Digitale Souveränität: BSI veröffentlicht C3A-Katalog für die Cloud-Beschaffung
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit den Criteria enabling Cloud Computing Autonomy (C3A) einen neuen Standard für die digitale Souveränität von Cloud-Diensten vorgestellt. Während der bekannte C5-Katalog die technische Sicherheit fokussiert, dient C3A als Hilfestellung für Vergabestellen, um die Kontrolle über die eigene IT-Infrastruktur zu wahren. Der Katalog bietet erstmals konkrete Anhaltspunkte, wie Souveränitätsaspekte als Steuerungselemente in öffentlichen Ausschreibungen genutzt werden können.
C5 trifft C3A: Technische Sicherheit vs. IT-Autonomie
Die Beschaffung von Cloud-Leistungen wird durch das BSI nun zweigleisig betrachtet:
- C5 (Cloud Computing Compliance Criteria Catalogue): Fokus auf die reine technische Sicherheit und Informationssicherheit.
- C3A (Criteria enabling Cloud Computing Autonomy): Fokus auf die digitale Souveränität. Hierbei geht es um die Unabhängigkeit von Anbietern und die Kontrolle über Datenflüsse.
Relevanz für die öffentliche Vergabe
Obwohl die Anwendung von C3A derzeit nicht verpflichtend vorgeschrieben ist, erhofft sich das BSI eine starke Signalwirkung für Vergabeverfahren. Öffentliche Auftraggeber können den Rahmen nutzen, um Kriterien festzulegen wie:
- Standort der Rechenzentren: Wo werden die Daten physisch verarbeitet?
- Herkunft des Betriebspersonals: Wer hat administrativen Zugriff auf die Systeme?
- Kontrolle: Wie einfach lassen sich Daten migrieren oder Anbieter wechseln (Vermeidung von Vendor Lock-in)?
Zeitplan und Verfügbarkeit
Das Dokument umfasst aktuell 16 Seiten und liegt in englischer Sprache vor. Das BSI plant folgende Ergänzungen für das Jahr 2026:
- Deutsche Fassung: Veröffentlichung bis zum Sommer geplant.
- Audit-Leitfaden: Ein spezifischer Leitfaden für C3A-Audits befindet sich in Vorbereitung, um die Einhaltung der Kriterien überprüfbar zu machen.
FAQ
Was ist der Unterschied zwischen BSI C5 und C3A?
C5 bewertet die technische Informationssicherheit von Cloud-Anbietern. C3A ergänzt dies um Kriterien zur digitalen Souveränität, also die Fähigkeit des Kunden, die Kontrolle über seine Daten und IT-Prozesse unabhängig vom Anbieter zu behalten.
Ist der C3A-Katalog für öffentliche Vergaben verpflichtend?
Nein, die Anwendung ist aktuell optional. Er dient jedoch als fachliche Hilfestellung und “vergaberelevante Steuerungswirkung” für Behörden, die Souveränitätsziele in ihren Ausschreibungen verankern wollen.
Welche Aspekte der digitalen Souveränität prüft das BSI mit C3A?
Geprüft werden unter anderem die Transparenz der Datenverarbeitung, der Standort der Infrastruktur, die personellen Zuständigkeiten sowie die Portabilität von Daten beim Anbieterwechsel.
Quellen:
