BSI C3A trifft Microsoft 365 – Wie der neue Souveränitäts-Kriterienkatalog die Landes-Ausschreibungen im Herbst 2026 verändert

Am 27. April 2026 hat das Bundesamt für Sicherheit in der Informationstechnik den Kriterienkatalog C3A – Criteria enabling Cloud Computing Autonomy veröffentlicht. Die deutschsprachige Fassung folgt zum Ende des zweiten Quartals 2026. Zum ersten Mal existiert damit ein anerkannter Prüfstandard, mit dem sich die Cloud-Souveränität eines Anbieters entlang von sechs Dimensionen objektiv bewerten lässt. Die Veröffentlichung fällt in eine Vergabesaison, in der Nordrhein-Westfalen und Niedersachsen Microsoft-365-nahe Verfahren mit Angebotsfristen am 17. und 20. August 2026 laufen haben und der Bund den Anschluss-Volumenlizenzvertrag mit Microsoft für 2027 bis 2029 verhandelt. Aus Sicht kommunaler IT-Leitungen und Landesvergabestellen kollidieren damit zwei Kalender in einem Fenster von wenigen Wochen.

Dieser Beitrag ordnet ein, was der C3A-Katalog technisch verlangt, wie Microsoft 365 in den sechs Dimensionen abschneidet und wie Vergabestellen in Ländern und Kommunen den Katalog rechtssicher in Ausschreibungen einbauen können.

Was C3A ist – und was der Katalog zum ersten Mal messbar macht

C3A ist ein Kriterienkatalog, kein Zertifikat. Er ergänzt den bekannten Sicherheits-Katalog C5:2026 um eine zweite, orthogonale Prüfebene: die Autonomie der Cloud-Nutzung. Wo C5 die Frage beantwortet „Ist der Dienst sicher betrieben", beantwortet C3A die Frage „Kann der Kunde den Dienst selbstbestimmt nutzen, notfalls unabhängig vom Anbieter". C3A-Konformität setzt eine gültige C5-Testierung voraus.

Die Prüfung erfolgt auf zwei geografisch-rechtlichen Stufen. C1 verlangt die vollständige Zuordnung des Anbieters zur EU-Rechtsordnung. C2 fordert zusätzlich die Zuordnung zu deutscher Rechtsträgerschaft und deutscher Rechtsprechung – gedacht für Sozialdaten, Meldewesen, KRITIS und den Gesundheitsbereich, wo NIS-2-Pflichten greifen (siehe NIS-2-DSGVO-Paradox).

Die sechs Dimensionen der Cloud-Souveränität nach C3A

Der Katalog ordnet Kriterien in sechs klar getrennte Bereiche:

• SOV-1 Strategische Souveränität – Konzernsitz, effektive Kontrolle, Eigentümerstruktur des Anbieters.
• SOV-2 Rechtliche und juridische Souveränität – Zuständigkeit, extraterritoriale Zugriffsrisiken (CLOUD Act, FISA 702).
• SOV-3 Datensouveränität – physischer Speicherort, Zugriffskontrolle, Schlüsselhoheit.
• SOV-4 Operative Souveränität – Betrieb ohne Anbieter-Abhängigkeit, Service-Kontinuität.
• SOV-5 Lieferketten-Souveränität – Abhängigkeiten von Subunternehmern, Hardware, Cloud-Diensten.
• SOV-6 Technologische Souveränität – Interoperabilität, Standards, Portabilität.

Für jede Dimension existieren Basis-Kriterien (C) und erweiterte Kriterien (AC). Die AC-Kriterien beschreiben den strengeren Nachweisrahmen für hochsensitive Verfahren.

Wie Microsoft 365 in den sechs C3A-Dimensionen abschneidet

Die Bewertung ist nüchtern:

• SOV-1 – gebrochen. Microsoft Corporation ist US-Rechtsperson, effektive Kontrolle liegt in Redmond.
• SOV-2 – gebrochen. Der US CLOUD Act 18 U.S. Code §2713 greift unabhängig vom Speicherort. Microsofts eigene Rechtsberatung in Frankreich hat 2025 unter Eid bestätigt, dass eine Herausgabegarantie an europäische Kunden nicht möglich ist.
• SOV-3 – nur teilweise erfüllbar über die EU Data Boundary und Bring-your-own-Key-Lösungen.
• SOV-4 – gebrochen. Support, Telemetrie und Update-Signaturen laufen global.
• SOV-5 – gebrochen. Hardware- und Cloud-Lieferkette weitgehend US-dominiert.
• SOV-6 – teilweise, mit anhaltender Vendor-Lock-in-Kritik gerade bei Microsoft Copilot – Details im Beitrag zum Copilot-Flex-Routing.

Auch die neue Microsoft 365 Local-Variante auf Azure Local ändert an SOV-1 und SOV-2 nichts.

Was NRW und Niedersachsen mit den C3A-Kriterien in der Hand hätten

Beide Bundesländer haben in den vergangenen Wochen Microsoft-365-Verfahren laufen. Der Volumenlizenz-Anschlussvertrag des Bundes für 2027 bis 2029 ist parallel in Verhandlung. C3A ist rechtzeitig verfügbar, um in diese Nachfolgeverfahren eingebaut zu werden.

Konkret heißt das für Vergabestellen: Statt den Souveränitätsvorbehalt als weichen „Bewertungsvorteil" zu formulieren, kann C3A als Muss-Kriterium in die Leistungsbeschreibung. Anbieter, die C1- oder C2-Konformität nicht nachweisen, werden im Verfahren ausgeschlossen. Für europäische Alternativen – openDesk, Nextcloud, Element, Collabora Online – ist die C3A-Prüfung überwiegend positiv beantwortbar, wenn der Betrieb bei einem deutschen oder europäischen Cloud-Anbieter erfolgt (siehe alternativen).

Die ökonomische Struktur bleibt dabei, was wir für vergleichbare Verfahren wie das OpenDesk-Vertriebspartnerprogramm und die EuroOffice-Alternative bereits aufgeschlüsselt haben: souveränitätsfähige Stacks liegen über 36 Monate meist zwischen 40 und 55 Prozent unter der Microsoft-Vergleichsrechnung, weil Rechtsberatung, Compliance-Aufwand und Extraterritorialitäts-Risiken wegfallen.

Fazit und nächste Schritte

C3A ist kein Zertifikat und keine Pflicht – aber die einzige öffentlich verfügbare, prüfbare Metrik für Cloud-Souveränität in Deutschland. Für Länder-Vergabestellen und kommunale IT-Verantwortliche ist der Katalog ab sofort das saubere Werkzeug, um Souveränitätsanforderungen in eine rechtssichere Leistungsbeschreibung zu übersetzen. Wer die aktuellen Ausschreibungen im Herbst 2026 ohne C3A-Bezug abschließt, verschiebt die Souveränitätsfrage strukturell in den nächsten Vertragszyklus.

Für die konkrete Umsetzung empfehlen wir drei Schritte: Erstens die Live-Analyse Ihrer Microsoft-365-Datenflüsse unter /microsoft. Zweitens die kategorisierte Übersicht souveräner Anbieter unter /alternativen. Drittens ein Erstgespräch über /contact zur C3A-konformen Migrationsplanung, abgestimmt auf den Vergabezyklus Ihrer Landes- oder Kommunalverwaltung. Preisorientierung für kleine und mittlere Verwaltungen finden Sie unter /pricing.