Was ANSSI und BSI tatsächlich geprüft haben

Am 17. August 2026 verlieh Frankreichs Cybersicherheitsbehörde ANSSI der Version 31.0.7.2 von Nextcloud Files die CSPN-Zertifizierung, die landesübliche Basissicherheitsstufe für Software, die in öffentliche Ausschreibungen einfließt. Die Prüfer führten Schwachstellen- und Penetrationstests zu fünf konkreten Funktionen durch, Authentifizierung, Zugriffskontrolle, Schutz gespeicherter Daten, HTTPS-Kommunikation und Protokollierung, in einer On-Premise-Hostingkonfiguration, und meldeten keine Beanstandungen. Getrennt davon läuft eine von Dataport betriebene Nextcloud-Installation, dem öffentlichen IT-Dienstleister mehrerer deutscher Länder, jetzt innerhalb einer nach BSI IT-Grundschutz zertifizierten Umgebung, eingebettet in Dataports eigenes Sicherheitsmanagementsystem statt als eigenständiges Produkt zertifiziert.

Eine Zertifizierung, zwei Länder

Was aus zwei getrennten nationalen Zulassungen eine gemeinsame Geschichte macht, ist Anerkennung, kein Zufall. Deutschlands BSI behandelt ANSSIs CSPN formal als gleichwertig zu seinem eigenen beschleunigten Zertifizierungsverfahren, der Beschleunigten Sicherheitszertifizierung, weil beide auf denselben europäischen Standard EN 17640 abgebildet sind, der mit dem EU Cybersecurity Act kompatibel gebaut wurde. In der Praxis heißt das: Ein Anbieter muss nicht mehr zwei getrennte nationale Audits durchlaufen, um denselben Sicherheitsanspruch in beiden großen EU-Beschaffungsmärkten zu belegen; eine Zertifizierung erledigt jetzt die Arbeit von zweien.

Das Versprechen des EU Cybersecurity Act auf dem Prüfstand

Der Cybersecurity Act wurde mit der Annahme geschrieben, ein einziges EU-weites Zertifizierungsschema könne 27 zersplitterte nationale Regelungen ersetzen und doppelte Compliance-Kosten für grenzüberschreitend tätige Anbieter senken. Der größte Teil dieses Versprechens blieb bislang theoretisch, weil die Schemata des Gesetzes noch im Aufbau sind; die Anerkennung zwischen ANSSI und BSI ist einer der ersten Fälle, in denen es sichtbar für ein reales Produkt funktioniert hat, und profitiert hat davon kein Hyperscaler, sondern eine Open-Source-Kollaborationsplattform, auf die die meisten öffentlichen Käufer in Europa noch immer nicht standardmäßig setzen.

Was sich für Käufer ändert

Für jede EU- oder UK-Organisation, die aus Compliance-Gründen eine EU-gehostete Alternative zu Microsoft 365 oder Google Workspace prüft, ist die praktische Änderung geringere Beschaffungsreibung: Eine Zertifizierung, der das deutsche öffentliche Gegenstück bereits vertraut, gilt jetzt auch in einer französischen Ausschreibung, und umgekehrt, ohne einen neuen Prüfzyklus. Das macht Nextcloud dadurch allein nicht sicherer als die etablierten Anbieter, und sie deckt eine bestimmte Produktversion und eine bestimmte Hostingkonfiguration ab, nicht jede Installation. Aber es ist der erste grenzüberschreitende Referenzfall, auf den ein Beschaffungsteam tatsächlich verweisen kann, statt nur auf die eigene Compliance-Behauptung eines Anbieters.

Weiterlesen: Frankreich verlagert seine Gesundheitsdatenbank weg von Azure  |  Souveräne KI-Schicht spricht OpenAIs eigene API