EDSO · Europäischer Standard · Zertifizierung in sechs Prüfdomänen und vier Reifegraden

Digitale Souveränität nachweisen. Prüfbar. Europäisch.

EDSO ist der europäische Standard für digitale Souveränität — mit prüfbarer Zertifizierung in sechs Prüfdomänen (D1–D6) und vier Reifegraden (L1–L4). Die sechs Prüfdomänen bilden das Souveränitätsprofil eines Anbieters. Die vier Reifegrade definieren die Tiefe der Prüfung und den Grad der belastbaren Nachweisführung.

Self-Assessment starten· 20 Min Strategiegespräch buchen

European Digital Sovereignty Standard · Standardentwicklung und Prüfung strukturell getrennt

Warum EDSO in Vergaben, Audits und Aufsichtskontexten wirkt

NIS2 · DORA · EUCS · AI Act: Regulatorisch anschlussfähig
Prüfbar statt deklarativ: Audit durch unabhängige Prüfstellen
Öffentliches Register: Verifizierbar für Auftraggeber
Vergabefähig: Einsetzbar als B-Kriterium (MEAT)

Drei Pfade

Welche Rolle haben Sie?

EDSO adressiert drei Gruppen mit unterschiedlichen Einstiegspfaden. Wählen Sie Ihre Rolle für die jeweils passenden Schritte.

Anbieter

Cloud-, SaaS- und Plattformanbieter, die digitale Souveränität gegenüber Auftraggebern und Aufsichtsbehörden prüfbar nachweisen wollen.

Zertifizierung für Anbieter

Auftraggeber

Öffentliche Hand und regulierte Branchen, die EDSO als Referenzrahmen in Ausschreibungen und Lieferantenbewertungen verwenden.

EDSO in Vergaben nutzen

Prüfstellen

Auditoren und Beratungshäuser, die als anerkannte Prüfstelle EDSO-Audits durchführen wollen.

Prüfer-Programm

Warum jetzt

Drei Kräfte treffen aufeinander.

Regulatorik: NIS2, DORA und der EU AI Act fordern belastbare Nachweise in der IT-Lieferkette.
Geopolitik: US CLOUD Act und vergleichbare Regelungen machen Drittstaat-Abhängigkeiten zum Unternehmensrisiko.
Markt: Einkäufer fordern nachweisbare europäische Souveränität — ein einheitlicher Standard fehlt bislang.

Konsequenz: Anbieter ohne prüfbaren Nachweis fallen zunehmend aus Vergaben heraus — pauschale Souveränitätsversprechen genügen den neuen regulatorischen und auftraggeberseitigen Anforderungen nicht mehr.

Was EDSO konkret bewertet

Sechs Prüfdomänen. Vier Zertifizierungsstufen.

Die Prüfdomänen definieren, was geprüft wird — sie bilden zusammen das Souveränitätsprofil eines Anbieters. Die Reifegrade definieren, wie tief und verbindlich geprüft wird, und damit die Belastbarkeit des Nachweises.

Sechs Prüfdomänen (D1–D6)

Juristische Verortung

Eigentum, Jurisdiktion, Konzernsteuerung, extraterritoriale Zugriffsrechte.

Infrastruktur

Standorte, Subunternehmerkette, Betriebs- und Supportorganisation.

Datenhoheit

Schlüsselhoheit, privilegierte Zugriffe, Log-Integrität, Anbieter-Vertraulichkeit.

Lieferkette

Hardware- und Software-Lieferkette, geopolitische Choke Points, EU-Alternativen.

Resilienz & Exit-Fähigkeit

Offene Standards, dokumentierte und getestete Exit-Pfade, RTO/RPO, Migrationsfähigkeit.

Governance

Verantwortung auf Leitungsebene, ISMS-Integration, Eskalationswege, Transparenzbericht.

Vier Reifegrade (L1–L4)

EU-aligned

Strukturiertes Self-Assessment. EU-Rechtssitz, Mindesttransparenz, Offenlegung wesentlicher Subunternehmer. Einsatz: sensible Standard-Projekte.

EU-sovereign

Externes Basis-Audit durch akkreditierte Prüfstelle. EU-Governance, vertraglich zugesicherte EU-Datenresidenz, vollständige Abhängigkeitsmatrix. Einsatz: regulierte Auftraggeber.

Critical Sovereignty

Vertieftes externes Audit. Schlüsselhoheit, nachweisbare Exit-Strategie, auditierte Lieferkette. Einsatz: KRITIS-nahe Projekte, NIS2-/DORA-pflichtige Funktionen.

Strategic Sovereignty

Vollständige Zertifizierung. Board-Level-Risikomanagement, getestete Exit-Szenarien, EU-belastbare Lieferkette. Einsatz: höchste Schutzziele, KRITIS-Steuerung, sicherheitsrelevante Verwaltung.

Mein Level simulieren Standard im Detail

Der Weg zur Zertifizierung

Vier Schritte. Klar definierter Aufwand.

Schritt 01
Self-Assessment
Strukturierter Online-Fragebogen als Prüfmodus der Zertifizierungsstufe L1 (EU-aligned).
Dauer
ca. 20 Min.
Kosten
500 €/Monat
Schritt 02
Antrag & Scoping
Festlegung des Prüfumfangs gemeinsam mit einer akkreditierten Prüfstelle. Verbindliche Angebotskalkulation.
Dauer
1–2 Wochen
Kosten
nach Aufwand
Schritt 03
Audit & Bewertung
Domänen-Audit nach EDSO-Referenzwerk. Prüfung von Nachweisen, Architektur und Verträgen.
Dauer
8–16 Wochen
Kosten
nach Aufwand
Schritt 04
Zertifikat & Listung
Ausstellung des maschinenlesbaren Nachweises gemäß erreichtem Reifegrad (L1–L4) und Eintrag des zertifizierten Services in das öffentliche EDSO-Register.
Dauer
≤ 2 Wochen
Kosten
nach Aufwand

Zertifizierungsantrag starten Gebührenordnung

Was Kunden davon haben

Konkreter Nutzen — präzise, prüfbar, einsetzbar.

Prüfbarer Nachweis in EU-Vergaben (MEAT-fähiges B-Kriterium).
Reduktion regulatorischer Auditlast durch anerkannten Referenzrahmen.
Listung im öffentlichen EDSO-Register — Sichtbarkeit für Auftraggeber.
Maschinenlesbares Zertifikat, kryptografisch verifizierbar.
SBOM-, HYOK- und Exit-Leitlinien als unmittelbare Beiprodukte.
Klarer Entwicklungspfad von L1 zu L4 — Stufen statt Pauschalurteile.

Das ist EDSO

Bewertungsrahmen für digitale Abhängigkeiten
Transparenzinstrument für Vergaben
Governance-Instrument für C-Level

Das ist EDSO nicht

Politisches Signalinstrument
IT-Sicherheitszertifizierung (z. B. ISO 27001)
Beratungsframework

Pionierpartner-Programm · limitiert auf 10 Unternehmen

Den Standard mitprägen, bevor der Markt folgt.

Pionierpartner formen den EDSO-Gründungsbeirat, nehmen Einfluss auf Kriterien und Gewichtungen und erhalten die L1-Prüfung (strukturiertes Self-Assessment) inklusive. Gründungskonditionen sind für drei Jahre fixiert.

Option A

4.950 EUR netto

einmalig

Option B

12 × 500 EUR netto

monatlich

Leistungen (beide Optionen identisch): L1-Zertifizierung (EU-aligned) auf Basis des strukturierten Self-Assessments inklusive (bei Bestehen inkl. Jahresgebühr und Listung im öffentlichen EDSO-Register), Sitz im Gründungsbeirat, Titel „Pionierpartner“, Mitgestaltung von Kriterien und Roadmap.

Pionierpartner werden Strategiegespräch buchen

Häufige Fragen

Was Entscheider zuerst wissen wollen.

Wie unterscheidet sich EDSO vom European Sovereign Stack Standard (ES³)?: ES³ wurde von Schwarz Digits herausgegeben — also einem Cloud-Anbieter, der selbst im bewerteten Markt steht. EDSO ist als unabhängige Organisation konzipiert, mit Multi-Stakeholder-Beirat aus Wirtschaft, Zivilgesellschaft, Wissenschaft und öffentlicher Hand. Inhaltlich orientieren sich beide am EU Cloud Sovereignty Framework und nutzen ein vierstufiges Reifegradmodell mit Minimum-Prinzip; EDSO bewertet in sechs managementtauglichen Prüfdomänen (D1–D6) statt neun Dimensionen, legt die vollständige Methodik öffentlich offen und schließt keine Anbieter — auch keine Hyperscaler — per Definition aus, sondern macht Unterschiede sichtbar. ES³ ist damit ein möglicher Zertifizierungskandidat unter EDSO, ebenso wie SecNumCloud, BSI C5 oder DigiD.
Wie unterscheidet sich EDSO von ISO 27001, BSI C5 oder EUCS?: ISO 27001, C5 und EUCS adressieren IT-Sicherheit. EDSO adressiert digitale Souveränität — also Datenhoheit, Lieferkette, Rechtsraum und Exit-Fähigkeit. Beides ist komplementär.
Wie lange dauert eine Zertifizierung?: Self-Assessment in ca. 20 Minuten. Vom Antrag bis zum ausgestellten Zertifikat typischerweise 3–6 Monate, abhängig von Reifegrad und Scoping.
Wer führt die Prüfung durch?: Akkreditierte, von der Trägerschaft strukturell unabhängige Prüfstellen. Standardentwicklung und Prüfung sind organisatorisch getrennt.
Was passiert, wenn ein Reifegrad nicht erreicht wird?: Sie erhalten einen detaillierten Befund mit Lücken und konkreten Maßnahmen. Eine Re-Zertifizierung ist ohne neuerlichen vollen Audit-Aufwand möglich.
Was kostet eine Zertifizierung?: Die L1-Zertifizierung (EU-aligned) auf Basis des strukturierten Self-Assessments kostet 500 €/Monat und führt bei positivem Ergebnis zur Listung im öffentlichen EDSO-Register. Die höheren Reifegrade L2 (externes Basis-Audit), L3 (vertieftes externes Audit) und L4 (vollständige Zertifizierung) werden nach Aufwand kalkuliert und ausschließlich durch akkreditierte Prüfstellen durchgeführt.
Wie lange ist ein EDSO-Zertifikat gültig?: Ein EDSO-Zertifikat ist zwölf Monate gültig; danach erfolgt eine verkürzte Re-Zertifizierung. Bei strukturellen Änderungen — etwa Eigentümerwechsel, Verlagerung von Hosting-Standorten oder neuen Subunternehmern — besteht eine sofortige Meldepflicht, damit das ausgewiesene Level jederzeit belastbar bleibt.
Gibt es K.-o.-Kriterien, die eine Zertifizierung ausschließen?: Ja. In D1 (Juristische Verortung) führen ein fehlender EU/EWR-Rechtssitz, eine intransparente Eigentümerstruktur oder ein nachweisbarer Drittstaat-Kontrollzugriff zur Ablehnung. In D5 (Resilienz und Exit-Fähigkeit) begrenzt eine fehlende oder nicht dokumentierte Exit-Strategie das erreichbare Level — unabhängig vom Ergebnis in anderen Domänen. Diese Kriterien sind nicht durch hohe Werte an anderer Stelle kompensierbar.
Welche vier Reifegrade gibt es — und wann ist welcher relevant?: L1 EU-aligned ist der strukturierte Self-Assessment-Einstieg für sensible Standardprojekte (indikative Selbsteinschätzung, kein Audit). L2 EU-sovereign ist das externe Basis-Audit durch eine akkreditierte Prüfstelle für regulierte Auftraggeber. L3 Critical Sovereignty ist das vertiefte externe Audit für KRITIS-nahe Projekte. L4 Strategic Sovereignty ist die vollständige Zertifizierung für höchste Anforderungen, insbesondere in öffentlichen Aufträgen. Höhere Reifegrade setzen die Erfüllung aller darunterliegenden voraus.
Strebt EDSO eine offizielle Normierung an?: Ja. EDSO ist als privatwirtschaftlicher Standard gestartet, mit dem Entwicklungspfad zur DIN-SPEC als Vorstufe zu einer offiziellen Norm. Der Einreichungsprozess ist für 2026/2027 vorgesehen. Spezifikation und Methodik werden öffentlich gepflegt, damit sie institutionell anschlussfähig bleiben.

Alle FAQ ansehen

Nächster Schritt

Zwei klare Pfade — wählen Sie den passenden.

Self-Assessment starten

Ca. 20 Minuten. Sie erhalten eine erste belastbare Einschätzung Ihres Reifegrads.

Jetzt starten

Strategiegespräch buchen

Persönliche Einordnung des passenden Reifegrads und Pionierpartner-Programm.

Termin anfragen