Digitale Souveränität: Prozessdebatten oder tatsächliche Umsetzung?

Anfrage Stadtrats-Mitglieder Sabine Bär und Hans Hammer (Stadtratsfraktion der CSU mit FREIE WÄHLER) vom 14.4.2026
Digitale Souveränität: Prozessdebatten oder tatsächliche Umsetzung?
Antwort IT-Referentin Dr. Laura Dornheim:
Ihrer Anfrage haben Sie folgenden Sachverhalt vorausgeschickt:
ränität über Prozessbeschreibungen hinaus bereits wirksam ins Handeln gekommen ist.“
„Mit Beschlussvorlage Nr. 20-26/V 18562 (IT-Ausschuss als Werkausschuss für it@M vom 28.1.2026) führt das IT-Referat aus, dass digitale Souveränität ,hochaktuell‘ sei, dass eine Methodik entwickelt und als ,Souveränitätscheck‘ auf das Serviceportfolio angewandt worden sei und dass künftig offene Standards strenger eingefordert sowie die Methodik in relevante IT-Prozesse integriert werde. Gleichzeitig bleibt in der öffentlichen Darstellung häufig unklar, was über Methodik, Begriffsdefinitionen und Prozessbeschreibungen hinaus tatsächlich bereits konkret umgesetzt wurde. Mit Schreiben vom 5.12.2025 hat das IT-Referat zur ,Neuen Bewertung der digitalen Souveränität und der IT-Infrastruktur der LHM‘ Stellung genommen.
Dabei wird unter anderem ausgeführt, dass aus der NIS-2-Richtlinie ,explizit keine konkreten Anforderungen an die LHM‘¹ im Hinblick auf digitale Souveränität resultierten.
Diese Einschätzung erscheint aus technischer, organisatorischer und auch formaler Sicht zumindest hinterfragungswürdig. Zwar ist digitale Souveränität nicht ausdrücklich als Ziel der NIS-2-Richtlinie benannt. Allerdings verweist die Europäische Kommission selbst in ihrem Dokument ,Cloud Sovereignty Framework‘ (SOV-7, Security & Compliance Sovereignty) vom Oktober 2025 explizit auf NIS-2 als wesentlichen Baustein. In der wissenschaftlichen Literatur heißt es hierzu wörtlich: ,The NIS2 Directive represents a significant step towards operationalizing digital sovereignty in EU cybersecurity policy².
NIS-2 handelt im Kern von Kontrolle über eigene Daten, Informationssysteme und Infrastrukturen. Diese Kontrolle ist jedoch die essenzielle Voraussetzung für das Ausüben von Souveränitätsrechten – sei es auf Ebene von Unternehmen, Kommunen oder des Staates insgesamt. Wer aufgrund von Sicherheitslücken die Kontrolle über seine Systeme verliert, kann nicht mehr souverän handeln. Sicherheit erzeugt Kontrolle, Kontrolle erzeugt Souveränität.
Ziel kann keine theoretische Grundsatzdebatte über vollständige Autarkie sein, die in einer global vernetzten IT-Welt nicht realistisch ist, sondern die Klärung, ob die Landeshauptstadt München beim Thema digitale Souve-
1
2
https://risi.muenchen.de/risi/dokument/v/9541906
https://link.springer.com/article/10.1007/s10207-025-01090-4
Zu Ihren im Einzelnen gestellten Fragen kann ich Ihnen Folgendes mitteilen:
Frage 1:
Wie begründet das IT-Referat die Aussage, aus der NIS-2-Richtlinie ergäben sich „explizit keine konkreten Anforderungen“ an die LHM im Kontext digitaler Souveränität, obwohl sowohl die Europäische Kommission als auch wissenschaftliche Veröffentlichungen einen solchen Zusammenhang herstellen?
In unserer Beantwortung haben wir uns auf „konkrete Anforderungen“ durch NIS-2 bezogen, die durch die Verwaltung umzusetzen und z.B. im Rahmen von Nachweispflichten zu belegen sind bzw. wären.
Antwort:
Dass sich durch NIS-2 keine konkreten Anforderungen für die Verwaltung ergeben, wird durch die aktuelle Gesetzeslage begründet. Diese stellt sich im Überblick wie folgt dar:
Das nationale NIS2-Umsetzungsgesetz („Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“) überführt die in der NIS2-Richtlinie hinterlegten EU-Standards im Bereich Cybersecurity in deutsche Gesetzgebung und ist seit Dezember 2025 in Kraft getreten. Auf Landesebene wird es durch das Ende März 2026 aktualisierte Bayerische Digitalgesetz (BayDiG) ausgeprägt. In diesem Landesgesetz wird festgelegt, dass NIS-2 Anforderungen in Bayern nur für „Einrichtungen mit Bedeutung für den Binnenmarkt“ (EBB) einschlägig sind. Die Verwaltung der Landeshauptstadt München zählt als Kommune zu den „Einrichtungen der öffentlichen Verwaltung auf lokaler Ebene“ und ist somit aus rechtlicher Sicht von den Anforderungen aus NIS-2 nicht betroffen.
Somit sind auf NIS-2 basierende gesetzliche Anforderungen im Bereich der Cybersecurity auch im Kontext der digitalen Souveränität für die LHM nicht einschlägig. Unabhängig davon gewährleistet das bei der LHM etablierte stadtweite Informationssicherheitsmanagement ein angemessenes Informationssicherheitsniveau für die Verwaltung und leistet auf diese Weise einen wichtigen Beitrag zur digitalen Souveränität Münchens – im Sinne der Definition in der o.g. Beschlussvorlage.
Frage 2:
Inwieweit wurde das „Cloud Sovereignty Framework“³ der Europäischen Kommission bei der Entwicklung des städtischen Bewertungsschemas berücksichtigt, und warum wurde nicht auf dieses europäisch abgestimmte Schema zurückgegriffen, sondern ein eigenes Modell entwickelt?
Das „Cloud Sovereignty Framework“ adressiert die Themen Strategic Sovereignty, Legal & Jurisdictional Sovereignty, Data & AI Sovereignty, Operational Sovereignty, Supply Chain Sovereignty, Technology Sovereignty, Technology Sovereignty, Security & Compliance Sovereignty und Environmental Sovereignty. Das IT-Referat hatte durch den Stadtratsantrag den Auftrag erhalten, die Software auf Digitale Souveränität zu prüfen. Software-Fragestellungen werden im EU Framework nur im Kontext Technology und Supply Chain Sovereignty behandelt.
Weiterhin arbeitet das EU-Frameworks mit offenen Fragen im Rahmen der Erhebung, die nicht für eine standardisierte Auswertung geeignet sind. Aufgrund der Größe des IT-Service-Portfolios der LHM ist eine standardisierte Auswertung der Fragen für die Erhebung der Digitalen Souveränität jedoch erforderlich.
Antwort:
Frage 3:
Welche konkreten organisatorischen oder technischen Maßnahmen wurden seit Vorstellung der Methodik tatsächlich umgesetzt, um identifizierte Abhängigkeiten in kritischen Bereichen zu reduzieren? Bitte unter Nennung der betroffenen Systeme und des jeweiligen Umsetzungsstandes.
Das IT-Referat verfolgt die Sicherstellung der Digitalen Souveränität als Teil seiner Verantwortung für die digitale Daseinsfürsorge. So wurde zum Ende letzten Jahres die Observability-Software eines amerikanischen Herstellers erfolgreich auf ein Open Source Produkt umgestellt. Alternativen für die Servervirtualisierung eines amerikanischen Herstellers sind derzeit weitergehend in Untersuchung. Konkrete Namen von Produkten oder Herstellern sind nicht öffentlich.
Antwort:
Frage 4:
Das IT-Referat verweist auf „zusätzliche Sicherheitsgarantien“ (u.a. bei Webex/Cisco, ServiceNow, SAP) und Datenverarbeitung „ausschließlich in europäischen Rechenzentren“. Welche Garantien sind das konkret, welche technischen/vertraglichen Mechanismen sind vereinbart (z.B. Verschlüs- selung, Schlüsselmanagement, Audit-Rechte, Exit-Regeln), und wie wird deren Einhaltung überprüft?
Konkrete vertragliche Vereinbarungen mit Geschäftspartner sind nicht öffentlich. Zu den einzelnen angefragten Aspekten vertraglicher Regelungen im betroffenen Umfeld können wir mitteilen:
Antwort:
Verschlüsselung und Schlüsselmanagement: Sämtlicher Datenverkehr ist ausnahmslos verschlüsselt. Sofern Daten in Cloudlösungen betroffener Firmen gespeichert werden, erfolgt dies ausnahmslos in verschlüsselter Form. Das Schlüsselmanagement wurde in den betreffenden Fällen geprüft und entspricht den Anforderungen des Datenschutzes.
Vertragliche Regelungen und Audit-Rechte: In den betreffenden Fällen ist vertraglich geregelt, dass die Verarbeitung der Daten ausschließlich in Rechenzentrum innerhalb der EU erfolgt. Entsprechende Auditierungen haben stattgefunden und die Ergebnisse liegen uns vor. In einigen Fällen besteht zusätzlich ein Auditrecht durch die LHM.
Exit-Regeln: Das IT-Referat führt Cloud Lösungen – egal von welchem Hersteller – ausschließlich nach einer Betrachtung einer Exit-Regelung ein, die den Zugang zu den Daten der LHM im Falle eines kurzfristig notwendigen Ausstiegs aus den Verträgen sicherstellt. In allen Fällen, in denen Daten der LHM in Cloud Lösungen gespeichert werden, liegt daher eine Exit-Regelung und -Strategie vor.
Frage 5:
Ist das derzeitig verwendete Bewertungsschema öffentlich nachvollziehbar dokumentiert und wissenschaftlich referenziert? Falls nein, warum wird auf ein nicht transparent veröffentlichtes Schema zurückgegriffen, obwohl zahlreiche europäische und wissenschaftlich fundierte Arbeiten zur Operationalisierung digitaler Souveränität vorliegen?
Ja, es ist öffentlich nachvollziehbar dokumentiert auf den Internet-Seiten des IT-Referats
Antwort:
https://muenchen.digital/meldungen/2025/digitale-souver-aenitaet-messbar.html
Frage 6:
Wie hoch waren die Kosten für Entwicklung, Konkretisierung, Begleitung und Durchführung der Methodik (inkl. Personalaufwände, externe Leistungen, Gutachten, wissenschaftliche Begleitung, Workshops) für dieses beauftragte Bewertungsschema?
Das IT-Referat sieht die Sicherstellung der digitalen Souveränität als Teil seiner Verantwortung und Aufgabe. Das wachsende Interesse der Stadtgesellschaft und der Öffentlichkeit macht deutlich, wie wichtig diese Aufgabe ist, ist aber nicht ursächlich für die Tätigkeiten des IT-Referats in diesem Umfeld. Die Entwicklung der Methodik erfolgte, um in diesem Umfeld noch transparenter und effektiver vorgehen zu können. Die Entwicklung der Methodik erfolgte durch mehrere Mitarbeitende des IT-Referats und umfasste inklusive Abstimmung der Beschlusstexte ca. 100 Personentage. Es fielen keine externen Kosten an.
Antwort:
3
https://commission.europa.eu/document/download/09579818-64a6-4dd5-9577-446ab6219113_en?-filename=Cloud-Sovereignty-Framework.pdf

Fakten

• Die digitale Souveränität ist ein hochaktuelles Thema, das in Bayern bereits wirksam ins Handeln gekommen ist.
• Die Landeshauptstadt München hat ein städtisches Bewertungsschema für die digitale Souveränität entwickelt, das auf dem Cloud Sovereignty Framework der Europäischen Kommission basiert.
• Das IT-Referat der Stadt München hat eine Methodik entwickelt, um die digitale Souveränität in Bayern zu operationalisieren.
• Die Methodik wurde durch mehrere Mitarbeiter des IT-Referats und inklusive Abstimmung der Beschlusstexte ca. 100 Personentage entwickelt.
• Es fielen keine externen Kosten für die Entwicklung der Methodik.
• Das städtische Bewertungsschema ist öffentlich nachvollziehbar dokumentiert und wissenschaftlich referenziert.
• Die Kosten für die Entwicklung, Konkretisierung, Begleitung und Durchführung der Methodik sind nicht öffentlich bekannt.
• Die digitale Souveränität ist ein wichtiger Aspekt der digitalen Daseinsfürsorge in Bayern.
• Das IT-Referat sieht die Sicherstellung der digitalen Souveränität als Teil seiner Verantwortung und Aufgabe.
• Die Entwicklung der Methodik erfolgte, um in diesem Umfeld noch transparenter und effektiver vorzugehen zu können.