AWS European Sovereign Cloud

Provider-specific sources from the current dataset. Use the Compass for scoring, weighting, and A/B comparison.

Compare in the Compass

Provider Snapshot

Criterion	Score
Customer content in the EU	4.0
Customer-created metadata in the EU	4.0
Physically & logically separated	4.0
EU-based operations & support	4.0
No critical non-EU dependencies	4.0
Ownership / ultimate parent (EU-owned?)	1.0
Controlling interest & FISA 702 risk (jurisdiction ≠ residency)	1.0
Local contracting entity & EU governance (operational model)	4.0
Independent advisory board	3.0
EU root CA / trust services	4.0
BSI C5	4.0
ISO 27001 / ISMS	4.0
IT-Grundschutz (BSI)	1.0
SecNumCloud (ANSSI)	0.0
Open standards / API portability	3.0
Service portfolio depth	5.0
Geographic footprint & redundancy (regions/AZ/DCs in EU/DE)	3.0
Audit reports / evidence pack	5.0
Policy enforcement (guardrails)	4.0
Default deny / secure by default	3.0
Independent verification (continuous)	3.0
Blackbox exposure (ops/control plane)	2.0
Operator access exclusion (workload scope)	4.0
IaC & automation (Terraform/OpenTofu, SDKs, APIs)	5.0
Everyday SDLC/DevOps (CI/CD, registry, secrets, K8s)	5.0
Observability (logs/metrics/traces, alerting)	5.0
Limits/quotas (transparency & increase)	4.0
Reference architectures / landing zones	5.0
Unified security stack	5.0
Energieeffizienz / PUE & Zielwerte	5.0
CO₂-/Wasser-Reporting + erneuerbare Energiequellen	5.0

Scope: Cloud Suite (IaaS+PaaS)

Customer content in the EU: 4.0; Customer-created metadata in the EU: 4.0; Physically & logically separated: 4.0; EU-based operations & support: 4.0; No critical non-EU dependencies: 4.0; Ownership / ultimate parent (EU-owned?): 1.0; Controlling interest & FISA 702 risk (jurisdiction ≠ residency): 1.0; Local contracting entity & EU governance (operational model): 4.0; Independent advisory board: 3.0; EU root CA / trust services: 4.0; BSI C5: 4.0; ISO 27001 / ISMS: 4.0; IT-Grundschutz (BSI): 1.0; SecNumCloud (ANSSI): 0.0; Open standards / API portability: 3.0; Service portfolio depth: 5.0; Geographic footprint & redundancy (regions/AZ/DCs in EU/DE): 3.0; Audit reports / evidence pack: 5.0; Policy enforcement (guardrails): 4.0; Default deny / secure by default: 3.0; Independent verification (continuous): 3.0; Blackbox exposure (ops/control plane): 2.0; Operator access exclusion (workload scope): 4.0; IaC & automation (Terraform/OpenTofu, SDKs, APIs): 5.0; Everyday SDLC/DevOps (CI/CD, registry, secrets, K8s): 5.0; Observability (logs/metrics/traces, alerting): 5.0; Limits/quotas (transparency & increase): 4.0; Reference architectures / landing zones: 5.0; Unified security stack: 5.0; Energieeffizienz / PUE & Zielwerte: 5.0; CO₂-/Wasser-Reporting + erneuerbare Energiequellen: 5.0

Sources / Evidence

Customer content in the EU

GA: Infrastruktur vollständig innerhalb der EU; erste Region Brandenburg (DE) live. Customer Content wird in der AWS ESC innerhalb der EU verarbeitet/gespeichert (stated).

Customer-created metadata in the EU

Kontrollen für Customer Content & customer-created metadata innerhalb EU (stated) – inkl. Metadaten, IAM- & Abrechnungsdaten.

Physically & logically separated

Physisch & logisch getrennt von anderen AWS Regions; Region operiert unabhängig (stated).

EU-based operations & support

Täglicher Betrieb/Support ausschließlich durch in der EU ansässige Personen; schrittweise Umstellung auf EU-Bürger. Unabhängiges EU-Management + eigenes Security Operations Center (stated).

No critical non-EU dependencies

Addendum: Die AWS European Sovereign Cloud ist so ausgelegt, dass sie unabhängig und dauerhaft betrieben werden kann („operate independently and indefinitely“). Kritische Abhängigkeiten von Non‑EU‑Infrastruktur sollen vermieden werden; Betrieb auch bei Unterbrechung zum Rest der Welt (stated).

Ownership / ultimate parent (EU-owned?)

Ultimate parent: Amazon.com, Inc. (US). Lokale EU-Entities fuer ESC (stated), aber nicht EU-owned.

Controlling interest & FISA 702 risk (jurisdiction ≠ residency)

Ultimate Parent: Amazon.com, Inc. (US). Auch bei EU-Residency/Operations bleibt US-Jurisdiktion als Risiko-Faktor (FISA 702 / CLOUD Act) grundsätzlich relevant.

Local contracting entity & EU governance (operational model)

Neue EU Governance-Struktur fuer ESC: EU-basierte operative Kontrolle (EU residents; transition to EU citizens), lokale Entities (stated).

Independent advisory board

Independent advisory board (4 EU-Bürger, mind. 1 unabhängig; gesetzlich verpflichtet im Interesse der ESC zu handeln) (stated).

EU root CA / trust services

Dedizierter europäischer Trust-Service-Provider für CA-Operationen; ESC nutzt EU-basierte Trust Services (stated). Zusätzlich: KMS External Key Store (XKS) ermöglicht Schlüsselmaterial außerhalb von AWS (z.B. eigener „Kill Switch“) – Verfügbarkeit je Service/Region prüfen.

BSI C5

BSI C5 Typ 1 (Basis- & Zusatzkriterien) für AWS European Sovereign Cloud, 69 Services im Scope, unabhängig auditiert (veröffentlicht 10.03.2026). Attestierungsberichte über AWS Artifact abrufbar.

ISO 27001 / ISMS

ISO 27001:2022 + ISO 27017, 27018, 27701, 22301, 20000-1, 9001 – sieben ISO-Zertifizierungen spezifisch für AWS European Sovereign Cloud (69 Services im Scope), veröffentlicht 10.03.2026.

IT-Grundschutz (BSI)

AWS hat C5-Testat für kommerzielle Regionen. ESC-spezifisches IT-Grundschutz-Testat noch ausstehend.

SecNumCloud (ANSSI)

TBD.

Open standards / API portability

AWS unterstützt zahlreiche offene Standards in der Praxis (u.a. Kubernetes via EKS, OIDC/SAML Federation) + breites IaC/SDK-Ökosystem. Dennoch bleiben viele AWS-APIs proprietär → Portabilität stark workload-abhängig.

Service portfolio depth

Voll funktionsreich; startet mit Kernservices und erweitert nach Nachfrage. Liste/Roadmap über AWS-Funktionen nach Regionen (stated).

Geographic footprint & redundancy (regions/AZ/DCs in EU/DE)

GA: 1 ESC Region in Brandenburg (DE); weitere EU-Standorte/Expansion angekuendigt (stated).

Audit reports / evidence pack

SOC 2 Typ 1 + BSI C5 Typ 1 + 7 ISO-Zertifizierungen (27001, 27017, 27018, 27701, 22301, 20000-1, 9001) – ESC-spezifisch für 69 Services; Reports über AWS Artifact zugänglich (Self-Service-Portal).

Policy enforcement (guardrails)

AWS SCPs, Organizations, Control Tower, Config Rules. Starke Policy-as-Code (CloudFormation Guard, OPA). ESC übernimmt AWS-Guardrails.

Default deny / secure by default

AWS-Standardsicherheit (S3 Block Public Access, VPC defaults, Security Groups deny-by-default). Nitro System.

Independent verification (continuous)

AWS Config, CloudTrail, Security Hub, GuardDuty. Kontinuierliches Monitoring. SOC 2/C5 als periodische Verifikation.

Blackbox exposure (ops/control plane)

Nitro System (kein Operator-Zugriff auf Hardware). Aber: ESC Control-Plane-Transparenz begrenzt. EU-Operator-Modell.

Operator access exclusion (workload scope)

ESC Compute basiert auf AWS Nitro; Nitro reduziert Operator-Zugriff (z.B. kein Zugriff auf Kunden-Instanzen/OS) und wird als Basis für Confidential Computing (z.B. Nitro Enclaves) genutzt. Scope bleibt workload-/service-spezifisch; Verfügbarkeit je Service/Instance/Region prüfen.

IaC & automation (Terraform/OpenTofu, SDKs, APIs)

Sehr stark: AWS APIs/SDKs + CloudFormation/CDK + Terraform-Ökosystem. (ESC: Tooling-Kompatibilität im Projekt prüfen, v.a. Partition/Endpoints).

Everyday SDLC/DevOps (CI/CD, registry, secrets, K8s)

Stark: breite DevTools (z.B. CI/CD, Registries, Deployments), Managed Container/K8s und Security Services. Für ESC: Service-Verfügbarkeit je Region prüfen.

Observability (logs/metrics/traces, alerting)

Sehr stark: CloudWatch/X-Ray u.a. (ESC: Service-Verfügbarkeit je Region prüfen).

Limits/quotas (transparency & increase)

Service Quotas je Service/Region verfügbar, Quota Increase Prozesse etabliert (ESC: Partition/Region beachten).

Reference architectures / landing zones

Sehr stark: Well-Architected, Landing Zone/Control Tower Patterns, Landing Zone Accelerator (IaC).

Energieeffizienz / PUE & Zielwerte

Publiziert PUE/WUE für AWS-Regionen; 2024 global PUE 1.15, bestes EU-Site PUE 1.04; global WUE 0.15. (Quelle: AWS Sustainability)

CO₂-/Wasser-Reporting + erneuerbare Energiequellen

Erneuerbare Energie: 2024 100% Stromverbrauch von Amazon mit erneuerbaren Quellen gematcht; AWS publiziert Methodiken + Effizienz-/Wasser-KPIs. (Quelle: AWS Sustainability)

Service catalog (core/security)

Expand to load the service catalog …