Souveräne Cloud: Kliniken müssen Abhängigkeiten ihrer Anbieter prüfen
BSI-Kriterienkatalog C3A konkretisiert Anforderungen an Datenhoheit, EU-Recht, Betrieb, Technologie und Lieferketten
Mit zunehmender Cloud-Nutzung wird für Krankenhäuser die Frage wichtiger, wie unabhängig ihre IT-Infrastruktur tatsächlich betrieben werden kann. Ein aktueller Beitrag von kma-online greift dazu den Kriterienkatalog „C3A – Criteria enabling Cloud Computing Autonomy“ des Bundesamtes für Sicherheit in der Informationstechnik (BSI) auf. Er liefert konkrete Kriterien, anhand derer sich die Souveränität von Cloud-Angeboten beurteilen lässt.
Der im April 2026 veröffentlichte C3A-Katalog betrachtet digitale Souveränität umfassender als den Standort eines Rechenzentrums. Zu den Kriterien gehören strategische sowie rechtliche Souveränität, Datenhoheit, operative Souveränität, Lieferketten und technologische Souveränität.
Für Kliniken bedeutet dies, bei der Auswahl von Cloud-Anbietern unter anderem zu prüfen, wo Daten gespeichert und verarbeitet werden, wer Zugriff auf die Infrastruktur hat und welchen rechtlichen Rahmenbedingungen der Anbieter unterliegt.
Auch Abhängigkeiten innerhalb der Lieferkette werden relevant. Nach den C3A-Kriterien sollen Anbieter beispielsweise die eingesetzten Hard- und Softwarekomponenten sowie deren Herkunft offenlegen. Für die technologische Souveränität sieht der Kriterienkatalog zudem Anforderungen vor, die einen Weiterbetrieb ohne externe Abhängigkeiten ermöglichen sollen.
Der kma-online Beitrag macht zugleich deutlich, dass Souveränität nicht mit vollständiger technologischer Autarkie gleichzusetzen ist. Auch europäische Cloud-Angebote können auf Technologien, Hardware oder Komponenten internationaler Anbieter angewiesen sein. Für Krankenhäuser wird damit entscheidend, solche Abhängigkeiten bei der Cloud-Strategie transparent zu bewerten.
