Lange Zeit galt digitale Souveränität in Sicherheitsteams als abstrakte rechtliche Vorgabe oder politisches Bekenntnis. Diese Zeiten sind vorbei. Durch strengere regulatorische Anforderungen, die unkontrollierte Verbreitung von KI und wachsende Risiken von Serviceunterbrechungen ist Souveränität zu einer zentralen Säule der IT-Resilienz geworden.
Für CISOs geht es weder darum, einem Anti-Cloud-Dogma zu folgen, noch darum, das Unternehmen vom Rest der Welt abzuschotten. Entscheidend ist, Abhängigkeiten zu kontrollieren, Compliance sicherzustellen und die Geschäftskontinuität zu gewährleisten.
Vier prioritäre Handlungsfelder helfen CISOs dabei, digitale Souveränität fest in ihrem Verantwortungsbereich zu verankern.
1. Regulatorische Compliance als Treiber (NIS2, DORA und DSGVO)
In der Praxis bleiben gesetzliche Vorgaben der wichtigste Auslöser für Projekte zur digitalen Souveränität. Der europäische Rechtsrahmen wurde erheblich verschärft und verlangt eine lückenlose Nachvollziehbarkeit:
-
Kontrolle über die „digitale Lieferkette“ (NIS2/DORA): CISOs müssen heute auch für die Sicherheit ihrer Dienstleister einstehen. Es geht nicht mehr nur darum, wo Daten gespeichert werden, sondern auch darum, wer die Systeme wartet und über Remote-Administrationsrechte verfügt. Ein technischer Support außerhalb der EU schafft unmittelbar ein Souveränitätsrisiko.
-
Grenzüberschreitende Datentransfers (DSGVO): Für die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums sind strenge rechtliche und technische Schutzmaßnahmen erforderlich. Bei Verstößen drohen potenziell hohe Sanktionen.
2. Operative Souveränität: Extraterritoriale Risiken neutralisieren
Was CISOs besonders umtreibt, ist weniger der physische Standort eines Servers als die Tatsache, dass Anbieter extraterritorialen Gesetzen unterliegen können, etwa dem US-amerikanischen CLOUD Act oder ausländischen Nachrichtendienstgesetzen.
-
Der Ansatz „souveräner Enklaven“: Sämtliche Systeme ins eigene Rechenzentrum zurückzuholen, ist weder finanziell noch operativ realistisch. Eine tragfähige Strategie setzt auf Segmentierung: 80 % der IT-Systeme verbleiben in der Public Cloud, um die geschäftliche Agilität zu erhalten. Die kritischsten 20 % werden hingegen in abgeschirmten Umgebungen wie einer souveränen Cloud oder einer On-Premises-Infrastruktur isoliert.
-
Einsatz anspruchsvoller Qualifizierungssysteme: Für hochkritische Daten bieten qualifizierte Lösungen, etwa SecNumCloud in Frankreich oder ENISA-Zertifizierungen auf europäischer Ebene einen wirksamen Schutz.
-
Verwaltung der Verschlüsselungsschlüssel: Souveränität setzt die alleinige Kontrolle über die Schlüssel voraus. Verschlüsselung bietet nur dann einen echten Mehrwert, wenn der Kunde die vollständige Kontrolle über das HSM (Hardware Security Module) behält und der Cloud-Anbieter keinerlei Zugriff darauf hat.
3. Disaster Recovery und Kontrolle des Vendor Lock-in
Digitale Souveränität bedeutet vor allem Wahlfreiheit. Wenn ein Softwareanbieter oder Hosting-Provider seine Preise einseitig ändert, Leistungen aufgrund geopolitischer Spannungen einschränkt oder von einem schwerwiegenden Ausfall betroffen ist, müssen die IT-Systeme weiter funktionieren können.
-
Reversibilität als Anforderung an den Disaster-Recovery-Plan: Die Möglichkeit, eine kritische Umgebung von Cloud A zu Cloud B zu migrieren, muss formalisiert und regelmäßig getestet werden. Ausstiegskosten (Egress Fees) und Abhängigkeiten von proprietären Komponenten sind bereits in der Architekturphase zu berücksichtigen.
-
Native Interoperabilität der Sicherheitstools: Eine Verteidigungskette aus geschlossenen Lösungen, die nicht miteinander kommunizieren, führt bei einem Sicherheitsvorfall zu kritischen Informationsverlusten. Interoperabilität stellt sicher, dass sich eine Komponente ersetzen lässt, ohne dass die Transparenz über die gesamte IT-Landschaft zusammenbricht.
-
Verschlüsselung und abgeschottete Backups: Der Disaster-Recovery-Plan erfordert physische und logische Sicherungskopien, die vollständig von der primären Produktionsinfrastruktur isoliert sind, um Ransomware-Angriffen standzuhalten.
4. Shadow AI und Shadow SaaS wirksam steuern
Die breite und informelle Nutzung generativer KI-Tools (LLMs) durch Fachabteilungen birgt ein unmittelbares Risiko für den Abfluss geistigen Eigentums.
-
Schutz des Datenvermögens: Wer Quellcode, Finanzdaten oder Verträge an ein im Ausland gehostetes öffentliches KI-Modell übermittelt, gibt damit die Souveränität über diese Werte aus der Hand.
-
Bereitstellung kontrollierter Alternativen: Um Innovation nicht zu blockieren, sollten CISOs souveräne KI-Enklaven bereitstellen — beispielsweise lokal oder in qualifizierten Private Clouds gehostete Open-Source-Modelle — und die Zugriffe auf die im Unternehmen eingesetzten SaaS-Anwendungen konsequent prüfen.
Fazit: Vom Dogma zur risikobasierten Steuerung
Für CISOs ist digitale Souveränität kein Hindernis für die digitale Transformation, sondern ihre Leitplanke. Indem die Sicherheitsverantwortlichen Abhängigkeiten erfassen, kritische Daten segmentieren und echte Interoperabilität zwischen den eingesetzten Tools einfordern, erfüllen sie nicht nur regulatorische Anforderungen: Sie sichern die langfristige Widerstandsfähigkeit und strategische Unabhängigkeit des Unternehmens.
