BAREMOS IT GmbH – IT-Planer
Menü

BSI-Katalog C3A: Cloud-Souveränität messbar

Veröffentlicht:

Ein neuer Maßstab für Cloud-Souveränität

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 27. April 2026 mit „Criteria enabling Cloud Computing Autonomy“ (C3A) erstmals einen Kriterienkatalog veröffentlicht, der digitale Souveränität von Cloud-Diensten operationalisierbar machen soll. Hintergrund ist die anhaltende Debatte um die Abhängigkeit deutscher Behörden von außereuropäischen Hyperscalern und die Frage, wie sich diese Abhängigkeit im Rahmen von Vergabeverfahren überhaupt greifbar beschreiben lässt. C3A ist kein Zertifikat, sondern – so das BSI – ein strategisches Instrument für die digitale Beschaffung. Der Katalog setzt auf dem bereits etablierten C5-Testkatalog auf: Während C5 die technische Sicherheit eines Cloud-Dienstes bewertet, adressiert C3A die davon unabhängige Frage, wie unabhängig eine Verwaltung vom jeweiligen Anbieter bleibt.

Sechs Dimensionen statt einer Kennzahl

C3A gliedert Souveränität in sechs Kriterienbereiche: strategische, rechtliche, Daten-, operative, Lieferketten- und technologische Souveränität. Diese Aufteilung macht deutlich, dass sich digitale Souveränität nicht an einem einzelnen Merkmal wie dem Sitz des Anbieters festmachen lässt, sondern von einer Vielzahl technischer und organisatorischer Faktoren abhängt – etwa davon, wer Verschlüsselungsschlüssel kontrolliert, welche Unterauftragsverarbeiter eingebunden sind oder wie ein Anbieterwechsel in der Praxis ablaufen würde. Eine deutschsprachige Fassung des zunächst nur englischsprachigen Katalogs hat das BSI für das zweite Quartal 2026 angekündigt; ein ergänzender Leitfaden für C3A-Prüfungen, der sich am etablierten C5-Prüfverfahren orientieren soll, befindet sich in Vorbereitung.

Anwendung in Vergabeverfahren für Cloud-Leistungen

Für öffentliche Auftraggeber, die Cloud-Leistungen ausschreiben, liefert C3A eine strukturierte Grundlage, um Souveränitätsanforderungen in der Leistungsbeschreibung zu konkretisieren, als Eignungskriterium bei der Bieterprüfung heranzuziehen oder als qualitative Komponente in die Zuschlagskriterien einzubeziehen. Denkbar ist etwa, Selbstauskünfte der Bieter zu den sechs C3A-Dimensionen abzufragen oder den Nachweis eines bestimmten C3A-Niveaus als Mindestanforderung festzulegen. Dabei bleibt zu beachten, dass Leistungsbeschreibungen nach den allgemeinen vergaberechtlichen Grundsätzen produktneutral und diskriminierungsfrei auszugestalten sind; C3A-Kriterien entfalten als solche keine unmittelbare Rechtsverbindlichkeit, dürften aber nach Einschätzung von Fachpublikationen zunehmend vergaberelevante Steuerungswirkung entfalten.

Vertragstext allein reicht nicht

Wie praxisrelevant die im C3A adressierten Fragen sind, zeigt eine Analyse auf Vergabeblog.de vom 15. Oktober 2026 zu den Rahmenverträgen der Schweizer Bundesverwaltung mit Microsoft, AWS, Oracle und Alibaba. Die Autorin arbeitet heraus, dass umfassende Vertragsklauseln allein keine tatsächliche Souveränität sichern: Welche Dienste eine Behörde nutzt, wo Daten und Sicherungskopien liegen und wer Schlüssel hält, entscheidet sich auch über Architektur und Konfiguration der eingesetzten Dienste. Als zentrale Prüffragen nennt der Beitrag unter anderem, wer die Leistung verändern darf, was Audits tatsächlich ermöglichen, wo Daten liegen und wer darauf zugreifen kann, und ob ein Anbieterwechsel in der Praxis tatsächlich durchführbar wäre. Für die Vergabepraxis bedeutet das: Ein Kriterienkatalog wie C3A kann helfen, solche Fragen strukturiert abzufragen – ersetzt aber nicht die Prüfung, wie die vertraglichen Zusagen im konkreten Einzelfall technisch und organisatorisch umgesetzt werden.

Quellen