C5, SecNumCloud, ENS und HDS, Anbieter für Anbieter

Frankreich, Deutschland und Spanien haben jeweils einen eigenen Sicherheitsstandard für Cloud-Dienste, und öffentliche Auftraggeber dort verlangen oft einen davon. Für zwei davon veröffentlicht die zuständige Behörde ein Register, und wir lesen es. Für die anderen beiden gibt es kein Register, das wir lesen können; festhalten lässt sich nur, was der Anbieter selbst angibt. Beide Arten von Beleg werden unten nie vermischt.

„—“ bedeutet: Die von uns gelesenen Seiten des Anbieters nennen keinen solchen Nachweis, und bei SecNumCloud und ENS enthält das Register keinen Eintrag unter den gesuchten Namen (Marke und erfasste Gesellschaften des Anbieters; jede Anbieterseite listet sie auf). Anbieter ohne jeden Eintrag fehlen in der Tabelle.

C5 (Deutschland)

Der C5 ist der Kriterienkatalog Cloud Computing des BSI. Ein unabhängiger Prüfer prüft den Cloud-Anbieter danach, das Ergebnis ist ein Testat, kein Zertifikat. Das BSI beaufsichtigt diese Prüfungen nicht und schreibt in seinen FAQ, dass es keine Liste von C5-Testaten führt. Beim C5 bleibt als Beleg also nur die Aussage des Anbieters und der Prüfbericht selbst, den weiterzugeben meist im Interesse des Anbieters liegt. 20 Anbieter im Register nennen ein C5-Testat: AWS European Sovereign Cloud, Adobe, Atlassian, Box, Cloudflare, CrowdStrike, Databricks, DeepL, Figma, Google Workspace, IONOS Cloud, Microsoft, Notion, OVHcloud, Okta, Oracle Cloud, STACKIT, Slack, T Cloud Public und Zoom.

Jede Angabe, mit Testat-Typ und Katalogversion, soweit der Anbieter sie nennt, und der Seite, auf der wir sie gelesen haben, steht auf der Seite zu BSI C5 (auf Englisch).

SecNumCloud (Frankreich)

SecNumCloud ist die Qualifizierung, die die ANSSI, Frankreichs nationale Behörde für Cybersicherheit, Cloud-Diensten erteilt. Die aktuelle Version 3.2 enthält zusätzliche Anforderungen, die den Dienst dem Zugriff außereuropäischen Rechts entziehen sollen, darunter Grenzen dafür, welchen Anteil am Anbieter Gesellschaften außerhalb der EU halten dürfen. Die ANSSI veröffentlicht die qualifizierten Dienste in ihrem Katalog, mit Entscheidungsnummer und Daten.

S3NS ist eine Thales-Tochter, die Google-Cloud-Technologie betreibt; ihre Qualifizierung gilt für ihren eigenen Dienst, nicht für Google Cloud.

ENS (Spanien)

Das Esquema Nacional de Seguridad (Königliches Dekret 311/2022) gilt für den öffentlichen Sektor Spaniens und für die Anbieter, deren Systeme ihm dienen. Eine akkreditierte Stelle zertifiziert jedes System in einer von drei Kategorien, BÁSICA, MEDIA oder ALTA, und das CCN (Centro Criptológico Nacional) veröffentlicht jedes Konformitätszertifikat in seinem Register. Ein Zertifikat gilt für die darin genannten Informationssysteme, nicht für das ganze Unternehmen; jede Zeile unten ist ein Zertifikat mit seinem Geltungsbereich, im veröffentlichten Wortlaut.

• Im Register, aber auf den gelesenen Seiten des Anbieters nicht erwähnt: Cisco Webex, Google Cloud, Google Workspace, SAP, Salesforce und T Cloud Public. Unsere Auswertung ihrer Compliance-Seiten ergab keine ENS-Angabe; das Zertifikat steht trotzdem im Register.
• Angegeben, aber kein Zertifikat unter den gesuchten Namen: CrowdStrike und OneTrust. Ein Zertifikat kann auf eine Konzerngesellschaft mit anderem Namen ausgestellt sein; die Anbieterseite nennt die gesuchten Namen.
• Das Zertifikat von Slack ist auf die Muttergesellschaft Salesforce, Inc. ausgestellt und nennt die Slack-Dienste.

HDS (Frankreich, Gesundheitsdaten)

In Frankreich braucht ein Anbieter, der personenbezogene Gesundheitsdaten im Auftrag Dritter hostet, etwa für Krankenhäuser oder Praxen, eine HDS-Zertifizierung (Hébergeur de Données de Santé). Die französische Agentur für digitale Gesundheit veröffentlicht die Liste der zertifizierten Hoster, doch ihre Website beantwortet automatisierte Abrufe mit einem CAPTCHA, und solche lösen wir nicht; wir können sie also nicht prüfen. 16 Anbieter nennen HDS auf ihren eigenen Seiten: 3DS Outscale, Amazon Web Services, Bleu, Box, ElevenLabs, Microsoft, MongoDB, OVHcloud, Oracle Cloud, S3NS, Salesforce, Scaleway, Snowflake, Zendesk, Zoho und Zoom. Prüfen Sie die amtliche Liste, bevor Sie sich darauf verlassen.

Läuft in den nächsten vier Monaten ab

Ein Registereintrag hat ein Enddatum; um die Verlängerung kümmert sich der Anbieter. Diese laufen zuerst ab:

Wie gelesen wurde

Der Katalog der ANSSI und das Register des CCN werden so gelesen, wie ihre Herausgeber sie veröffentlichen, ohne KI-Modell dazwischen, und jede Woche neu abgerufen. Die Zuordnung eines Eintrags zu einem Anbieter erfolgt über Marke, erfasste Gesellschaften und Website und wird vor der Veröffentlichung von einer Person geprüft; das Zertifikat einer Konzerngesellschaft für einen anderen Dienst wird dem Anbieter nicht zugeordnet. Angaben stammen von den Trust- und Compliance-Seiten des Anbieters, wie auf jeder Anbieterseite. Letzter Abruf: 2026-11-09. Die vollständige Methode steht auf der Methodenseite (auf Englisch).