit sollte allerdings nicht dazu verleiten, C3A als unverbindliche Empfehlung zu behandeln. Entscheidend ist die mittelbare Wirkung des Katalogs über eine Reihe von Kanälen, die in der Praxis zu einer faktischen Bindungswirkung führen.
Einbindung in IT-Grundschutz und MST-NCD
Das BSI integriert C3A aktiv in seinen IT-Grundschutz sowie in den Mindeststandard Cloud-Dienste (MST-NCD), der für Bundesbehörden und nachgeordnete Einrichtungen verbindlich gilt. Dies bedeutet, dass für öffentliche Auftraggeber und deren Dienstleister C3A-Kriterien über diese Mechanismen bereits heute de facto verpflichtenden Charakter annehmen.
Für IT-Revisoren und Compliance Manager in Unternehmen mit Geschäftsbeziehungen zur öffentlichen Hand gilt daher: C3A-Konformität der eingesetzten Cloud-Dienste wird mittelfristig zur nachweisbaren Voraussetzung für Ausschreibungseignung und Lieferantenstatus.
Verknüpfung mit NIS2, DORA und KRITIS-Regulatorik
NIS2 verpflichtet wesentliche und wichtige Einrichtungen zur systematischen Bewertung von Risiken aus IT-Dienstleistern, Cloud-Services und Drittlieferanten (Art. 21 Abs. 2 lit. e). C3A stellt hierfür erstmals einen strukturierten Bewertungsrahmen bereit, der über die bisherigen, oft informellen Lieferantenbefragungen hinausgeht.
Im Kontext von DORA (Art. 28–30) müssen Finanzunternehmen IKT-Drittdienstleister nach Kritikalität klassifizieren und deren Resilienz, Portabilität und Abhängigkeitsstruktur beurteilen. Die C3A-Kriterien – insbesondere SOV-3 bis SOV-5 – liefern methodisch präzise Prüfungsgegenstände für genau diese Anforderungen. Eine explizite Referenz auf C3A ist in DORA nicht enthalten, die inhaltliche Deckungsgleichheit ist jedoch signifikant.
Für KRITIS-Betreiber und öffentliche Einrichtungen kommen die Kriterien SOV-5 und SOV-6 besondere Bedeutung zu: Die Disconnect-Fähigkeit und die Regelung hoheitlicher Übergabe sind funktionale Anforderungen an die Resilienz in Extremszenarien, die bisher kaum operationalisiert waren.
EU Cloud and AI Development Act als nächste Eskalationsstufe
Der sich abzeichnende EU Cloud and AI Development Act greift die Logik des EU CSF und damit mittelbar auch die C3A-Kriterien auf. Sobald dieser Rechtsakt in Kraft tritt, dürften souveräne Cloud-Anforderungen für bestimmte Einsatzkategorien – insbesondere im öffentlichen Sektor und in der kritischen Infrastruktur – verbindlich werden. Unternehmen, die heute nach C3A messen, schaffen die Dokumentationsbasis für künftige Compliance-Nachweise.
Faktische Bindungswirkung durch Ausschreibungsanforderungen
Öffentliche Auftraggeber und regulierte Beschaffer nehmen C3A-ähnliche Anforderungen bereits in Ausschreibungsunterlagen auf – häufig ohne formale Bezugnahme, aber mit inhaltlicher Deckungsgleichheit. Fragen nach Eigentümerstruktur, Drittstaatenzugriffen, Disconnect-Szenarien und Portabilität sind in vergaberechtlich relevanten IT-Beschaffungen keine Ausnahme mehr. C3A gibt diesen Anforderungen erstmals einen einheitlichen terminologischen und methodischen Rahmen – und erhöht damit sowohl den Prüfungsdruck auf Anbieter als auch die Nachweisanforderungen an Beschaffer.
4. Prüfungsrelevanz und praktische Umsetzung
C3A als Prüfungsrahmen für IT-Revisoren
Für die IT-Revision bietet C3A einen strukturierten Prüfungsrahmen, der über die bisherigen Ansätze zur Lieferantenprüfung und Cloud-Governance deutlich hinausgeht. Die Musskriterien der sechs Souveränitätsziele können direkt als Prüfkriterien in revisionsinterne Checklisten und Prüfprogramme überführt werden.
Konkret eröffnet C3A für die Revision folgende Prüfungshandlungen:
- Eigentümerstruktur und Jurisdiktion: Prüfung der Beteiligungsstruktur des CSP, Identifikation des wirtschaftlich Berechtigten, Bewertung extraterritorialer Rechtsrisiken (US CLOUD Act, FISA 702, etc.)
- Operative Abhängigkeiten: Analyse von Wartungs- und Administrationszugriffen durch Personal in Drittstaaten, Bewertung von Remote-Access-Konzepten
- Portabilitätsnachweis: Technische Verifikation von Exportfunktionen, Bewertung realer Wechselaufwände, Analyse proprietärer Datenformate
- Lieferkettentransparenz: Erhebung und Bewertung kritischer Subdienstleister, Prüfung auf Abhängigkeiten von Hyperscalern in kritischen Infrastrukturkomponenten
- Disconnect-Test: Dokumentensichtung und, wo möglich, technische Verifikation der Isolationsfähigkeit
- Vertragsanalyse: Prüfung, ob vertragliche Regelungen (insb. zu Portabilität, Subunternehmern, Zugriffskontrolle) die C3A-Anforderungen substanziell abdecken oder lediglich formal erfüllen
Einbindung in die Lieferantenqualifizierung
C3A eignet sich als Grundlage für eine strukturierte Lieferantenbefragung (Third-Party Questionnaire) im Cloud-Kontext. Die sechs Souveränitätsziele lassen sich in ein standardisiertes Fragebogenformat überführen, das Anbieter systematisch zur Offenlegung ihrer Struktur, Abhängigkeiten und Kontrollmechanismen verpflichtet. Entsprechende Nachweise können in das GRC-System des Unternehmens integriert und regelmäßig aktualisiert werden.
Empfohlenes Vorgehen für Compliance Manager
Für die operative Umsetzung empfiehlt sich ein gestuftes Vorgehen:
- Bestandsaufnahme: Inventarisierung aller Cloud-Dienste nach Kritikalität für Geschäftsprozesse, Datenkategorien und regulatorische Relevanz.
- C3A-Gap-Analyse: Bewertung der eingesetzten Dienste anhand der sechs Souveränitätsziele. Priorisierung nach Risiko und Kritikalität.
- Dokumentation: Strukturierte Erfassung von Prüfungsergebnissen, Nachweisdokumenten und identifizierten Lücken in der GRC-Dokumentationslandkarte. Die Dokumentation sollte unmittelbar prüfungsfähig ausgestaltet sein.
- Maßnahmenplan: Für kritische Lücken: Bewertung verfügbarer souveräner Alternativen, vertragliche Kompensationsklauseln, technische Risikobehandlung (z. B. Ende-zu-Ende-Verschlüsselung, lokale Schlüsselverwaltung).
- Kontinuierliche Überwachung: Integration der C3A-Kriterien in regelmäßige Lieferantenbewertungszyklen und in das laufende IKT-Risikomanagement.
Souveränitäts-Washing erkennen: Typische Prüfungsfeststellungen
Eine sorgfältige C3A-Analyse wird regelmäßig auf Muster stoßen, die formal souverän wirken, es aber substanziell nicht sind:
- Technische Hülle: Der Dienst wird in einem europäischen Rechenzentrum betrieben, das operative Steuerungsrecht liegt jedoch bei einer US-Muttergesellschaft. Aufsichtsrechtlich und aus CLOUD-Act-Perspektive ist diese Konstellation als nicht souverän zu bewerten.
- Vertragsklauseln ohne operative Substanz: Portabilität ist vertraglich zugesichert, die technische Umsetzung jedoch mit prohibitivem Aufwand verbunden. DORA und NIS2 erfordern hier nachweislich funktionierende Ausstiegspfade.
- Lieferkettenblindheit: Der Direktanbieter erfüllt alle sichtbaren Kriterien, setzt jedoch für kritische Teilfunktionen (CDN, KI-Inferenz, Authentifizierung) ausschließlich Dienste nicht-europäischer Hyperscaler ein. Dies ist eine typische Prüfungsfeststellung, die ohne strukturierte Lieferkettenanalyse unsichtbar bleibt.
- Fehlende Disconnect-Fähigkeit: Technische Abhängigkeiten von externen Backend-Systemen (z. B. globale License-Server, Cloud-native Authentifizierungsdienste) machen einen autonomen Betrieb im Krisenfall faktisch unmöglich.
C3A macht diese Muster durch seine Musskriterien erstmals methodisch sauber und belastbar sichtbar.
5. Einschätzung und Ausblick
C3A ist kein isoliertes BSI-Arbeitsdokument, sondern Teil einer breiteren europäischen Regulierungslogik, die digitale Souveränität zunehmend als Governance-, Risiko- und Compliance-Kategorie begreift. Der Katalog schließt eine methodische Lücke, die bisher weder durch C5, NIS2, DORA noch durch DSGVO vollständig adressiert wurde.
Für Compliance Manager und IT-Auditoren ist C3A in zweifacher Hinsicht bedeutsam: Zum einen als strukturiertes Prüfinstrument für die Cloud-Governance, das über bestehende Lieferantenbewertungsansätze hinausgeht. Zum anderen als frühindikator für kommende verbindliche Anforderungen – sei es über den EU Cloud and AI Development Act, über die Weiterentwicklung des IT-Grundschutzes oder über sektorspezifische Aufsichtserwartungen.
Unternehmen, die C3A heute in ihre GRC-Strukturen integrieren, schaffen nicht nur regulatorische Vorsorge. Sie gewinnen auch eine belastbare Entscheidungsgrundlage für Cloud-Beschaffung, Lieferantensteuerung und Resilienzplanung – und reduzieren damit reale operative und geopolitische Risiken, die bisher mangels Messinstrument oft ignoriert wurden.
GRC Factory – IT Assurance and Compliance Professionals
Die GRC Factory GmbH unterstützt Unternehmen, interne Revisionen und Wirtschaftsprüfer bei der prüfungsorientierten Umsetzung regulatorischer Anforderungen im Cloud- und IT-Governance-Umfeld. Unsere Leistungen im Kontext C3A umfassen:
- C3A-Gap-Analyse und strukturierte Lieferantenbewertung
- Entwicklung prüfungsfähiger Dokumentation für Cloud-Souveränität
- Integration von C3A-Kriterien in bestehende GRC- und ISMS-Strukturen
- Unterstützung bei der Verknüpfung mit NIS2-, DORA- und IT-Grundschutz-Anforderungen
- Schulung und Sensibilisierung für Revisoren, Compliance Manager und Einkauf
