Seit vielen Jahren fordern Fachleute – so wie für jedes Unternehmen – auch für die EU eine Eigeneinschätzung ihrer Abhängigkeit von Lieferanten, insbesondere für digitale Dienste. Das Cloud Sovereignty Framework der EU-Kommission bewertet Cloud-Dienste mit fünf SEAL-Levels (SEAL-0 bis SEAL-4) und schafft damit eine Basis zur Beurteilung. Alle Prozesse sollen aus dieser Perspektive heraus betrachtet und bewertet werden.
Die acht Souveränitätsziele
Die EU bewertet Souveränität anhand dieser acht Ziele (und jeder von uns soll für sein Unternehmen darüber nachdenken):
- Strategische Souveränität – Eigentum, Kontrolle, Finanzierung, strategische Ausrichtung in EU
- Juristische Souveränität – Schutz vor Drittstaaten-Zugriff (z. B. US CLOUD Act), Bindung an EU-Recht
- Daten- und KI-Souveränität – Kontrolle über Daten/KI-Modelle beim Kunden; Speicherung/Verarbeitung nur in der EU (kein Backup im Ausland, kein Zugriff fremder Geheimdienste wg Wirtschaftsspionage)
- Operative Souveränität – Unabhängiger Betrieb/Wartung durch europäische Akteure
- Lieferketten-Souveränität – Transparenz der Hard-/Software-Herkunft und deren Entwicklungsstandorte
- Technologische Souveränität – Offenheit, Standardkonformität, Auditierbarkeit, Unabhängigkeit von proprietären Systemen
- Sicherheits- und Compliance-Souveränität – EU-zentrierte Sicherheitsüberwachung, DSGVO/NIS2/DORA-Einhaltung
- Ökologische Nachhaltigkeit – Energieeffizienz, Kreislaufwirtschaft, Umweltindikatoren
Die EU-Kommission will damit ihr Souveränitäts-Washing beenden – also ausländische Cloud-Anbieter daran hindern, ihre Dienste durch europäische Filialen, Rechenzentren vor Ort und Zwischenhändler als „vermeintlich unabhängig“ zu vermarkten. Das hat sie ja jahrelang erfolgreich zugelassen und zb mit dem ECDL Führerschein gefördert. Gleichzeitig soll jetzt die Widerstandsfähigkeit des öffentlichen Sektors gestärkt und europäische Alternativen gefördert werden.
Die fünf SEAL-Levels (Sovereignty Effective Assurance Levels)
Die EU versucht also, nach Jahren pragmatischer Globalisierung nun nachträglich digitale Souveränität zu definieren und politisch durchzusetzen. Formale Kriterien (Rechenzentrum in der EU, lokale Tochtergesellschaft) galten lange als ausreichend, obwohl die tatsächliche Kontrolle oft außerhalb Europas lag. US-Hyperscaler waren (und sind) technisch überlegen und wirtschaftlich attraktiv. Echter europäischer Aufbau bedeutet zunächst Mehrkosten, weniger Reife und möglicherweise geringere Innovationsgeschwindigkeit. Die EU will jetzt Substanz statt Konstruktion – lassen wir den Worten Taten folgen!
