C5, EUCS und SecNumCloud
Kurz gesagtEin Testat prüft den Betrieb, nicht die Jurisdiktion. Zwei verschiedene Fragen.
In jeder Ausschreibung tauchen dieselben Kürzel auf. Sie messen nicht dasselbe, und keines davon beantwortet die Frage, um die es auf dieser Seite geht.
C5 (Deutschland)
Der Kriterienkatalog des BSI, geprüft von einem Wirtschaftsprüfer nach ISAE 3000. Er verlangt unter anderem Angaben zum Gerichtsstand, zum Ort der Datenverarbeitung und zu Ermittlungsanfragen ausländischer Behörden — die sogenannten Umfeldparameter.
Wichtig: C5 verlangt, dass der Anbieter diese Angaben offenlegt, nicht dass sie günstig ausfallen. Ein US-Anbieter kann ein makelloses C5-Testat haben und trotzdem dem CLOUD Act unterliegen. Das Testat sagt es Ihnen sogar — man muss den Abschnitt nur lesen. Siehe US CLOUD Act.
EUCS (Europäische Union)
Das geplante europaweite Zertifizierungsschema für Cloud-Dienste. Es liegt seit Jahren fest, und zwar an genau der Frage, die hier zählt: Soll die höchste Stufe verlangen, dass der Anbieter dem Zugriff eines Drittstaats rechtlich entzogen ist? Frankreich und mehrere andere Staaten sagen ja, andere nein. Solange das offen ist, gibt es kein EUCS.
Dieser Streit ist die Souveränitätsdebatte in Reinform, ausgetragen an einem Anhang.
SecNumCloud (Frankreich)
Das französische Schema der ANSSI beantwortet die Frage bereits — und zwar mit ja. Es verlangt, dass der Anbieter nicht der Kontrolle eines Nicht-EU-Rechtsraums unterliegt, und begrenzt außereuropäische Kapitalbeteiligungen. Deshalb ist es das strengste Siegel im Feld und deshalb tragen es fast nur französische Anbieter.
Wie Sie damit umgehen
Fordern Sie das Testat an, nicht das Logo. Lesen Sie darin die Umfeldparameter und die Liste der Unterauftragsverarbeiter. Diese beiden Abschnitte enthalten mehr Information über Ihre tatsächliche Abhängigkeit als der Rest des Dokuments zusammen. Siehe Datenresidenz und Datensouveränität.