BSI C3A: Cloud-Souveränität wird prüfbar
cloudmagazin erklärt den BSI-C3A-Katalog für souveräne Clouds. So erkennen Architekten Sovereignty-Washing und wählen Anbieter nach sechs Prüfdomänen.
Das BSI hat im April 2026 mit dem C3A-Katalog erstmals ein prüfbares Raster für Cloud-Souveränität vorgelegt. Damit wird aus einem Marketing-Begriff eine Anforderung, die man in eine Ausschreibung schreiben kann. Für Architekten im DACH-Mittelstand ist das die Zäsur: Souveränität lässt sich ab sofort abfragen wie jede andere technische Eigenschaft.
Das Wichtigste in Kürze
- C3A ergänzt C5: Wo der bekannte C5-Katalog die Informationssicherheit prüft, bewertet C3A die digitale Souveränität. C5-Konformität ist dabei die Voraussetzung, C3A baut darauf auf.
- Sechs aufeinander aufbauende Domänen: Von SOV-1 bis SOV-6 mit grundlegenden und erweiterten Kriterien. Je höher die Stufe, desto größer die Kontrolle des Kunden über Daten und Betrieb.
- Ein Werkzeug gegen Sovereignty-Washing: Wer C3A in die Ausschreibung schreibt, zwingt Anbieter zur belegbaren Aussage statt zum Werbeversprechen.
Verwandt:Deutscher Hyperscaler: Wer Substanz hat / Der Lock-in wackelt
Was C3A über C5 hinaus prüft
Der C5-Katalog des BSI ist seit Jahren die Referenz für die Sicherheit von Cloud-Diensten. Er beantwortet die Frage, ob ein Anbieter sauber und nachvollziehbar arbeitet. Was er nicht beantwortet, ist die Frage nach der Kontrolle: Kann der Kunde seine Daten und Prozesse unabhängig vom Anbieter steuern, auch wenn sich das Verhältnis verschlechtert?
Genau diese Lücke schließt C3A, ausgeschrieben Criteria enabling Cloud Computing Autonomy. Der Katalog bewertet, ob ein Cloud-Angebot im jeweiligen Risikokontext selbstbestimmt genutzt werden kann. Wichtig für die Praxis: C3A setzt C5 voraus. Ein Anbieter, der die Sicherheitsanforderungen nicht erfüllt, kommt für die Souveränitätsbewertung gar nicht erst infrage. Die deutschsprachige Fassung ist für das Ende des zweiten Quartals 2026 angekündigt.
Sechs Domänen von SOV-1 bis SOV-6
Das BSI teilt Souveränität in sechs Domänen auf, SOV-1 bis SOV-6, die aufeinander aufbauen. Jede Domäne kennt grundlegende Kriterien und erweiterte Anforderungen, im Katalog als C und AC gekennzeichnet. Das ergibt ein Stufenmodell, in dem ein Angebot einen definierten Reifegrad erreicht, von der Basis-Domäne bis zur höchsten Autonomie-Stufe.
Für Architekten ist diese Abstufung der eigentliche Fortschritt. Sie erlaubt eine risikobasierte Entscheidung. Ein unkritischer Entwicklungs-Workload braucht keine Maximalstufe, ein Verfahren mit besonders schützenswerten Daten dagegen schon. Die Domänenstruktur zwingt zur ehrlichen Frage, welche Souveränität ein konkreter Anwendungsfall wirklich verlangt.
Wie sich Anbieter einordnen lassen
Der Wert von C3A zeigt sich erst in der Anwendung auf reale Angebote. Ein rein europäisch betriebener Stack eines Anbieters ohne Nicht-EU-Konzernmutter erreicht andere Domänen als eine souveräne Zone, die ein US-Hyperscaler technisch abschottet, deren Betreiber aber weiterhin einem Nicht-EU-Recht unterliegt. Beide können legitim sein. C3A macht den Unterschied sichtbar, statt ihn im Kleingedruckten zu belassen.
Für die Beschaffung heißt das: Die Frage lautet nicht mehr, ob ein Anbieter das Wort souverän im Datenblatt führt. Sie lautet, welche C3A-Domäne er belegbar erreicht und ob diese Stufe zum Schutzbedarf des Workloads passt.
Die Autonomie-Frage: Betrieb ohne den Anbieter
Die härteste Prüfung der Souveränität ist ein Gedankenexperiment mit realem Kern. Was passiert, wenn der Anbieter ausfällt, den Vertrag kündigt oder rechtlich blockiert wird? Kann der Kunde den Betrieb aufrechterhalten oder migrieren, ohne bei null anzufangen? Die höheren C3A-Domänen adressieren genau diese Autonomie: Schlüsselhoheit, Portabilität der Daten und die Unabhängigkeit des Betriebs.
In der Praxis scheitert Autonomie selten an der Technik und oft an Formaten und Verträgen. Wer proprietäre Datenformate und exklusive Managed Services tief in die eigene Architektur einbaut, verliert Souveränität, egal was das Zertifikat sagt. C3A liefert hier die Sprache, um solche Abhängigkeiten früh zu benennen.
Checkliste für Architekten vor der Ausschreibung
Drei Schritte machen C3A im eigenen Haus nutzbar. Erstens: den Schutzbedarf je Workload-Klasse festlegen und daraus die geforderte Souveränitätsdomäne ableiten. Zweitens: die Domäne als hartes Kriterium in die Ausschreibung schreiben und einen Nachweis verlangen, keine Selbstauskunft. Drittens: den Exit von Anfang an mitdenken, also Datenformate, Schlüsselhoheit und Migrationspfad vertraglich absichern.
Anbieter, die früh in C3A-Audits investieren, verschaffen sich einen Vorteil in genau den regulierten Ausschreibungen, die 2026 zunehmen. Für den Einkauf ist der Katalog ein Filter, für den Anbieter eine Eintrittskarte.
Häufige Fragen
Was ist der Unterschied zwischen BSI C5 und C3A?
C5 prüft die Informationssicherheit eines Cloud-Dienstes. C3A ergänzt das um die digitale Souveränität, also die Fähigkeit des Kunden, Daten und Prozesse unabhängig vom Anbieter zu kontrollieren. C5-Konformität ist Voraussetzung für eine C3A-Bewertung.
Was bedeuten die Domänen SOV-1 bis SOV-6?
Das BSI gliedert Cloud-Souveränität in sechs aufeinander aufbauende Domänen. Jede kennt grundlegende und erweiterte Kriterien. Je höher die erreichte Domäne, desto größer die Kontrolle des Kunden über Daten, Schlüssel und Betrieb.
Ist C3A verpflichtend?
C3A ist zunächst ein Kriterienkatalog, keine gesetzliche Pflicht. Seine Wirkung entsteht über die Beschaffung: Sobald öffentliche und regulierte Auftraggeber C3A-Domänen in Ausschreibungen verlangen, wird der Katalog faktisch zum Maßstab.
Kann ein US-Hyperscaler eine C3A-Domäne erreichen?
Grundsätzlich ja, abhängig vom konkreten Betriebsmodell. Entscheidend ist, welche Kontrolle über Schlüssel, Betrieb und Rechtsrahmen tatsächlich beim Kunden oder einem EU-Betreiber liegt. Die erreichbare Domäne unterscheidet sich je nach Ausgestaltung deutlich.
Wann ist die deutsche Version verfügbar?
Das BSI hat den C3A-Katalog im April 2026 vorgestellt. Die deutschsprachige Fassung ist für das Ende des zweiten Quartals 2026 angekündigt. Bis dahin lässt sich mit der veröffentlichten Struktur bereits die eigene Beschaffung vorbereiten.
Lesetipps der Redaktion
cloudmagazinDeutscher Hyperscaler: Wer wirklich Substanz hatcloudmagazinKRITIS in die Cloud: Was die Migration absichertcloudmagazinAWS und Azure unter EU-Aufsicht: Der Lock-in wackeltMehr aus dem MBF Media Netzwerk
Digital ChiefsSouveräne Cloud: Wann sich der Aufpreis wirklich rechnetSecurityTodayPost-Quantum wird Pflicht in der Cloud-ZertifizierungMyBusinessFutureDie KI-Aufsicht in Deutschland hat jetzt eine AdresseBildquelle: KI-generiert (Juli 2026)
