Warum plötzlich alle von „C3A-konform“ sprechen
Mit der Veröffentlichung des C3A-Frameworks hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) ein Thema deutlich stärker in den Fokus gerückt: Cloud-Souveränität. Seitdem taucht im Markt zunehmend ein Begriff auf: „C3A-konform“. Das Problem: Der Begriff klingt nach einer offiziellen Zertifizierung oder einem standardisierten Nachweis. Genau das ist C3A jedoch nicht.
Aktuell beobachten viele Organisationen eine problematische Entwicklung: Anbieter, Dienstleister und teilweise auch Ausschreibungen verwenden „C3A-konform“ bereits wie ein offizielles Qualitätslabel. Fachlich ist das nicht korrekt. Und genau deshalb lohnt sich ein genauer Blick darauf, was C3A eigentlich ist – und was eben nicht.
Was ist C3A überhaupt?
C3A steht für “Criteria enabling Cloud Computing Autonomy” Dabei handelt es sich um einen Bewertungsrahmen des BSI, der Organisationen dabei unterstützen soll, Cloud-Souveränität strukturiert zu bewerten.
Im Mittelpunkt stehen Fragen wie:
- Wie unabhängig ist ein Cloud-Dienst tatsächlich?
- Welche rechtlichen und operativen Abhängigkeiten bestehen?
- Welche Risiken entstehen durch Drittstaatenzugriffe?
- Wie belastbar ist die Kontrolle über Daten, Systeme und Lieferketten?
Das Ziel von C3A ist nicht Zertifizierung, sondern Transparenz. Organisationen sollen in die Lage versetzt werden, Cloud-Risiken nachvollziehbar zu analysieren und fundierte Entscheidungen zu treffen.
Warum „C3A-konform“ fachlich nicht korrekt ist
Der Begriff „C3A-konform“ ist aktuell weit verbreitet, aber missverständlich. Der zentrale Grund: C3A ist kein Zertifizierungsschema. Es existieren keine offizielle Auditierung, keine akkreditierte Prüfstelle, kein formales „bestanden / nicht bestanden“ und kein offizielles Compliance-Siegel.
Organisationen oder Anbieter können daher nicht pauschal „C3A-konform“ sein. Sie können lediglich Kriterien strukturiert bewerten, Risiken adressieren, Nachweise dokumentieren und Entscheidungen nachvollziehbar begründen.
Das mag auf den ersten Blick weniger eindeutig wirken als klassische Standards. Tatsächlich liegt genau darin jedoch die eigentliche Stärke des Frameworks.
Darum ist C3A bewusst kein Zertifikat
Viele etablierte Standards arbeiten mit klaren Kontrolllogiken wie ISO 2700, SOC 2 oder BSI C5. Dabei steht meist die Frage im Mittelpunkt, ob eine definierte Anforderung erfüllt oder nicht.
C3A verfolgt bewusst einen anderen Ansatz. Das Framework setzt dabei voraus, dass grundlegende Sicherheitsanforderungen bereits erfüllt sind – insbesondere über die im BSI C5 definierten Kriterien, die den Security-Aspekt der Souveränität abdecken.
Darauf aufbauend zwingt C3A Organisationen dazu:
- Risiken kontextbezogen zu bewerten
- Abhängigkeiten sichtbar zu machen
- individuelle Anforderungen zu definieren
- Entscheidungen nachvollziehbar zu dokumentieren
Denn Cloud-Souveränität ist keine universelle Eigenschaft. Eine Architektur, die für ein Unternehmen akzeptabel ist, kann für ein anderes regulatorisch oder strategisch problematisch sein. C3A ersetzt deshalb keine Bewertung durch ein einfaches Label. Es ergänzt bestehende Sicherheitsnachweise um eine nachvollziehbare Souveränitäts- und Risikoanalyse.
Die sechs Dimensionen der Cloud-Souveränität
C3A strukturiert die Bewertung entlang von sechs zentralen Souveränitätsdimensionen:
Strategische Souveränität
Fragen zu Eigentümerstruktur, Kontrolle und Unternehmenssitz.
Rechtliche Souveränität
Jurisdiktion, Drittstaatenzugriffe und rechtliche Exposition.
Datensouveränität
Speicherung, Zugriffsschutz, Verschlüsselung und Datenkontrolle.
Operative Souveränität
Betrieb, Personalzugriffe und Kontrollmöglichkeiten.
Lieferketten-Souveränität
Subdienstleister, Abhängigkeiten und externe Betriebsanteile.
Technologische Souveränität
Abhängigkeiten von proprietären Technologien und Weiterentwicklung.
Entscheidend dabei: Die Dimensionen dürfen nicht isoliert betrachtet werden. Erst ihre kombinierte Bewertung ermöglicht eine belastbare Einschätzung der tatsächlichen Cloud-Souveränität.
Klassische Cloud-Bewertungen reichen oft nicht mehr aus
Viele Organisationen bewerten Cloud-Dienste noch immer primär auf Basis von Zertifikaten, Hosting-Standorten und technischen Funktionen.
C3A erweitert diesen Blick deutlich. Im Fokus stehen zusätzlich globale Lieferketten, operative Kontrollstrukturen, rechtliche Zugriffsmöglichkeiten, Drittstaatenabhängigkeiten und Subdienstleister-Netzwerke. Dadurch verschiebt sich die Bewertung weg vom einzelnen Produkt hin zur gesamten Systemarchitektur.
Cloud-Souveränität wird damit zu einer Governance- und Risikofrage – nicht nur zu einer Infrastrukturentscheidung.
Warum “Daten in Deutschland” allein nicht die Lösung ist
Ein häufiges Missverständnis im Markt lautet: „Die Daten liegen in Deutschland, also ist die Lösung souverän.“
C3A bewertet deutlich mehr als nur den physischen Speicherort. Relevant sind unter anderem die effektive Kontrolle über den Anbieter, rechtliche Zugriffsmöglichkeiten, Remote-Zugriffe, Konzernstrukturen sowie die Drittstaaten-Exposition.
Das bedeutet, dass ein deutscher Datenstandort allein keine Cloud-Souveränität garantiert.
Fazit: C3A ist ein Bewertungsframework – kein Label
C3A verändert die Art, wie Organisationen Cloud-Risiken bewerten. Das Framework liefert keine einfache Zertifizierung, sondern eine strukturierte Entscheidungsgrundlage. Genau darin liegt seine Relevanz. Denn Cloud-Souveränität lässt sich nicht pauschal bestätigen.
Sie muss nachvollziehbar bewertet werden: Entlang von Kontrolle, Jurisdiktion, Lieferkette und operativer Abhängigkeit. Organisationen, die diesen Ansatz ernsthaft verfolgen, gewinnen bessere Entscheidungsgrundlagen, höhere Auditfähigkeit, mehr Transparenz über Risiken und belastbarere Governance-Strukturen.
Häufig gestellte Fragen
C3A steht für „Criteria enabling Cloud Computing Autonomy“ und ist ein Bewertungsframework des BSI zur Analyse von Cloud-Souveränität.
Der Begriff ist fachlich nicht korrekt, da keine offizielle Zertifizierung oder Auditierung existiert.
Nein. C3A bewertet zusätzlich rechtliche Zugriffsmöglichkeiten, operative Kontrolle und Drittstaaten-Abhängigkeiten.
Nein. C3A ist kein Zertifizierungsschema, sondern ein Bewertungsrahmen.
Weil C3A verlangt, dass auch Subdienstleister hinsichtlich Souveränität bewertet werden müssen.
