Vier Level. Von Mindesttransparenz zur strategischen Steuerungsfähigkeit.

Strukturierte Selbsteinschätzung der Organisation. EU-Rechtssitz, organisatorische Mindesttransparenz, Offenlegung relevanter Konzern- und Lieferkettenbezüge.

L0 ist die Einstiegsstufe des EDSO-Systems. Prüfmodus ist eine strukturierte Selbsteinschätzung der anbietenden Organisation — nicht eines einzelnen Dienstes. Geprüft werden EU-Rechtssitz, organisatorische Mindesttransparenz und die Offenlegung relevanter Konzern-, Eigentümer- und Lieferkettenbezüge. Die Stufe ist erreicht, wenn diese Grundanforderungen auf Organisationsebene dokumentiert vorliegen. Dienstbezogene Prüfung beginnt erst ab L2.

Typisches Profil: europäische Anbieter-Organisationen und EU-Niederlassungen mit ordentlich dokumentierter Struktur, die erstmals einen anerkannten Souveränitätsnachweis für das Unternehmen erbringen wollen.

Einsatz: Markteintritt, Vergaben mit Mindestanforderung an EU-Verortung und nachvollziehbare Anbieterstruktur, Voraussetzung für spätere Service-Audits ab L2.

Mögliches Ergebnis des externen EDSO-Audits: extern geprüft, in zentralen Bereichen belastbar, aber noch nicht vollständig EU-souverän.

L2 ist ein mögliches Ergebnis des externen EDSO-Audits. Das Audit kann remote oder vor Ort stattfinden und prüft das Unternehmen entlang der sechs EDSO-Domänen. L2 wird erreicht, wenn das Unternehmen in allen relevanten Domänen ein belastbares Niveau nachweist und die definierten Schwellwerte erfüllt, zugleich aber noch strukturelle Punkte erkennbar bleiben, die einer vollständigen EU-Souveränität entgegenstehen. L2 macht sichtbar: Das Unternehmen ist nicht nur registriert oder selbsteingeschätzt, sondern extern geprüft. Es ist in zentralen Bereichen bereits belastbar aufgestellt, weist aber noch Abhängigkeiten, Einschränkungen oder Risiken auf, die offen benannt und eingeordnet werden müssen.

Typisches Profil: europäische SaaS- und MSP-Anbieter mit belastbarer Governance, reife Mittelständler mit dokumentierter Lieferkette, EU-geführte Einheiten internationaler Anbieter mit klar abgegrenzten Verantwortlichkeiten und nachvollziehbaren Betriebsmodellen.

Einsatz: für Auftraggeber, die über eine reine Selbstauskunft hinaus eine externe Prüfung verlangen und belastbar erkennen wollen, ob ein Unternehmen bereits EU-aligned ist, auch wenn noch nicht in allen Punkten eine vollständige Souveränität erreicht ist.

Höheres mögliches Ergebnis desselben externen EDSO-Audits: grundlegende EU-Souveränität extern bestätigt.

L3 ist das höhere mögliche Ergebnis desselben externen EDSO-Audits. Auch hier kann das Audit remote oder vor Ort stattfinden. L3 wird erreicht, wenn das Unternehmen in den sechs EDSO-Domänen die definierten Schwellwerte auf einem Niveau erfüllt, das eine grundsätzliche EU-Souveränität belegt. Das bedeutet: Die wesentlichen Governance-, Betriebs-, Daten-, Lieferketten-, Exit- und Steuerungsfragen sind nicht nur dokumentiert, sondern in ihrer Struktur so aufgestellt, dass das Unternehmen insgesamt als souverän eingeordnet werden kann. L3 steht damit nicht einfach für „mehr Dokumentation“ als L2, sondern für eine andere Qualität der Gesamtbewertung: Das Unternehmen ist nicht nur nahe dran, sondern erfüllt die Grundanforderungen an eine belastbare EU-Souveränität.

Typisches Profil: europäische Cloud-, Plattform- und Infrastrukturanbieter mit klar beherrschbaren Betriebsmodellen, MSPs mit belastbarer und geprüfter Lieferkette, Unternehmen mit dokumentierter Schlüssel- und Zugriffshoheit sowie nachvollziehbarer Exit-Fähigkeit für ihre Kernsysteme.

Einsatz: für regulierte oder sensible Anwendungsfelder, in denen eine reine Nähe zur Souveränität nicht ausreicht, sondern eine extern bestätigte grundlegende EU-Souveränität erwartet wird.

Höchste Stufe des EDSO-Systems. Gesondert vertiefte Prüfung, zwingend Vor-Ort, für höchste Anforderungen an Beherrschbarkeit und Resilienz.

L4 ist die höchste Stufe des EDSO-Systems und setzt ein gesondert vertieftes Prüfungsniveau voraus. Für L4 ist eine Vor-Ort-Prüfung zwingend. Die Stufe adressiert Unternehmen und Infrastrukturen mit höchsten Anforderungen an Beherrschbarkeit, Exit-Fähigkeit, Belastbarkeit und souveräne Steuerung auch unter kritischen Bedingungen. L4 beschreibt keine bloße Fortsetzung von L3, sondern ein Niveau, auf dem Souveränität auch unter verschärften Anforderungen, in Notfalllagen und mit real belastbaren Alternativen nachgewiesen werden muss.

Typisches Profil: KRITIS-nahe oder staatstragende Infrastrukturen, besonders sensible Plattformen und Spezialanbieter mit hochkritischen Betriebs-, Sicherheits- oder Versorgungsfunktionen.

Einsatz: für Umfelder mit höchsten Anforderungen an Resilienz, Kontrollfähigkeit, Notfalltauglichkeit und nachgewiesene Handlungsfähigkeit unter kritischen Bedingungen.

Die folgenden empfohlenen Mindestlevel sind indikativ. Die verbindliche Festlegung erfolgt sektorspezifisch über Schutzziele und Mindestanforderungen pro Prüfdomäne.

L1 ist kein eigenständiger Reifegrad und kein Prüfergebnis. L1 kennzeichnet ausschließlich den Übergangszustand eines Unternehmens auf dem Weg zu einer auditierten Stufe.

Ein Unternehmen führt den Status L1, sobald es die auditierte Stufe L2 oder L3 anstrebt und sich entweder bereits in einem laufenden, noch nicht abgeschlossenen EDSO-Audit befindet oder die dafür erforderlichen Voraussetzungen nachweislich herstellt. Dazu zählen insbesondere das Nacharbeiten von Dokumentation, der Aufbau organisatorischer Strukturen sowie die Erfassung und Bereinigung von Abhängigkeiten in Betrieb, Daten und Lieferkette.

L1 trifft keine Aussage über die Souveränität eines Unternehmens oder eines Dienstes. Aus L1 lässt sich weder eine bestandene Prüfung noch ein zu erwartendes Auditergebnis ableiten. Aus L1 entsteht kein Zertifikat und keine Zeichenberechtigung; die Zeichennutzung bleibt ausschließlich den auditierten Stufen L2, L3 und L4 vorbehalten.

Der Status L1 endet mit dem Abschluss des Audits. Mit der Ausstellung des Ergebnisses tritt an seine Stelle die auditierte Stufe L2 oder L3. Wird ein Audit abgebrochen oder nicht bestanden, entfällt L1 ohne Stufenwirkung; das Unternehmen bleibt auf dem zuvor geführten Stand.

Verfügt ein Unternehmen bereits über eine auditierte Stufe und strebt eine höhere an, bleibt die bestehende Stufe während des laufenden Verfahrens maßgeblich. Ein Unternehmen mit L3, das ein Audit zu L4 durchläuft, wird weiterhin als L3 geführt — nicht als L1 und nicht als L4.