C3A: So wird Cloud-Souveränität messbar

Wie souverän ist unsere Cloud? Lange war das eine Frage der Zusicherungen: Anbieter versprachen Souveränität, prüfen ließen sich diese Versprechen kaum. Die EU-Kommission hat mit dem Cloud Sovereignty Framework im Oktober 2025 einen ersten Rahmen dafür geschaffen. Seit April 2026 gibt es die deutsche Konkretisierung: Mit den C3A hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) einen Kriterienkatalog veröffentlicht, der Cloud-Souveränität überprüfbar macht.

Die C3A sind kein Gesetz und keine Zertifizierung, sondern ein Fragenraster: 30 Kriterienbereiche, verteilt auf sechs Domänen, mit denen Sie einem Cloud-Anbieter präzise Fragen stellen können. In diesem Ratgeber erfahren Sie, was im C3A-Katalog steht, wie er sich zum C5 verhält und wie Sie ihn in fünf Schritten auf Ihren eigenen Anwendungsfall zuschneiden.

C3A ist die Abkürzung für „Criteria enabling Cloud Computing Autonomy“, auf Deutsch etwa: Kriterien, die Autonomie im Cloud Computing ermöglichen. Herausgeber ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Die erste Version (1.0) der C3A ist am 27. April 2026 erschienen, bislang ausschließlich auf Englisch.

Die Leitfrage des Katalogs lautet: Lässt sich ein bestimmtes Set von Cloud-Diensten im jeweiligen Risikokontext selbstbestimmt nutzen? Dazu zerlegt das BSI den Begriff der digitalen Souveränität in 30 überprüfbare Kriterienbereiche, verteilt auf sechs Souveränitätsdomänen.

Für Cloud-Kunden liegt der Nutzen in der Transparenz. Anhand der Kriterien können Sie erkennen, welche Souveränitätseigenschaften ein Dienst tatsächlich hat. Für Cloud-Anbieter wiederum bilden die C3A eine Anforderungsliste, deren Erfüllung sie zum Beispiel durch eine Selbstauskunft belegen können.

Der C5 (Cloud Computing Compliance Criteria Catalogue) beantwortet die Frage, ob ein Cloud-Dienst technisch sicher betrieben wird. Hier geht es um Cloud Security. Konkret werden Kriterien wie Verschlüsselung, Zugriffskontrolle, Logging und Incident-Management geprüft. Der C3A-Katalog geht einen Schritt weiter und bewertet, ob Sie den Dienst im jeweiligen Risikokontext auch selbstbestimmt nutzen können.

Beide Kataloge stehen nicht in Konkurrenz, sondern bauen aufeinander auf: Die Erfüllung der C5-Kriterien ist Voraussetzung für die Anwendung der C3A. Sicherheit ist das Fundament, Souveränität die darauf aufsetzende Bewertungsdimension. Ohne erfüllte C5-Kriterien ist eine C3A-Bewertung also nicht sinnvoll.

Für den C5 existiert ein etabliertes Testierungsverfahren, über das Anbieter ihre Konformität prüfen und bestätigen lassen können. Für die C3A ist ein solcher Leitfaden bisher nur angekündigt: Das BSI will ihn in einem nächsten Schritt veröffentlichen; das Nachweisverfahren soll sich an den C5-Testierungsprozessen orientieren.

Hier stehen nicht die Technik, sondern die Eigentumsverhältnisse und Rechtsräume im Mittelpunkt. Der Anbieter muss nach EU- oder deutschem Recht operieren, einschließlich der Vertragsgestaltung und Streitbeilegung. Sein registrierter Hauptsitz muss in der EU oder in Deutschland liegen. Auch Subunternehmer brauchen einen Sitz in der EU oder in Deutschland.

Der Anbieter muss von europäischen oder deutschen Unternehmen kontrolliert werden. Der C3A-Katalog fragt dabei nach dem tatsächlichen Einfluss: Können Unternehmen von außerhalb der EU zentrale strategische, finanzielle oder operative Entscheidungen direkt oder indirekt beeinflussen oder bestimmen?

Der Anbieter muss diese Verhältnisse für Sie transparent halten und Änderungen daran 90 Tage im Voraus melden, soweit sie die zugesagten Souveränitätseigenschaften berühren können.

Nein, der C3A-Kriterienkatalog ist nicht verpflichtend. Das BSI beschreibt die C3A selbst als freiwilligen Handlungsrahmen ohne regulative Wirkung. Das bedeutet auch: Formulierungen wie „C3A-konform“ sind fachlich nicht haltbar. Es gibt keine Zertifizierung und derzeit nicht einmal ein veröffentlichtes Auditverfahren. Wer den Katalog trotzdem als Nachweis verkauft oder einkauft, produziert eine Scheinsicherheit.

Nützlich sind die BSI C3A jedoch auch ohne Rechtswirksamkeit. Der Wert des C3A-Katalogs besteht darin, dass er Abhängigkeiten erstmals strukturiert benennbar macht – nach Datenklasse, Betriebsfunktion und Lieferkettenstufe. Aus einem diffusen Unbehagen werden 30 konkrete Fragen, die Sie einem Anbieter stellen können. Ob und inwieweit Sie ein mögliches Restrisiko tragen möchten, ist Ihnen überlassen. Das bleibt Ihre Geschäftsentscheidung, doch dank der C3A können Sie sich erstmals auf Belege statt auf Zusicherungen stützen.

Für Cloud-Anbieter sind die C3A-Kriterien vor allem ein Indikator dafür, welche Souveränitätsanforderungen voraussichtlich an Bedeutung gewinnen werden. Das BSI weist außerdem darauf hin, dass die Kriterien künftig per Gesetzgebung oder in Ausschreibungen zur Mindestanforderung erklärt werden könnten.

Schon heute können Cloud-Kunden anhand der C3A ihr eigenes Souveränitätsniveau bestimmen und Anbieter daran messen. Bei öffentlichen Auftraggebern könnten Souveränitätsnachweise in Zukunft Teil der Bieterprüfung werden.

Vorstellbar ist eine ähnliche Entwicklung wie beim C5-Katalog. Dieser startete ebenfalls freiwillig, wurde dann zum Beschaffungsstandard und ist im Gesundheitsbereich inzwischen sogar gesetzlich verankert.

Für Anbieter wird das Souveränitätsniveau durch die C3A zum belegbaren Verkaufsargument. Besonders für Behörden, KRITIS-Betreiber und Unternehmen mit erhöhtem Schutzbedarf ist der Katalog ein nützliches Werkzeug zur Anbieterauswahl. Wer früh sagen kann, welche Kriterien er erfüllt, hebt sich von Wettbewerbern ab, die weiter nur mit dem unkonkreten Label „souveräne Cloud“ arbeiten.

Anbieter sollten deshalb jetzt den Abgleich machen: Welche Kriterien erfüllen wir bereits und wo besteht Handlungsbedarf?

Formal bewerten die C3A Cloud-Dienste. Wer seine Software als SaaS anbietet, ist damit aber selbst Cloud-Anbieter. Spätestens in Ausschreibungen von Behörden oder KRITIS-Betreibern landen die Fragen aus dem Katalog deshalb auch bei Softwareherstellern.

Hinzu kommt: Viele C3A-Kriterien betreffen nicht die Organisation, sondern die Architektur. Sie lassen sich direkt an ein eigenes Produkt anlegen, egal ob es schon am Markt ist oder gerade entwickelt wird. Das betrifft zum Beispiel folgende Bereiche:

• Schlüssel und Identitäten (SOV-3): Lässt sich ein externes Schlüsselmanagement anbinden? Können Kunden ihren eigenen Identity Provider nutzen?
• Disconnect (SOV-4): Was passiert, wenn US-Dienste wegfallen, etwa Container-Registries, Auth-Provider oder LLM-APIs? Läuft Ihr Produkt weiter oder steht es still?
• Lieferkette (SOV-5): Gibt es eine SBOM? Sind kritische Komponenten so gekapselt, dass Sie sie austauschen können?
• Quellcode und Build (SOV-6): Liegen Repository und Build-Pipeline in der EU? Können Sie einen Sicherheitspatch im Notfall selbst bauen und ausrollen?

Wer diese Fragen schon in der Architektur beantwortet, verfolgt den Ansatz Souveränität by Design. Ob Ihr Produkt so aufgestellt ist, zeigt ein Architektur-Review. Dabei prüfen wir Ihr System aus der C3A-Perspektive, egal ob Sie es selbst entwickeln oder gemeinsam mit uns. So sehen Sie, welche Kriterien es bereits erfüllt und wo Sie nachsteuern sollten.

Die C3A liefern, was bisher gefehlt hat: einen gemeinsamen Maßstab. Statt über „souveräne Cloud“ zu diskutieren, wird sie anhand 30 konkreter Kriterienbereiche messbar gemacht. Der C3A-Katalog ist also ein Werkzeug zur strukturierten Bewertung, kein Compliance-Häkchen. Sie bestimmen anhand von Anwendungsfall, Datenklassen und Schutzbedarf ein Anforderungsprofil, messen Ihren Anbieter daran und priorisieren die Lücken nach Risiko.

Wichtig dabei: Die C3A bewerten nur die Souveränität, nicht die Sicherheit. Ziehen Sie für die Anbieterprüfung deshalb immer auch den C5-Katalog heran. Weil sich Eigentümerverhältnisse, Sub-Dienstleister und Rechtslagen ändern können, ist das Ergebnis außerdem kein Einmalbefund, sondern sollte jährlich überprüft werden.

Sie wissen noch nicht, wo Ihre Cloud-Architektur heute steht? Genau hier setzt die Cloud-Beratung von MaibornWolff an. Seit über zwölf Jahren begleiten wir Unternehmen in die Cloud. Souveränität denken wir dabei von Anfang an mit. Im Cloud-Readiness-Check analysieren wir Ihre IT-Landschaft und entwickeln daraus Zielbild und Roadmap für Ihre Cloud-Strategie. Als herstellerunabhängiger Partner mit Zertifizierungen bei STACKIT, Azure und AWS beraten wir Sie neutral: Ihre Anforderungen entscheiden über die Plattform, nicht unsere Partnerschaften.