BSI C3A und C5:2026: Wie Sie souveräne KI ab sofort messbar prüfen

Jeder Anbieter nennt sein Angebot inzwischen „souverän". Die Bandbreite dahinter reicht von einem Rechenzentrum in Frankfurt mit unverändertem Konzernzugriff bis zu einem vollständig getrennten Betrieb durch deutsches Personal. Bis 2026 hatte ein Einkäufer keine belastbare Möglichkeit, diese Angebote gegeneinanderzustellen – es fehlte schlicht ein gemeinsames Vokabular.

Das hat sich innerhalb von drei Wochen geändert. Am 7. April 2026 hat das BSI den Kriterienkatalog C5:2026 veröffentlicht, die dritte Ausgabe nach C5:2016 und C5:2020 und damit die erste große Überarbeitung seit sechs Jahren. Am 27. April 2026 folgte C3A – „Criteria enabling Cloud Computing Autonomy", ein eigener Katalog, der auf C5 aufsetzt und ausschließlich Souveränitätsfragen behandelt. Dieser Beitrag ordnet beide ein und übersetzt sie in eine Bieterabfrage, die Sie am Montag verschicken können.

Warum Souveränitätsaussagen bisher nicht vergleichbar waren

Das Kernproblem war nie böser Wille, sondern fehlende Prüfbarkeit. „Souveränität" war bis 2026 kein definierter Begriff mit zugeordneten Nachweisen, sondern eine Eigenschaftsbehauptung ohne Messvorschrift. Genau das nennt das BSI als Motivation für C3A: Souveränitätseigenschaften waren bislang nicht objektiv prüfbar und damit auch nicht vergleichbar.

Drei Effekte kannten Beschaffungsverantwortliche daraus:

• Datenlokalisierung wurde mit Datensouveränität verwechselt. Der Standort der Festplatte sagt nichts darüber aus, wer die Schlüssel hält, wer administrativen Zugriff hat und welchem Rechtsraum die Muttergesellschaft unterliegt.
• Konzernbezug, Fernwartung und Telemetrie blieben ungeprüft. Fragen nach Support-Zugängen aus Drittstaaten, Diagnosedatenabflüssen oder der Herkunft des Betriebspersonals tauchten in Ausschreibungen praktisch nie auf – weil niemand ein Raster hatte, das sie vorsah.
• Angebote waren formal unvergleichbar. Wenn Anbieter A „EU-Datenhaltung" und Anbieter B „souveräner Betrieb" zusichert, lässt sich daraus keine Wertungsmatrix bauen. Vergabestellen wichen deshalb auf Zertifikate aus, die Sicherheit messen, nicht Autonomie.

C5 hat den ersten Teil dieses Problems seit 2016 gelöst: Informationssicherheit in der Cloud ist auditierbar. Souveränität war der blinde Fleck daneben. C3A schließt ihn – nicht durch ein neues Label, sondern durch abhakbare Anforderungen.

C5:2026 – was die neue Ausgabe konkret bringt

C5:2026 ist keine Kosmetik. Der Katalog umfasst 168 Kriterien in weiterhin 17 Themenbereichen, davon 129 überarbeitete und 39 vollständig neue. Er ist eng am europäischen Zertifizierungsschema EUCS ausgerichtet und berücksichtigt die aktuellen Fassungen der CSA Cloud Controls Matrix Version 4, der ISO/IEC 27001:2022 sowie die NIS2-Richtlinie – wer diese Rahmenwerke bereits bedient, findet in C5:2026 überwiegend bekannte Kontrollen wieder.

Neue und verschärfte Themen

Erstmals explizit adressiert werden Post-Quanten-Kryptografie, Confidential Computing und Container-Management. Verschärft wurden vor allem Supply-Chain-Management und Mandantentrennung – die beiden Bereiche, in denen die letzten Jahre die meisten realen Vorfälle produziert haben. Neu ist außerdem die Unterscheidung der Zusatzkriterien in „additional complement" (ergänzend) und „additional sharpen" (verschärfend), was die Auswahl passender Zusatzanforderungen deutlich erleichtert.

Praktisch relevant ist eine unscheinbare Formatentscheidung: C5:2026 wird erstmals maschinenlesbar bereitgestellt, neben dem PDF auch als Excel- und YAML-Fassung unter CC-BY-ND-4.0-Lizenz. Wer GRC-Tooling betreibt, kann den Katalog importieren, statt ihn abzutippen. Der Katalog erschien zuerst auf Englisch, die deutsche Fassung folgte später; vorausgegangen war ein öffentlicher Community Draft.

Die Fristen, die Sie kennen müssen

Datum	Was passiert	Ihre Aufgabe
7. April 2026	C5:2026 veröffentlicht (168 Kriterien, 17 Themenbereiche), Anwendung ab sofort zulässig	Katalog beziehen, Delta zu C5:2020 sichten
27. April 2026	C3A veröffentlicht (zunächst englisches PDF, deutsche Fassung für Ende Q2 2026 angekündigt)	Domänen in die Bieterabfrage übernehmen
28. Februar 2027	Endet ein Betrachtungszeitraum am oder nach diesem Tag, müssen Anbieter über geplante Änderungen zur Umstellung auf C5:2026 informieren	Umstellungsplan aktiv einfordern
1. Juni 2027	C5:2026 verbindlich für Typ-1-Prüfungen mit Stichtag ab und Typ-2-Prüfungen mit Betrachtungszeitraum ab diesem Datum	Testate der Anbieter auf Katalogversion prüfen

Die sechs Souveränitätsdomänen von C3A im Einzelnen

C3A übernimmt Struktur und Zielsystematik des EU Cloud Sovereignty Framework (EU CSF) mit seinen Dimensionen SOV-1 bis SOV-8 – klammert aber bewusst zwei davon aus. SOV-7 (Security & Compliance Sovereignty) entfällt, weil dieser Bereich bereits vollständig durch C5 abgedeckt ist. SOV-8 (Environmental Sustainability) entfällt, weil Nachhaltigkeit außerhalb des BSI-Mandats liegt. Übrig bleiben genau sechs Domänen. Auch Portabilität und Interoperabilität werden nicht dupliziert, weil C5:2026 sie bereits behandelt.

Wichtig für die Erwartungshaltung: C3A kennt keine formalen Souveränitäts-Level oder Reifegrade. Es unterscheidet – genau wie C5 – zwischen Basiskriterien und Zusatzkriterien. Kunden wählen die für ihren Anwendungsfall relevanten Kriterien aus und definieren damit ihr eigenes Souveränitätsniveau. „Gestuft" ist der Katalog nur im Sinne wählbarer Ausprägungen: Rechenzentrumsstandort Deutschland, EU oder Drittstaat; Herkunft und Standort des Betriebspersonals; Grad der operativen Unabhängigkeit vom Anbieter.

Domäne	Kernfrage an den Anbieter	On-Premise-Befund
SOV-1 Strategisch	Wem gehört das Unternehmen, wer kontrolliert Roadmap und Preisgestaltung?	entfällt strukturell
SOV-2 Juristisch	Welchem Recht unterliegen Anbieter und Konzernmutter, welcher Gerichtsstand gilt?	nur deutsches Recht
SOV-3 Daten	Wo liegen Daten, wer hält die Schlüssel, welche Telemetrie fließt ab?	Schlüsselhoheit inhärent
SOV-4 Operativ	Wer administriert, aus welchem Land, über welche Fernzugriffswege?	eigenes Personal
SOV-5 Lieferkette	Welche Unterauftragnehmer, Hardware- und Modellquellen stecken im Dienst?	bleibt zu belegen
SOV-6 Technologisch	Wie proprietär ist der Stack, wie realistisch ist ein Wechsel?	abhängig vom Stack

Das Verhältnis der beiden Kataloge beschreibt das BSI ausdrücklich als aufeinander aufbauende Ebenen, nicht als konkurrierende Rahmenwerke: C3A setzt die Erfüllung der C5-Kriterien voraus. C5 ist die Sicherheitsebene und damit die Eintrittskarte, C3A die Souveränitätsschicht darüber. Ein Anbieter, der über SOV-Domänen sprechen will, ohne ein aktuelles C5-Testat vorzulegen, hat die Reihenfolge nicht verstanden.

Cyber Dominance: wo Hyperscaler-Modelle strukturell an Grenzen stoßen

Der begrifflich interessanteste Beitrag von C3A ist die explizite Benennung von Cyber Dominance: der Fähigkeit von Herstellern, aufgrund ihrer Marktstellung dauerhaft Zugriff auf Kundensysteme und -daten zu behalten. Das BSI ordnet dies als dritte Bedrohungsdimension ein, neben Cybercrime (finanziell motiviert) und Cyberkonflikt (staatlich gesteuert).

Entscheidend für die korrekte Verwendung des Begriffs: Cyber Dominance ist eine Bedrohungskategorie und die Motivation des Katalogs – kein einzelnes Prüfkriterium. Man kann es weder abhaken noch daran „durchfallen". Hinzu kommt, dass zum Redaktionsstand noch keine C3A-Prüfleitlinie existierte; die Auditierung soll später analog zu den etablierten C5-Prüfprozessen erfolgen. Es gibt daher bislang keine C3A-Testate und folglich auch keinen belegbaren Nachweis, dass ein bestimmter Anbieter „gescheitert" wäre. Wer das behauptet, verkauft Ihnen eine Meinung als Prüfergebnis.

Belastbar ist etwas anderes: Die Domänen zu operativer Souveränität, Datensouveränität und Lieferkette adressieren genau die Kontrolle, die bei einem konzernverbundenen Anbieter naturgemäß beim Anbieter verbleibt. Konkret prüfbar sind unter anderem:

• Fernwartungs- und Support-Zugänge. Welche technischen Wege existieren, über die Anbieterpersonal auf produktive Systeme zugreifen kann? Sind sie kundenseitig auslösbar, protokolliert und abschaltbar – oder dauerhaft offen?
• Telemetrie- und Diagnosedatenabfluss. Welche Betriebsdaten verlassen die Umgebung, in welcher Granularität, an welchen Empfänger? Bei KI-Diensten ist das besonders heikel: Prompt-Metadaten sind selten anonym, und Techniken wie Differential Privacy werden zwar gern genannt, aber selten nachweisbar parametrisiert.
• Einseitige Änderbarkeit und Abschaltbarkeit. Kann der Anbieter Modellversionen, Preise oder Nutzungsbedingungen einseitig ändern? Was passiert bei Sanktionen, Exportkontrollen oder einer Konzernentscheidung gegen Ihren Markt?
• Schlüsselhoheit. Wer erzeugt, speichert und rotiert die Schlüssel? „Kundenverwaltete Schlüssel" im Schlüsseldienst des Anbieters sind etwas anderes als Schlüssel in einem HSM, auf das der Anbieter keinen Pfad hat.

Selbstcheck: welche Kriterien On-Premise strukturell erfüllt

Eine Einschränkung vorweg, die in Marketingtexten gern fehlt: C3A ist ein Katalog für Cloud-Dienste, nicht für On-Premise-Installationen. Er lässt sich für eigene Systeme nur orientierend als Selbstcheck nutzen. Und noch wichtiger: On-Premise erfüllt nicht automatisch C5. Die Sicherheitsebene – Mandantentrennung, Kryptografie, Protokollierung, Notfallmanagement – müssen Sie weiterhin selbst nachweisen. Wer eigene Hardware betreibt, hat Souveränität gewonnen, nicht Sicherheit geschenkt bekommen.

Innerhalb dieser Grenzen fallen aber ganze Fragenblöcke ohne Zusatzaufwand positiv aus – nämlich überall dort, wo es um Standort, Personal und Abhängigkeit geht:

Kein Betreiberzugriff, weil es keinen externen Betreiber gibt

Die gesamte SOV-4-Fragenfamilie – Herkunft und Standort des Betriebspersonals, Fernzugriffswege, Rollentrennung zwischen Kunde und Anbieter – beantwortet sich bei On-Premise-Betrieb von selbst. Es gibt keine Support-Backdoor, weil es keinen Support-Zugang von außen gibt. Was bleibt, ist die interne Rechtevergabe, und die ist ein klassisches ISMS-Thema.

Schlüsselhoheit als Grundzustand statt als Zusatzprodukt

In der Cloud ist „Hold Your Own Key" ein kostenpflichtiges Upgrade mit Restfragen. Im eigenen Rechenzentrum ist Schlüsselhoheit der Ausgangszustand: Das HSM steht im eigenen Serverraum, es existiert kein technischer Pfad für Dritte. Das deckt große Teile von SOV-3 ab, inklusive der Frage nach Telemetrie – ein LLM, das keine Internetverbindung hat, sendet keine Diagnosedaten.

Exit bedeutet Modellwechsel, nicht Datenmigration

SOV-6 fragt danach, wie realistisch ein Anbieterwechsel ist. Bei einem selbst gehosteten Open-Source- beziehungsweise Open-Weight-Modell reduziert sich der Exit auf den Austausch der Gewichte im bestehenden Inferenz-Stack; Vektorindizes, Dokumente und Zugriffsrechte bleiben unberührt. Das ist ein Wochenendprojekt, kein Migrationsprogramm. Voraussetzung ist allerdings, dass Sie nicht auf proprietäre Orchestrierungsschichten setzen – Lock-in kann man sich auch im eigenen Rechenzentrum einkaufen.

Was auch On-Premise offen bleibt

Ehrlich bleiben lohnt sich hier, weil genau diese Punkte im Audit auffallen: SOV-5 (Lieferkette) ist bei eigener Hardware nicht automatisch erfüllt. GPU-Herkunft, Firmware-Update-Kanäle, Container-Basisimages und die Provenienz der Modellgewichte sind zu dokumentieren – eine Model Card je produktivem Modell und eine SBOM je Deployment sind hier das Minimum. Und SOV-1 verlangt auch von Ihnen eine Aussage darüber, wie abhängig Ihr Betrieb von einzelnen Dienstleistern ist. Wer sein On-Premise-System vollständig fremd betreiben lässt, hat den externen Betreiber nur umbenannt.

C3A in die eigene Ausschreibung übersetzen

C3A ist ausdrücklich für die Cloud-Beschaffung gedacht, und genau dort liegt der unmittelbare Nutzen für den Mittelstand – auch ohne eigenes Testat. Der Katalog lässt sich an drei Stellen verankern:

1. Eignungskriterien (Bietereignung): Vorlage eines gültigen C5-Testats mit Angabe von Katalogversion und Betrachtungszeitraum. Das ist die Eintrittshürde und filtert zuverlässig.
2. Zuschlagskriterien (qualitative Wertung): Je Souveränitätsdomäne eine gewichtete Bewertung. Hier gehören die Punkte hin, die Sie sich wünschen, aber nicht erzwingen wollen.
3. Leistungsbeschreibung: Die harten, nicht verhandelbaren Anforderungen – Rechenzentrumsstandort, Herkunft und Standort des Betriebspersonals, operative Unabhängigkeit vom Anbieter.

Für die Bieterabfrage selbst hat sich ein einfaches Muster bewährt: je Domäne eine Frage, ein gefordertes Nachweisdokument und ein Ausschlusskriterium. Also nicht „Bitte beschreiben Sie Ihre Datensouveränität", sondern: „Benennen Sie alle Standorte, an denen Daten verarbeitet oder repliziert werden, und legen Sie die Schlüsselverwaltungsarchitektur inklusive der Frage vor, ob Anbieterpersonal technisch auf Schlüsselmaterial zugreifen kann. Nachweis: Architekturdokument und Auszug aus dem C5-Testat, Themenbereich Kryptografie."

Für KI-Beschaffung kommt eine Ebene hinzu, die C3A nicht explizit abdeckt: die Modellherkunft. Ergänzen Sie die SOV-5-Fragen um Trainingsdatenherkunft, Lizenzbedingungen der Gewichte und Änderungsanzeigen bei Modellversionen. Das ist ohnehin sinnvoll, weil sich Dokumentationspflichten aus dem EU AI Act und die C3A-Lieferkettenfragen weitgehend überlappen – zwei Nachweise, ein Dokumentensatz.

Unser KI-Schnellcheck nutzt genau dieses Raster als Ausgangspunkt: sechs Domänen, je Domäne eine Nachweisfrage, am Ende eine Matrix, die Angebote und Bestandsverträge vergleichbar macht – unabhängig davon, ob am Ende ein souveräner Cloud-Dienst oder ein eigener Stack steht.

Quellen & Primärbelege

Alle Zahlen, Fristen und Produktangaben in diesem Beitrag wurden vor der Veröffentlichung gegen die folgenden Primärquellen geprüft.

1. BSI – Pressemitteilung vom 7. April 2026 Veröffentlichung C5:2026
2. BSI – Pressemitteilung vom 27. April 2026 Veröffentlichung C3A
3. BSI – Themenseite C3A Souveränitätsdomänen, Cyber Dominance, Verhältnis zu C5
4. BSI – Download C5:2026 Kriterienzahl, Formate, Lizenz
5. datenschutz notizen (DSN Group) Übergangsfristen, 28.-Februar-2027-Informationspflicht
6. heise – Hintergrund zu C5:2026 neue und überarbeitete Kriterien, EUCS-Ausrichtung
7. Vergabeblog Verankerung in Eignung, Zuschlag und Leistungsbeschreibung
8. KPMG Deutschland Einordnung C3A, Basis- und Zusatzkriterien
9. CloudComputing-Insider Abgrenzung SOV-7 und SOV-8
10. Borns IT- und Windows-Blog Erstveröffentlichung als englischsprachiges PDF

Häufig gestellte Fragen zu C3A und C5:2026

Ist C3A eine Zertifizierung?

C3A ist ein Kriterienkatalog, kein eigenes Zertifikat. Er setzt die Erfüllung von C5 voraus und ergänzt Souveränitätsanforderungen darüber. Eine eigene Prüfleitlinie für C3A gab es zum Redaktionsstand noch nicht; die Auditierung soll später analog zu den etablierten C5-Prüfprozessen erfolgen.

Ab wann gilt C5:2026 verbindlich?

Für Typ-1-Prüfungen mit Stichtag ab dem 1. Juni 2027 und für Typ-2-Prüfungen, deren Betrachtungszeitraum ab dem 1. Juni 2027 beginnt. Der Katalog ist seit April 2026 verfügbar und darf früher angewendet werden. Ein Mischen von Kriterien aus C5:2020 und C5:2026 innerhalb einer Prüfung ist nicht vorgesehen.

Brauchen wir C3A als Mittelständler überhaupt?

Als Anbieter meist nicht, als Einkäufer sehr wohl: C3A ist die derzeit beste verfügbare Prüfmatrix, um Cloud- und KI-Angebote jenseits von Marketing zu vergleichen. Sie können die Domänen als Fragenkatalog in Ihre Ausschreibung übernehmen, ohne selbst ein Testat anzustreben.

Erfüllt eine EU-Region eines US-Anbieters die Deutschland-Ausprägung?

In der Regel nicht. Die Domänen zu operativer Souveränität, Datensouveränität und Lieferkette zielen genau auf die Kontrolle, die bei Konzernbezug beim Anbieter verbleibt: Herkunft und Standort des Betriebspersonals, Schlüsselhoheit, Fernzugriffswege und die Frage, wer den Dienst einseitig ändern oder beenden kann.