Um digitale Souveränität zu erreichen, müssen der europäische Markt und die hiesige Digitalindustrie in wichtigen Technologiefeldern gestärkt werden. Dabei leistet das BSI im Bereich der Cybersicherheit aktive Unterstützung. Gleichzeitig müssen aus Sicht des BSI außereuropäische Produkte – überall dort, wo diese weiterhin verwendet werden sollen – so abgesichert werden, dass eine selbstbestimmte Nutzung möglich wird. Der Kriterienkatalog C3A bietet Transparenz, Orientierung und die Möglichkeit, Cloud-Dienste nach den Kriterien auszuwählen, die für den jeweiligen Anwendungszweck relevant sind.

Cloud Computing und digitale Souveränität

„Digitale Souveränität“ beschreibt „die Fähigkeiten und Möglichkeiten von Individuen und Institutionen, ihre Rolle(n) in der digitalen Welt selbstständig, selbstbestimmt und sicher ausüben zu können". 

Die Entscheidung über die Nutzung von Cloud-Diensten beruht auf dem Modell der geteilten Verantwortung (shared responsibility model), bei dem die Verantwortung zwischen dem Cloud-Anbieter und dem Cloud-Kunden geteilt wird. Dieses Modell schränkt den Umfang der Entscheidungen ein, die der Cloud-Kunde treffen kann. Dies betrifft auch Punkte, die sich auf die digitale Souveränität des Cloud-Kunden auswirken. Cloud-Anbieter können ihren Cloud-Kunden ermöglichen, das gewünschte Maß an Selbstbestimmtheit auf unterschiedliche Weise aufrechtzuerhalten – oder auch nicht. Um Transparenz zu gewährleisten und Cloud-Kunden in die Lage zu versetzen, in diesem Zusammenhang risikobasierte Entscheidungen zu treffen, sind allgemein anerkannte, objektive und überprüfbare Kriterien für die Selbstbestimmtheit, bzw. Autonomie, erforderlich. 

Die C3A - Criteria enabling Cloud Computing Autonomy sind ein Katalog von Kriterien. Sie ermöglichen eine Bewertung, ob ein Angebot von Cloud-Diensten in ihrem jeweiligen Risikokontext selbstbestimmt genutzt werden kann. C3A dienen als richtungsweisender Handlungsrahmen, schaffen Transparenz, sind von sich aus jedoch nicht verbindlich.

Grundlage der C3A: EU Cloud Sovereignty Framework und BSI C5:2026

Die C3A übernehmen die Struktur (Kategorien) und Ziele des EU Cloud Sovereignty Framework (EU CSF). Darüber hinaus werden die "contributing factors" des EU CSF in den überprüfbaren Kriterien des C3A aufgegriffen. Sie wurden jedoch um weitere Aspekte erweitert.

Zwei Kategorien des EU CSF decken die C3A bewusst nicht ab: SOV-7 Security & Compliance Sovereignty wird bereits durch etablierte BSI-Produkte wie den C5:2026, IT-Grundschutz oder den HV Benchmark Compact abgedeckt. Die Aspekte von SOV-8 Environmental Sustainability fallen nicht in den Zuständigkeitsbereich des BSI.

C3A setzten voraus, dass der Cloud-Anbieter die C5-Kriterien erfüllt, da diese den Sicherheitsaspekt der Souveränitätsdefinition abdecken. Der C5:2026 umfasst auch Kriterien, die Aspekte in der Schnittmenge von Selbstbestimmtheit und Sicherheit abdecken. 

In diese Schnittmenge fällt insbesondere die Portabilität. Obwohl sie ebenfalls ein Teil einer selbstbestimmten Nutzung von Cloud-Diensten ist, wird sie in den C3A nicht reflektiert, da im C5:2026 im Abschnitt Portabilität und Interoperabilität (PI) bereits geeignete Kriterien festgelegt sind. 

Die C3A sind in Kriterien und Zusatzkriterien unterteilt. Für einige der Kriterien werden ergänzende Informationen bereitgestellt. Je nach Anwendungsfall und Anforderungen des Cloud-Kunden kann festgelegt werden, welche Kriterien und Zusatzkriterien herangezogen werden. 

C3A in der Praxis und Ausblick

Die C3A können sowohl von Cloud-Anbietern als auch von Cloud-Kunden genutzt werden: 

• Ein Cloud-Anbieter kann die Einhaltung der Kriterien nachweisen. Zu diesem Zweck sollte er auswählen, welche Kriterien für das Angebot von Cloud-Diensten erfüllt werden und die Erfüllung durch ein Audit nachweisen.
• Ein Cloud-Kunde kann das Framework nutzen, um für ihn relevante Anforderungen zu identifizieren. Durch die C3A können Cloud-Kunden ihr angestrebtes Maß an Souveränität festlegen, wenn sie Cloud-Dienste nutzen und bei auditierten Diensten bewerten, ob die für sie wichtigen Kriterien erfüllt werden.

Zusätzlich zu den C3A plant das BSI zu veröffentlichen, wie C3A-Audits standardisiert und Auditberichte von Cloud-Kunden genutzt werden können, vergleichbar mit etablierten Prozessen des C5.

Die Veröffentlichung der deutschen Version der C3A ist für Ende des 2. Quartals 2026 geplant.