„Compliance-Meilenstein“: SOC 2, C5 und sieben ISO-Zertifizierungen Neue EU-Sovereign-Cloud von AWS legt erste Prüfberichte vor

Anbieter zum Thema

Flexera Software GmbH

STACKIT - Schwarz Digits Cloud GmbH & Co. KG

Yorizon GmbH & Co. KG

Die AWS European Sovereign Cloud erreicht einen zentralen Schritt auf dem Weg zur „verifizierbaren“ Souveränität: Amazon Web Services stellt ab sofort einen SOC‑2‑Type‑1‑Report, eine C5‑Type‑1‑Attestierung sowie sieben ISO-Zertifizierungen bereit. Die Nachweise gelten für 69 Services innerhalb der in der EU betriebenen, physisch getrennten AWS-Cloud.

Amazon Web Services hatte im Januar 2026 die allgemeine Verfügbarkeit der AWS European Sovereign Cloud angekündigt. Das Angebot richtet sich an europäische Behörden und Unternehmen mit besonders sensiblen Datenanforderungen. Kern des Konzepts: ein unabhängiger Betrieb innerhalb der EU, EU-basierte Strukturen und strikte Vorgaben zu Datenresidenz sowie technischer Trennung von anderen AWS-Regionen.

Nach AWS-Angaben bildet die Compliance- und Assurance-Strategie eine Grundlage dafür, dass Kunden die technischen Kontrollen nachvollziehen und für eigene regulatorische Pflichten nutzen können. AWS hatte zugesagt, für die European Sovereign Cloud zentrale Standards regelmäßig durch unabhängige Prüfer validieren zu lassen. Verfügbar sind ab sofort ein SOC-2-Type-1-Report, ein C5-Type-1-Testat sowie sieben ISO-Zertifizierungen. Die Attestierungsberichte beziehen sich auf 69 AWS-Services in der European Sovereign Cloud. Die ISO-Zertifikate binden die Sovereign-Region zugleich in die globalen AWS-Managementsysteme ein.

SOC 2 Type 1: Souveränitätsziele erfüllt

Der SOC‑2‑Report soll belegen, wie AWS die Anforderungen an Sicherheits- und Souveränitätskontrollen erfüllt. AWS verweist dabei auf eine Abbildung interner Kontrollen auf das „European Sovereign Cloud: Sovereign Reference Framework“ (ESC‑SRF). Dieses definiert Kriterien u. a. für Governance-Unabhängigkeit, operativen Betrieb, Datenresidenz und technische Isolation. Unabhängige Prüfer hätten im Type‑1‑Rahmen die Angemessenheit von Design und Implementierung der Kontrollen bestätigt, darunter EU-Strukturen, EU-residentes Personal sowie strikte Residency-Anforderungen für Customer Content und kundenerzeugte Metadaten.

Wichtig zu wissen ist, dass Type 1 primär belegt, dass Kontrollen zum Stichtag konzipiert und implementiert sind, aber nicht zwingend deren Wirksamkeit über einen längeren Zeitraum (das wäre in vielen Fällen Type 2).

BSI-Standard als „Hochmaß“ für Cloud-Sicherheit in Deutschland

Mit der C5‑Type‑1‑Attestierung adressiert AWS einen der in Europa weitreichendsten Cloud-Sicherheitsstandards. C5 umfasst Basiskriterien (z. B. Organisation der Informationssicherheit, Zugriffskontrolle, Kryptografie, physische Sicherheit, Incident Management, Business Continuity und Compliance) sowie zusätzliche Kriterien für besonders schützenswerte Daten und kritische Anwendungen. AWS betont den Nutzen insbesondere für Kunden mit hohen Anforderungen an Datensicherheit und Souveränität.

Bei der C5-Zertifizierung für die AWS ESC handelt es sich ebenfalls um Type-1-Testat, d.h. attestiert wird nur die Eignung von Design und Implementierung der Kontrollen.

Sieben ISO-Zertifizierungen: Von Informationssicherheit bis Qualitätsmanagement

Parallel zu SOC 2 und C5 meldet AWS das Onboarding der Sovereign-Region in sieben ISO-Zertifizierungsrahmen. In der Summe sollen sie „Operational Excellence“ über mehrere Dimensionen belegen:

• ISO/IEC 27001:2022: Managementsystem für Informationssicherheit (ISMS),

• ISO/IEC 27017:2015: zusätzliche Cloud-Sicherheitskontrollen,

• ISO/IEC 27018:2019: Schutz personenbezogener Daten in Cloud-Umgebungen,

• ISO/IEC 27701:2019: Privacy Information Management (Erweiterung/Anbau an 27001/27002),

• ISO 22301:2019: Business Continuity Management, Resilienz und Notfallfähigkeit,

• ISO/IEC 20000‑1:2018: IT-Service-Management-Prozesse und Servicequalität,

• ISO 9001:2015: Qualitätsmanagement und kontinuierliche Verbesserung.

Damit soll die Sovereign Cloud in etablierten Systemen für Sicherheit, Datenschutz, Verfügbarkeit, Servicequalität und kontinuierliche Verbesserung verankert sein.

Cybersicherheit & Cloud-Infrastruktur

BSI begleitet AWS beim Aufbau einer souveränen EU-Cloud

Zugriff für Kunden: Berichte über AWS Artifact

SOC‑2‑ und C5‑Reports sowie ISO‑Zertifikate können Kunden über AWS Artifact abrufen: im jeweiligen AWS-European-Sovereign-Cloud-Konto in der Management Console als Self-Service-Portal für Compliance-Dokumente. Kunden können also Compliance-Kontrollen direkt beim Aufbau ihrer Umgebungen überprüfen.

AWS stellt die aktuellen Nachweise als Startpunkt einer wachsenden Zertifizierungs- und Audit-Pipeline dar: Compliance sei kein Endzustand, sondern ein kontinuierlicher Prozess – weitere Prüfungen und Nachweise sollen folgen, um künftige regulatorische und kundenseitige Anforderungen abzudecken.

(ID:50789044)