Wombat Wombat

BSI C3A

C3A ist der unverbindliche Kriterienkatalog des BSI für digitale Souveränität bei Cloud-Diensten. Er ist in sechs Souveränitätskategorien gegliedert: strategisch, rechtlich und jurisdiktional, Daten, Betrieb, Lieferkette und Technologie.

Scorecard starten → Souveränitäts-Hub öffnen Offizielle C3A-Veröffentlichung (BSI) ↗ Alle Compliance-Hubs
  • BSI C3A:2026 · Criteria enabling Cloud Computing Autonomy · veröffentlicht am 27. April 2026
  • 3 verwandte Frameworks
  • 4 Wombat-Säulen
  • Zuletzt geprüft 31.10.2026

Warum das jetzt zählt.

C3A wurde am 27. April 2026 vom BSI veröffentlicht. Der Katalog schafft Transparenz für digital souveräne Cloud-Nutzung, basiert auf dem EU Cloud Sovereignty Framework (EU CSF) und setzt die Einhaltung von C5 voraus. Das Dashboard ordnet derzeit WAF-SOV-010 (Datenresidenz & Geolokation) und WAF-SOV-020 (Verschlüsselungs-Schlüsselverwaltung) den C3A-Daten- und Jurisdiktionsdimensionen zu; nutze das als Ausgangspunkt und prüfe die exakten Kriterien im offiziellen Katalog.

Was die Regulierung verlangt.

Eine praktische Lesart der Pflichten, die typischerweise in Architektur-, Betriebs- und Evidenzprüfungen landen.

Pflicht

Strategische Souveränität (SOV-1)

Strategie, Governance und Entscheidungsprozesse des Providers müssen souveräne Cloud-Nutzung unterstützen und für Kunden transparent sein.

Pflicht

Rechtliche und jurisdiktionale Souveränität (SOV-2)

Jurisdiktion, Eigentum, rechtliche Exposition und die Fähigkeit, extraterritorialen Zugriffsersuchen zu widerstehen, müssen bewertbar sein.

Pflicht

Datensouveränität (SOV-3)

Datenklassifizierung, Residenz, Verarbeitungsorte, Verschlüsselung und Schlüsselverwaltung bestimmen, wer unter welchem Recht auf die Daten zugreifen kann.

Pflicht

Betriebliche, Lieferketten- und Technologiesouveränität (SOV-4–SOV-6)

Betriebliche Unabhängigkeit, Lieferantenabhängigkeiten, SBOM-/Hardware-Transparenz, Source-Code-Escrow und Exit-Fähigkeit gehören zum Souveränitätsbild.

Wo Wombat hilft.

Jede Pflicht ist einer oder mehreren Säulen zugeordnet. Die Säulen-Seiten zeigen die Controls, Prinzipien und Evidenzerwartungen hinter dem Score.

WAF-SOV

Souverän

Die primäre Zuordnung: WAF-SOV-010 und WAF-SOV-020 sind für die Daten-, Jurisdiktions- und Technologiesouveränität relevant.

Mehr zur Säule Souverän →
WAF-SEC

Sicherheit

Verschlüsselung, Schlüsselverwahrung und Zugriffsgrenzen sind der technische Kern der Daten- und Technologiekategorien.

Mehr zur Säule Sicherheit →
WAF-REL

Zuverlässigkeit

Ein Jurisdiktionswechsel oder Provider-Exit ist nur glaubwürdig, wenn der Workload wiederhergestellt und verschoben werden kann.

Mehr zur Säule Zuverlässigkeit →

Zu prüfende Control-Themen.

Das sind die Control-Themen, für die Teams üblicherweise Evidenz benötigen. Der Control-Katalog ist die maßgebliche Quelle für die exakte Zuordnung.

Strategische Souveränität Rechtliche und jurisdiktionale Souveränität Datensouveränität und Residenz Betriebliche Souveränität Lieferketten-Souveränität Technologie-Souveränität Verschlüsselung und Schlüsselverwaltung Evidenz und Auditierbarkeit
SCHRITT 1

Bestätige den C3A-Scope und die sechs Souveränitätskategorien in der offiziellen BSI-Veröffentlichung.

SCHRITT 2

Prüfe die aktuelle WAF-SOV-010/020-Zuordnung im Dashboard als Ausgangspunkt und verifiziere die exakten C3A-Kriterien.

SCHRITT 3

Bewerte die Sovereign-Säule und sammle Residenz-, Jurisdiktions- und Schlüssel-Evidenz.

SCHRITT 4

Exportiere die Evidenz für Provider-, Beschaffungs- oder Audit-Gespräche.

Verwandte Frameworks und Evidenz.

Wombat-Controls tragen Tags für die untenstehenden Frameworks. So lässt sich die technische Baseline mit der Evidenz verbinden, die Auditor oder Beschaffung bereits erwarten.

BSI C5 EU Cloud Sovereignty Framework (EU CSF) ISO 27001:2022

Die C3A-Souveränitätsaussage belegbar machen

Bewerte die Sovereign-Baseline und verbinde die offiziellen C3A-Kategorien mit den Controls und der Evidenz, die du tatsächlich liefern kannst.

Scorecard starten → Souveränitäts-Hub öffnen

Wombat ist ein technisches Framework, keine Rechtsberatung. Diese Seiten ordnen relevante Wombat-Säulen und Control-Themen regulatorischen Pflichten zu; sie sind keine Rechtsberatung. Prüfe die Zuordnung gegen den offiziellen Text und mit deinem Auditor.

Verwandte Compliance-Hubs.

Dieselbe Control-Baseline muss meist mehr als eine Pflicht erfüllen. Wechsle zum angrenzenden Hub und nutze die Evidenz weiter.

EU-Cybersicherheitsrichtlinie

NIS2

NIS2 hebt die Baseline für Cybersicherheits-Risikomanagement, Incident-Meldung und Lieferkettenverantwortung für wesentliche und wichtige Einrichtungen in der EU.

Zum NIS2-Hub →
EU-Digital Operational Resilience

DORA

DORA bündelt ICT-Risikomanagement, Incident-Meldung, Resilienztests und Dienstleisteraufsicht in einem Regime für die operationelle Resilienz von Finanzunternehmen und ihren kritischen Dienstleistern.

Zum DORA-Hub →
Deutscher Cloud-Compliance-Katalog

BSI C5

Der BSI Cloud Computing Compliance Criteria Catalogue (C5) ist der deutsche Benchmark für Cloud-Sicherheit, Transparenz und Auditierbarkeit — und eine häufige Beschaffungsanforderung für Cloud-Provider und ihre Kunden.

Zum BSI C5-Hub →
Kontrolle, nicht nur Standort

Souveränität

Residenz, Jurisdiktion, Schlüsselverwahrung, Lieferantenkonzentration und Exit-Pfade — als bewertbare Controls.

Zum Souveränitäts-Hub →