Anbieter
Cloud-, SaaS- und Plattformanbieter, die digitale Souveränität gegenüber Auftraggebern und Aufsichtsbehörden prüfbar nachweisen wollen.
Zertifizierung für AnbieterEDSO · Europäischer Standard · Zertifizierung in sechs Prüfdomänen und vier Reifegraden
Digitale Souveränität nachweisen. Prüfbar. Europäisch.
EDSO ist der europäische Standard für digitale Souveränität — mit prüfbarer Zertifizierung in sechs Prüfdomänen (D1–D6) und vier Reifegraden (L0, L2, L3, L4). Die sechs Prüfdomänen bilden das Souveränitätsprofil eines Anbieters. Die vier Reifegrade definieren die Tiefe der Prüfung und den Grad der belastbaren Nachweisführung.
European Digital Sovereignty Standard · Standardentwicklung und Prüfung strukturell getrennt
Warum EDSO in Vergaben, Audits und Aufsichtskontexten wirkt
Warum EDSO in Vergaben, Audits und Aufsichtskontexten wirkt
- NIS2 · DORA · EUCS · AI Act
- Regulatorisch anschlussfähig
- Prüfbar statt deklarativ
- Audit durch unabhängige Prüfstellen
- Öffentliches Register
- Verifizierbar für Auftraggeber
- Vergabefähig
- Einsetzbar als B-Kriterium (MEAT)
Domänen und Nachweise sind auf die zentralen EU-Rahmenwerke gemappt.
Standardentwicklung und Prüfung strukturell getrennt. Kein Self-Labeling.
Zertifikate sind maschinenlesbar und über Public Key prüfbar.
Nutzbar als objektives Zuschlagskriterium in europäischen Vergaben.
Drei Pfade
Welche Rolle haben Sie?
EDSO adressiert drei Gruppen mit unterschiedlichen Einstiegspfaden. Wählen Sie Ihre Rolle für die jeweils passenden Schritte.
Auftraggeber
Öffentliche Hand und regulierte Branchen, die EDSO als Referenzrahmen in Ausschreibungen und Lieferantenbewertungen verwenden.
EDSO in Vergaben nutzenPrüfstellen
Auditoren und Beratungshäuser, die als anerkannte Prüfstelle EDSO-Audits durchführen wollen.
Prüfer-ProgrammWarum jetzt
Drei Kräfte treffen aufeinander.
- Regulatorik
- NIS2, DORA und der EU AI Act fordern belastbare Nachweise in der IT-Lieferkette.
- Geopolitik
- US CLOUD Act und vergleichbare Regelungen machen Drittstaat-Abhängigkeiten zum Unternehmensrisiko.
- Markt
- Einkäufer fordern nachweisbare europäische Souveränität — ein einheitlicher Standard fehlt bislang.
Konsequenz: Anbieter ohne prüfbaren Nachweis fallen zunehmend aus Vergaben heraus — pauschale Souveränitätsversprechen genügen den neuen regulatorischen und auftraggeberseitigen Anforderungen nicht mehr.
Was EDSO konkret bewertet
Sechs Prüfdomänen. Vier Zertifizierungsstufen.
Die Prüfdomänen definieren, was geprüft wird — sie bilden zusammen das Souveränitätsprofil eines Anbieters. Die Reifegrade definieren, wie tief und verbindlich geprüft wird, und damit die Belastbarkeit des Nachweises.
Sechs Prüfdomänen (D1–D6)
D1
Juristische Verortung
Eigentum, Jurisdiktion, Konzernsteuerung, extraterritoriale Zugriffsrechte.
D2Infrastruktur
Standorte, Subunternehmerkette, Betriebs- und Supportorganisation.
D3Datenhoheit
Schlüsselhoheit, privilegierte Zugriffe, Log-Integrität, Anbieter-Vertraulichkeit.
D4Lieferkette
Hardware- und Software-Lieferkette, geopolitische Choke Points, EU-Alternativen.
D5Resilienz & Exit-Fähigkeit
Offene Standards, dokumentierte und getestete Exit-Pfade, RTO/RPO, Migrationsfähigkeit.
D6Governance
Verantwortung auf Leitungsebene, ISMS-Integration, Eskalationswege, Transparenzbericht.
Vier Reifegrade (L0, L2, L3, L4)
L2 — EU-ALIGNED
Mögliches Ergebnis eines externen Audits. Nachweisbare EU-Verortung und Widerstandsfähigkeit, aber mit verbleibenden strukturellen Abhängigkeiten. Einsatz: regulierte Auftraggeber, die eine belastbare Grundlage verlangen.
Auf Badge klicken für Details →
L3 — EU-SOVEREIGN
Höheres Ergebnis desselben externen Audits. Fundamentale EU-Souveränität, Schlüsselhoheit, nachweisbare Exit-Strategie, auditierte Lieferkette. Einsatz: KRITIS-nahe Projekte, NIS2-/DORA-pflichtige Funktionen.
Auf Badge klicken für Details →
L4 — CRITICAL EU-SOVEREIGN
Höchste Stufe mit verpflichtendem Vor-Ort-Audit. Resilienz, Notfallvorsorge und real getestete Exit-/Recovery-Pfade auf Vorstandsebene. Einsatz: höchste Schutzziele, KRITIS-Steuerung, sicherheitsrelevante Verwaltung.
Auf Badge klicken für Details →
Vorstufe · keine Zertifizierung
L0Basisstufe
L0
Strukturierte Selbsteinschätzung der anbietenden Organisation. EU-Rechtssitz, organisatorische Mindesttransparenz, Offenlegung relevanter Konzern- und Lieferkettenbezüge. Einsatz: Markteintritt, Vergaben mit EU-Verortung als Mindestanforderung.
L0 ist eine Selbsteinschätzung — nicht auditiert, nicht extern validiert. Kein Zertifikat, kein Badge. Badges und Zertifikate gibt es ab L2.
Zwischenstatus · kein Reifegrad
L1In Vorbereitung
L1 — Verfahren läuft
L1 kennzeichnet Organisationen, die sich auf ein Audit nach L2 oder L3 vorbereiten oder deren Audit begonnen, aber noch nicht abgeschlossen ist — etwa während Nacharbeiten an Dokumentation, Strukturen und Abhängigkeiten.
L1 ist kein Reifegrad und kein Prüfergebnis: kein Zertifikat, kein Badge, keine Vorwegnahme des Audit-Ausgangs. Mit Abschluss des Audits endet L1 und es gilt das erreichte Ergebnis (L2 oder L3). Wer bereits L3 hält und ein L4-Audit durchläuft, behält währenddessen L3.
Statusmatrix und Regeln zu L1 ansehenDer Weg zur Zertifizierung
Vier Schritte. Klar definierter Aufwand.
- Schritt 01
Self-Assessment
Strukturierter Online-Fragebogen als Prüfmodus der Basisstufe L0 — bewertet wird die anbietende Organisation, nicht ein einzelner Dienst.
- Dauer
- ca. 20 Min.
- Kosten
- 490 € netto einmalig · alternativ ab 79 €/Monat
- Schritt 02
Ergebnis & Bestätigung im Konto
Ergebnisprofil, L0-Bestätigung und weitere Nachweisdokumente stehen unmittelbar im Mitgliederkonto zum Download bereit.
- Dauer
- sofort
- Kosten
- inklusive
- Schritt 03
Audit für L2/L3 oder L4 beantragen
Antrag auf ein externes Zertifizierungsaudit. L2 und L3 sind zwei mögliche Ergebnisse desselben Audits; L4 wird als gesonderte Prüfung auf Anfrage durchgeführt.
- Dauer
- 8–16 Wochen (Audit)
- Kosten
- 2.900 € netto (L2/L3) · L4 auf Anfrage
- Schritt 04
Zertifikat & Badges im Konto
Zertifikat und Badges (L2, L3, L4) stehen nach bestandenem Audit direkt im Mitgliederkonto zum Download bereit; die Listung im öffentlichen EDSO-Register erfolgt automatisch.
- Dauer
- sofort
- Kosten
- inklusive
Was Kunden davon haben
Konkreter Nutzen — präzise, prüfbar, einsetzbar.
- Prüfbarer Nachweis in EU-Vergaben (MEAT-fähiges B-Kriterium).
- Reduktion regulatorischer Auditlast durch anerkannten Referenzrahmen.
- Listung im öffentlichen EDSO-Register — Sichtbarkeit für Auftraggeber.
- Maschinenlesbares Zertifikat, kryptografisch verifizierbar.
- SBOM-, HYOK- und Exit-Leitlinien als unmittelbare Beiprodukte.
- Klarer Entwicklungspfad von L0 zu L4 — Stufen statt Pauschalurteile.
Das ist EDSO
- Bewertungsrahmen für digitale Abhängigkeiten
- Transparenzinstrument für Vergaben
- Governance-Instrument für C-Level
Das ist EDSO nicht
- Politisches Signalinstrument
- IT-Sicherheitszertifizierung (z. B. ISO 27001)
- Beratungsframework
Wettbewerbsvorteil · Nachweis statt Behauptung
Digitale Souveränität sichtbar machen — im Wettbewerb, in Ausschreibungen, in der Akquise.
Käufer, Vergabestellen und Aufsichtsbehörden verlangen prüfbare Belege für digitale Souveränität. Mit EDSO erhalten Sie Dokumente und Marken, die Sie in Angeboten, Vertriebsunterlagen und regulatorischen Nachweisen unmittelbar einsetzen können.
Dokumente im Mitgliederkonto
EDSO · L0
L0-Bestätigung (Selbsteinschätzung)
Ergebnisprofil und Nachweis der strukturierten Selbsteinschätzung. Keine Zertifizierung.
Selbsteinschätzung
Badges für Website, Angebote und Ausschreibungen
Badges für L2 EU-ALIGNED, L3 EU-SOVEREIGN und L4 CRITICAL EU-SOVEREIGN. Zur Verwendung auf Websites, in Pitchdecks, Angeboten und Ausschreibungsunterlagen.
Was Sie damit gewinnen
In öffentlichen Ausschreibungen sichtbar bewertbar
EDSO lässt sich als objektives Zuschlagskriterium (MEAT) in europäischen Vergaben verwenden. Ihr Nachweis wird prüfbar bewertet — nicht behauptet.
Vorsprung in Akquise und Vertrieb
Zertifikat und Badge belegen digitale Souveränität gegenüber Einkauf, IT und Compliance ohne zusätzliche Erklärungsrunden. Verkürzt Vertriebszyklen bei sicherheits- und regulierungssensiblen Kunden.
Differenzierung im europäischen Wettbewerb
Anbieter ohne prüfbare Souveränitätsnachweise werden zunehmend aus regulierten Vergaben ausgeschlossen. Mit EDSO positionieren Sie sich sichtbar gegenüber nicht-europäischen und nicht-geprüften Wettbewerbern.
Aufwandsreduktion in Audits und Reviews
Der EDSO-Nachweis wird zunehmend als Referenzrahmen in NIS2-, DORA- und Lieferantenprüfungen anerkannt. Aussagen zu Datenhoheit, Lieferkette und Exit-Fähigkeit müssen nicht in jedem Prüfverfahren neu belegt werden.
Häufige Fragen
Was Entscheider zuerst wissen wollen.
- Wie unterscheidet sich EDSO vom European Sovereign Stack Standard (ES³)?
- ES³ wurde von Schwarz Digits herausgegeben — also einem Cloud-Anbieter, der selbst im bewerteten Markt steht. EDSO ist als unabhängige Organisation konzipiert, mit Multi-Stakeholder-Beirat aus Wirtschaft, Zivilgesellschaft, Wissenschaft und öffentlicher Hand. Inhaltlich orientieren sich beide am EU Cloud Sovereignty Framework und nutzen ein vierstufiges Reifegradmodell mit Minimum-Prinzip; EDSO bewertet in sechs managementtauglichen Prüfdomänen (D1–D6) statt neun Dimensionen, legt die vollständige Methodik öffentlich offen und schließt keine Anbieter — auch keine Hyperscaler — per Definition aus, sondern macht Unterschiede sichtbar. ES³ ist damit ein möglicher Zertifizierungskandidat unter EDSO, ebenso wie SecNumCloud, BSI C5 oder DigiD.
- Wie unterscheidet sich EDSO von ISO 27001, BSI C5 oder EUCS?
- ISO 27001, C5 und EUCS adressieren IT-Sicherheit. EDSO adressiert digitale Souveränität — also Datenhoheit, Lieferkette, Rechtsraum und Exit-Fähigkeit. Beides ist komplementär.
- Wie lange dauert eine Zertifizierung?
- Self-Assessment in ca. 20 Minuten. Vom Antrag bis zum ausgestellten Zertifikat typischerweise 3–6 Monate, abhängig von Reifegrad und Scoping.
- Wer führt die Prüfung durch?
- Akkreditierte, von der Trägerschaft strukturell unabhängige Prüfstellen. Standardentwicklung und Prüfung sind organisatorisch getrennt.
- Was passiert, wenn ein Reifegrad nicht erreicht wird?
- Sie erhalten einen detaillierten Befund mit Lücken und konkreten Maßnahmen. Eine Re-Zertifizierung ist ohne neuerlichen vollen Audit-Aufwand möglich.
- Was kostet eine Zertifizierung?
- L0 (Basisstufe / Self-Assessment / Registeraufnahme) kostet 490 EUR netto einmalig, 790 EUR netto jährlich oder 79 EUR netto monatlich und ist keine Zertifizierung. Das externe Zertifizierungsaudit mit Ergebnis L2 (EU-ALIGNED) oder L3 (EU-SOVEREIGN) wird gemeinsam bepreist (2.900 EUR netto Prüfgebühr, 3.900 EUR netto jährlich, 390 EUR netto monatlich) — L2 und L3 sind zwei mögliche Ergebnisse desselben Audits. Der Zwischenstatus L1 während Vorbereitung und laufendem Audit wird nicht separat bepreist. L4 (CRITICAL EU-SOVEREIGN) wird gesondert und individuell bepreist. Audits werden ausschließlich durch akkreditierte Prüfstellen durchgeführt.
- Wie lange ist ein EDSO-Zertifikat gültig?
- Ein EDSO-Zertifikat ist zwölf Monate gültig; danach erfolgt eine verkürzte Re-Zertifizierung. Bei strukturellen Änderungen — etwa Eigentümerwechsel, Verlagerung von Hosting-Standorten oder neuen Subunternehmern — besteht eine sofortige Meldepflicht, damit das ausgewiesene Level jederzeit belastbar bleibt.
- Gibt es K.-o.-Kriterien, die eine Zertifizierung ausschließen?
- Ja. In D1 (Juristische Verortung) führen ein fehlender EU/EWR-Rechtssitz, eine intransparente Eigentümerstruktur oder ein nachweisbarer Drittstaat-Kontrollzugriff zur Ablehnung. In D5 (Resilienz und Exit-Fähigkeit) begrenzt eine fehlende oder nicht dokumentierte Exit-Strategie das erreichbare Level — unabhängig vom Ergebnis in anderen Domänen. Diese Kriterien sind nicht durch hohe Werte an anderer Stelle kompensierbar.
- Welche Reifegrade gibt es — und wann ist welcher relevant?
- L0 ist die strukturierte Selbsteinschätzung der anbietenden Organisation und ausdrücklich keine Zertifizierung. L1 ist kein eigener Reifegrad, sondern der Zwischenstatus einer Organisation, die sich auf ein Audit vorbereitet oder sich in einem laufenden Auditverfahren befindet; er endet mit Abschluss des Audits und begründet weder Zertifikat noch Badge. L2 EU-ALIGNED und L3 EU-SOVEREIGN sind zwei mögliche Ergebnisse desselben externen EDSO-Audits (remote oder vor Ort) durch eine akkreditierte Prüfstelle: L2 belegt eine belastbare Aufstellung mit offen benannten Restrisiken, L3 die belastbare EU-Souveränität. L4 CRITICAL EU-SOVEREIGN ist die höchste Stufe und wird als eigenständiges Audit mit zwingender Vor-Ort-Prüfung und real getesteten Exit-Szenarien durchgeführt. L2, L3 und L4 werden ausschließlich durch akkreditierte Prüfstellen ausgestellt.
- Strebt EDSO eine offizielle Normierung an?
- Ja. EDSO ist als privatwirtschaftlicher Standard gestartet, mit dem Entwicklungspfad zur DIN-SPEC als Vorstufe zu einer offiziellen Norm. Der Einreichungsprozess ist für 2026/2027 vorgesehen. Spezifikation und Methodik werden öffentlich gepflegt, damit sie institutionell anschlussfähig bleiben.
Nächster Schritt