Das Bundesamt für Sicherheit in der Informationstechnik hat Ende April 2026 ein besonders ambitioniertes Cloud-Regelwerk verabschiedet. Der C3A-Kriterienkatalog – kurz für „Criteria enabling Cloud Computing Autonomy“ – soll definieren, wann ein Cloud-Anbieter wirklich souverän ist. Die Idee ist richtig. Aber je genauer man hinschaut, desto mehr Fragen stellen sich. Ist das ein Kompass für digitale Selbstbestimmung oder ein Wunschzettel, den kaum jemand vollständig erfüllen kann?
Was C3A will und was es von C5 unterscheidet
Wer das BSI kennt, kennt bereits den C5-Kriterienkatalog: das etablierte Prüfrahmenwerk für Cloud-Sicherheit, das seit Jahren als Grundlage für Audits und Zertifikate gilt. Im April 2026 hat das BSI den C5 in einer neuen Version 2026 veröffentlicht – und fast zeitgleich C3A eingeführt. Das ist kein Zufall, sondern Systemlogik: C5 prüft, ob ein Cloud-Dienst sicher ist. C3A prüft, ob er auch souverän ist. Der entscheidende Unterschied: C5 ist etabliert, auditierbar und marktgängig. C3A ist neu und nicht bindend. Es baut auf C5 als Voraussetzung auf.
Wer also C3A-konform werden will, fängt nicht bei null an – aber er ist auch nicht nach einem C5-Audit fertig. C3A fügt sechs neue Domänen hinzu: strategische, rechtliche, Daten-, operationale, Lieferketten- und Technologiesouveränität. Jede Domäne hat Basiskriterien, optional strengere Zusatzkriterien – und Dutzende konkrete Anforderungen.
Was C5-zertifizierten Anbietern noch fehlt
Stellen wir uns einen europäischen Cloud-Anbieter vor, der bereits ein C5:2026-Testat in der Tasche hat. Er hat seine Sicherheitsarchitektur geprüft, seine Prozesse dokumentiert, seinen Prüfer bezahlt. Was fehlt noch bis zur C3A-Konformität? Einiges.
Unter SOV-1 muss der Anbieter nachweisen, dass er unter EU-Jurisdiktion operiert, seinen Sitz in der EU hat und effektiv von EU-Unternehmen kontrolliert wird. Das muss er transparent machen und bei Änderungen 90 Tage vorher kommunizieren. SOV-3 verlangt externe Schlüsselverwaltung, clientseitige Verschlüsselung und einen externen Identity Provider – nicht nur für IaaS und PaaS, sondern perspektivisch auch für SaaS. SOV-4 fordert, dass das gesamte Betriebspersonal EU-Bürger mit EU-Wohnsitz besteht und administrative Zugänge aus Nicht-EU-Ländern technisch gesperrt werden. Außerdem soll der Anbieter jährlich einen echten Disconnect-Test durchführen. Also beweisen, dass der Dienst ohne jede Nicht-EU-Verbindung weiterläuft. SOV-5 verlangt eine SBOM (Software Bill of Materials) für alle eingesetzten Komponenten inklusive Herkunftsländer. SOV-6 schreibt vor, dass Source Code und Deployment-Toolchains täglich in der EU gesichert werden.
Das ist kein marginales Add-on zu C5. Das ist eine andere Kategorie von Anforderungen – organisatorisch, personell, architektonisch.
Realistisch oder regulatorischer Wunschzettel?
Hier beginnt die berechtigte Kritik. Der EU-Cloudverband CISPE bemängelt, dass C3A laut seiner Einschätzung nicht vor US-Gesetzen wie dem CLOUD Act schützt, sondern die Abhängigkeit von großen Technologiekonzernen zementiert. Das trifft einen wunden Punkt: Ein Framework, das Hyperscaler wie AWS, Azure oder Google Cloud faktisch ausschließt – oder ihnen zumindest erhebliche Umstrukturierungen abverlangt –, ist kein neutrales Transparenzwerkzeug mehr. Es ist eine Marktarchitektur.
Besonders anspruchsvoll sind die operationalen Kriterien. Dass sämtliches Personal mit physischem oder logischem Zugang EU-Bürger mit EU-Wohnsitz sein muss, ist für global operierende Anbieter nicht nur logistisch komplex, es ist in bestimmten Konstellationen schlicht nicht umsetzbar. Die Disconnect-Anforderung – jährlich getestet, vollständig dokumentiert, unabhängig von Nicht-EU-Entitäten – setzt eine Infrastrukturtiefe voraus, die viele Anbieter heute noch nicht haben.
Das BSI selbst betont: C3A ist kein bindendes Regelwerk, sondern ein Orientierungsrahmen. Zertifikate sind angekündigt, aber noch nicht verfügbar. Wann der Markt ein offizielles C3A-Testat ausstellen kann, ist derzeit offen.
Die Stärke des Rahmens – und warum er trotzdem wichtig ist
Trotz aller Kritik wäre es falsch, C3A als realitätsferne Bürokratie abzustempeln. Das Framework schafft erstmals eine überprüfbare Sprache für Souveränität. Wer heute mit einem Cloud-Anbieter verhandelt, kann gezielt fragen: Welche C3A-Kriterien erfüllen Sie und welche nicht? Das ist ein echter Fortschritt gegenüber dem Status quo, in dem „souverän“ häufig ein Marketing-Begriff ohne messbaren Inhalt war.
Die Struktur in Basis- und Zusatzkriterien erlaubt zudem differenzierte Anwendung. Nicht jede Behörde, nicht jedes Unternehmen braucht die strengste Stufe. Wer C3A als Checkliste missbraucht, hat die Idee falsch verstanden. Wer es als Verhandlungsrahmen nutzt, schafft einen Mehrwert.
Was das für IT-Verantwortliche bedeutet
C3A wird vermutlich kommen, ob als Pflicht oder als Marktdifferenzierung. Regulierte Branchen wie etwa Finanzdienstleister, Gesundheitsversorgung, kritische Infrastrukturen werden den Druck zuerst spüren, weil ihre Aufseher das Framework als Referenz verwenden werden. Die Kombination aus C5:2026 und C3A wird in Ausschreibungen, Vertragsverhandlungen und Lieferantenbewertungen zunehmend auftauchen.
Für IT-Führungskräfte bedeutet das konkret: Wer heute seinen Cloud-Anbieter nach C5 prüft, sollte bereits den C3A-Gap im Blick haben. Welche SOV-Domänen sind für die eigene Risikoarchitektur relevant? Wo gibt es Abhängigkeiten von Nicht-EU-Komponenten, die mittel- und langfristig ein Problem werden? Und: Kann der Anbieter im Ernstfall tatsächlich „disconnecten“ oder ist das nur Theorie?
C3A ist kein Anlass zur Panik. Aber es ist ein Anlass, endlich ehrlich über Cloud-Souveränität zu sprechen, jenseits von Marketingfolien und Compliance-Häkchen.
Wie C3A in der Praxis aussehen kann
Um zu verstehen, was C3A-Konformität konkret bedeutet, lohnt es sich, einen Blick auf Anbieter zu werfen, die den Rahmen nicht als abstrakte Übung behandeln. Link11 ist ein nach deutschem Recht gegründetes Unternehmen mit Hauptsitz in Frankfurt am Main. Es operiert ausschließlich unter deutschem und europäischem Recht. Nicht-europäischen Behörden steht kein Zugriff auf Systeme oder Kundendaten offen. Dies entspricht genau den Anforderungen von SOV-1 an strategische Souveränität: nachweisbare EU-Jurisdiktion und keine Kontrollabhängigkeit von Nicht-EU-Entitäten.
Die Compliance-Basis ist unabhängig attestiert. Link11 hält ein BSI-C5-Testat, ein SOC-2-Type-2-Testat sowie eine ISO-27001-Zertifizierung. Genau das Fundament, auf dem C3A aufbaut. Auch in den Domänen Lieferkettensouveränität (SOV-5) und Technologiesouveränität (SOV-6) sind die Voraussetzungen gegeben: Software-Komponenten werden mit Herkunftsnachweisen geführt, der Source Code und die Deployment-Toolchains liegen auf EU-Infrastruktur und werden dort gesichert.
Das zeigt: Souveränität ist keine Eigenschaft, die man nachträglich hinzufügt. Sie muss in Architektur, Rechtsform und Betrieb von Anfang an angelegt sein. Für Unternehmen, die heute nach einem C3A-fähigen Anbieter suchen, ist daher nicht entscheidend, welche Zertifikate vorliegen, sondern wie tief die Souveränität tatsächlich reicht.
Wer digital souverän sein will, muss zuerst wissen, wovon er abhängig ist. C3A liefert dafür die richtigen Fragen. Anbieter wie Link11 zeigen, dass die Antworten nicht immer offenbleiben müssen.
Das könnte Ihnen auch gefallen:
