BSI C3A: Wann ist eine Cloud wirklich souverän?
Jahrelang war „digitale Souveränität“ eine Debatte ohne Maßstab. Jeder hatte eine Meinung, niemand eine Checkliste.
2026 hat das BSI das geändert. Nicht mit einer weiteren politischen Erklärung, sondern mit konkreten, prüfbaren Kriterien. Was drinsteht, und wo wir stehen.
Was das BSI tatsächlich veröffentlicht hat
Das Werk heißt C3A. „Criteria Enabling Cloud Computing Autonomy“. Statt zu streiten, ob ein Anbieter „unabhängig genug“ ist, kann eine Organisation einen Cloud-Dienst gegen konkrete, schriftlich festgehaltene Anforderungen prüfen.
C3A baut auf dem bestehenden C5-Katalog auf und weist in dieselbe Richtung wie der geplante EU-Cloud-and-AI-Development-Act (CADA). Rechtlich bindend ist es heute nicht. Aber solche Kriterien landen meist lange vor jedem Gesetz in Beschaffungsanforderungen.
Die Kernkriterien
Vier Anforderungen tragen den Großteil:
- Abkopplungsfähigkeit (SOV-4-09-C): Die Cloud muss weiterlaufen, nachdem sie von jeder Nicht-EU-Infrastruktur getrennt wurde. Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit bleiben erhalten. Anbieter müssen das Verfahren dokumentieren und die Abkopplung einmal jährlich testen.
- EU-Personal (SOV-4-01-C1): Alle mit Systemzugriff müssen EU-Bürger mit Wohnsitz in der EU sein. Die strengere Stufe (C2, für Verteidigung und Sicherheit) verlangt deutsche Staatsbürger mit Wohnsitz in Deutschland.
- Jurisdiktion: Der Anbieter darf nicht unter Nicht-EU-Rechtsprechung operieren. Kritische Wartung muss aus der EU heraus erfolgen.
- Verteidigungsfall: Das Werk enthält Regelungen, den Betrieb im Verteidigungsfall an deutsche Bundesbehörden zu übergeben.
Warum das weiter geht als „Daten bleiben in der EU“
Ein „Sovereign Cloud“-Siegel eines US-Hyperscalers bedeutet meist eines: EU-Datenresidenz, vielleicht EU-Personal. C3A stellt die härteren Fragen.
Übersteht der Dienst die Trennung von Nicht-EU-Infrastruktur? Wer hat Zugriff (und mit welcher Staatsbürgerschaft? Welche Gerichte können den Betreiber zwingen? Das sind Fragen, die ein US-Mutterkonzern nicht so beantworten kann, wie C3A es verlangt) egal, wo die Server stehen.
Warum der Serverstandort allein nicht reicht, haben wir in Digitale Souveränität in Europa: Was wirklich zählt beschrieben.
Wo die Zero Services GmbH steht
Wir bleiben hier präzise, denn vage Behauptungen sind genau das Problem, das C3A lösen soll.
- Jurisdiktion: Wir sind eine deutsche GmbH nach deutschem Recht, ohne US-Mutterkonzern. Es gibt keine Nicht-EU-Rechtsprechung, die uns zwingen könnte.
- Eigene Infrastruktur: Wir betreiben unser eigenes Netzwerk (AS215197) und eigene Rechenzentren. Wir sitzen nicht auf einem Hyperscaler. „Betrieb nach Trennung von Nicht-EU-Infrastruktur“ ist also kein Notfall, den wir konstruieren müssten, sondern unser Normalbetrieb.
- Betrieb und Personal: Dienste sind selbst gehostet; Betrieb und die Menschen dahinter sind in der EU.
Damit stehen wir bei mehreren C3A-Kriterien strukturell auf der richtigen Seite. Jurisdiktion, Infrastruktur-Unabhängigkeit, EU-Betrieb.
Was wir nicht behaupten
Wir sind nicht „C3A-zertifiziert“. C3A ist ein Kriterienwerk, kein Siegel, das wir tragen, und es mit unserer §3-BSIG-DDoS-Qualifizierung (eine ganz andere Sache) zu vermischen, wäre unehrlich.
Manche Kriterien sind organisatorisch, nicht inhärent: dokumentierte jährliche Abkopplungstests, formale Übergaberegelungen für den Verteidigungsfall. Und vollständige technologische Unabhängigkeit gibt es für niemanden. Unsere Server laufen auf Intel- oder AMD-Prozessoren, Supermicro-Hardware, Nvidia-GPUs.
Was wir bieten, ist einfacher und überprüfbar: deutscher Vertragspartner, deutsches Recht, kein US-Mutterkonzern, eigene Infrastruktur in europäischen Rechenzentren. Für Organisationen, die Souveränität tatsächlich nachweisen müssen, beginnt dort das C3A-Gespräch.