Kriterienkatalog für Cloud Services Version 1 vom 1. Februar 2016, S.8, letzter Absatz:

Der Trusted Cloud-Kriterienkatalog wurde darauf ausgelegt, dass er in einer rechtsverbindlichen Selbstauskunft durch den Cloud Service-Anbieter ausgefüllt wird. Durch Angabe von Zertifikaten und Gütesiegeln kann der Anbieter einzelne Angaben nachweisen. Die Prüfung erfolgt durch die Trusted Cloud-Trägerorganisation durch Plausibilisierung der Anbieter-Angaben. Es wird derzeit kein zusätzliches Audit des  Anbieters durchgeführt.

Wenn auch die Produkte der Anbieter nicht (technisch) überprüft werden, so soll die Selbstauskunft rechtsverbindlich sein.