Digitale Souveränität & Cloud-Compliance 2026: BSI-Vorgaben für Bundes-, Landes- und KRITIS-Zulieferer

Im Februar 2026 haben das BSI und Schwarz Digits (die IT-Sparte der Schwarz Gruppe, u. a. mit STACKIT) im Rahmen der Münchner Sicherheitskonferenz eine strategische Partnerschaft vereinbart (BSI-Pressemitteilung vom 13.02.2026). Erklärtes Ziel ist die gemeinsame Entwicklung souveräner Cloud-Lösungen, die auch in der Bundes- und Landesverwaltung einsetzbar sein sollen.

Für IT-Dienstleister, SaaS-Anbieter und KRITIS-Zulieferer stellt sich damit eine konkrete Frage: Welche nachweisbaren Anforderungen müssen eine Cloud-Architektur und die darauf betriebene Software erfüllen, damit sie in öffentlichen Ausschreibungen und in NIS-2-regulierten Lieferketten bestehen?

1. Was „digitale Souveränität“ technisch prüfbar macht

Souveränität ist kein Marketing-Label. In Audits und Vergaben läuft sie auf drei überprüfbare Ebenen hinaus:

Gerade die dritte Ebene wird häufig unterschätzt. Ein Rahmenvertrag mit einer Behörde, der 2026 geschlossen wird, läuft oft über 2031 hinaus. Ohne hybride Post-Quanten-Schlüsselaushandlung (z. B. X25519MLKEM768 in TLS 1.3) liefert ein Anbieter dann gegen Vertragsende nicht mehr den Stand der Technik.

2. NIS-2 macht Lieferanten zum Prüfgegenstand

Nach § 30 Abs. 2 Nr. 4 BSIG müssen besonders wichtige und wichtige Einrichtungen die Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern in ihr Risikomanagement aufnehmen. In der Praxis reichen regulierte Einrichtungen diese Pflicht vertraglich an ihre Dienstleister weiter, meist über:

• Fragebögen zur Kryptographie (Verfahren, Schlüssellängen, Migrationsplanung),
• die Pflicht zur Lieferung einer SBOM (vgl. BSI TR-03183-2) und zunehmend auch einer CBOM,
• Nachweise über einen kontrollierten Update-Prozess (vgl. BSI TR-03185).

Wer diese Fragen mit belastbaren, maschinenlesbaren Artefakten beantworten kann, verkürzt Vergabe- und Onboarding-Prozesse spürbar.

3. Praxis-Checkliste für Cloud- und SaaS-Anbieter in öffentlichen Lieferketten

1. Krypto-Inventar erstellen: Erfassen Sie alle TLS-Endpunkte, SSH-Zugänge, VPN-Strecken, KMS-Schlüssel und Zertifikate mit Verfahren, Schlüssellänge und BSI-Ablaufdatum.
2. Transportverschlüsselung härten: TLS 1.3 als Mindeststandard auf Ingress und API-Gateways, hybride ML-KEM-Gruppen pilotieren (OpenSSL ≥ 3.5).
3. Administrative Zugänge absichern: OpenSSH ≥ 9.9 mit mlkem768x25519-sha256 als bevorzugtem Schlüsselaustausch, kein ssh-rsa mit SHA-1.
4. Schlüsselhoheit dokumentieren: BYOK/HYOK-Optionen und das Key-Wrapping im KMS beschreiben, inklusive Migrationspfad für RSA-OAEP-Wrapping.
5. Nachweise automatisieren: CBOM- und SBOM-Erzeugung in die CI/CD-Pipeline integrieren, damit jede Ausschreibungsanfrage mit aktuellen Daten beantwortet werden kann.

Für Schritt 1 und 5 können Sie unseren kostenlosen Open-Source-Scanner nutzen:

pipx run git+https://github.com/KenanErorr404/bsi-tr02102-pqc-audit-cli.git --generate-cbom-csv

Der Scanner prüft lokale SSH-, OpenSSL- und X.509-Konfigurationen und schreibt die ersten Befunde in eine CSV-Datei (host-cbom-preview.csv), die Sie als Ausgangspunkt für Ihr Krypto-Inventar verwenden können.

Kostenloser 60-Sekunden-Schnelltest: Ermitteln Sie Ihren Compliance-Gap-Score für TLS, SSH, IPsec und PKI direkt im Browser mit dem BSI TR-02102 & NIS-2 Krypto-Risiko-Schnelltest. Die Berechnung erfolgt vollständig lokal.

4. Einordnung

Die Partnerschaft zwischen BSI und Schwarz Digits zeigt, dass souveräne Cloud-Angebote politisch gewollt sind und in öffentlichen Vergaben an Gewicht gewinnen. Für Anbieter entscheidet sich die Wettbewerbsfähigkeit aber nicht am Rechenzentrumsstandort allein. Entscheidend ist, ob sich Kryptographie, Schlüsselhoheit und Update-Prozesse prüfbar dokumentieren lassen.

Hinweis: Dieser Beitrag dient der technischen Information und stellt keine Rechtsberatung dar.