Cloud Sovereignty Framework – das sollten Sie wissen

Der „Sovereignty Score“ soll künftig Transparenz über den tatsächlichen Unabhängigkeitsgrad digitaler Dienstleistungen schaffen.GaudiLab | shutterstock.com



Chips aus Taiwan, Erdöl vom persischen Golf und Autos aus Deutschland – was lange als gesetzt galt, wird heute zunehmend in Frage gestellt. Wo sich Märkte und Knowhow auf wenige Anbieter konzentrieren, entstehen zwar enorme Skaleneffekte. Gleichzeitig wachsen jedoch auch die Abhängigkeiten.



Das geht oft mit Risiken einher, die erst dann sichtbar werden, wenn Lieferungen ausfallen, Preise steigen, sich die Nachfrage weiterentwickelt oder neue Regulationen anstehen.



Beispiel künstliche Intelligenz (KI): Daten des Forschungsinstituts Epoch AI zufolge, sind in den vergangenen zwanzig Jahren lediglich zwei nennenswerte KI-Modelle in Europa entstanden – gegenüber 59 in den USA und 35 in China.



Ganz ähnlich verhält sich das mit Cloud-Technologien. Ein Fakt, der heute auf den heimischen Markt zurückschlägt.



Das Cloud Sovereignty Framework der EU



Von Büroapplikationen über Speicher- und Rechenressourcen bis hin zu Software – was die Provider aus ihren Rechenzentren hoch skalierbar, maximal verfügbar und äußerst innovativ bereitstellen, kommt in den meisten Fällen nicht aus Europa.



Die Folgen veranschaulicht etwa der „Cloud Report 2026“ des Bitkom. Demnach:




halten 85 Prozent der Befragten Deutschland für zu abhängig von US-Anbietern.



sehen sich 64 Prozent der hiesigen Anwender aufgrund der Politik der US-Regierung gezwungen, die eigene IT-Strategie zu prüfen.




Andere Länder lassen bereits Taten sprechen: So hat die französische Regierung angekündigt, Windows auf Behördenrechnern durch Linux ersetzen zu wollen. Parallel dazu hat die französische Krankenkasse bereits 80.000 Mitarbeiter von Microsoft Teams, Zoom und Dropbox auf eigene Alternativen umgezogen.



Das ist jedoch kein französisches oder deutsches Thema – die Frage, wie digital abhängig Firmen, Staaten und Gesellschaften von einzelnen, großen Anbietern sind, stellt sich überall in Europa. Und nicht erst seit gestern.



Setzte Gaia-X noch auf gemeinsame Standards für souveränes Cloud Computing, verfolgt die Europäische Union nun einen pragmatischeren Ansatz: Mit dem im Oktober 2025 vorgestellten Cloud Sovereignty Framework (PDF) – kurz CSF – soll digitale Souveränität messbar werden.



Dazu setzt das CSF beispielsweise auf Initiativen wie Gaia-X sowie Regulierungen wie DORA und NIS2 auf. Das Ziel dabei ist, entsprechend konforme Anbieter in der öffentlichen Beschaffung zu bevorzugen, um Risiken zu reduzieren.



Dabei geht es um Fragen wie:




Sind Provider in der europäischen Rechtsordnung verankert?



Inwieweit betreiben sie KI-Modelle und Daten-Pipelines unter EU-Kontrolle?



Woher stammt die eingesetzte Hard-, Soft- und Firmware?




Von technischen über operative bis hin zu juristischen Aspekten evaluiert das CSF den Grad der digitalen Souveränität entlang von acht Zielkategorien über den sogenannten „Sovereignty Score“. Diese Kennzahl soll künftig auf einen Blick zeigen, wie digital unabhängig Anbieter und ihre Offerings wirklich sind.



Geht es nach dem Willen der EU, soll dieser Score künftig ausschlaggebend dafür sein, für welchen Cloud-Dienstleister sich Behörden und Ämter entscheiden. Anders ausgedrückt: Nur wer die Mindestanforderungen in Sachen Souveränität erfüllt, hat bei öffentlichen Vergabeverfahren künftig überhaupt Erfolgschancen.



Was den Souveränitäts-Score treibt



Mit Blick auf IT-Lieferketten bevorzugt das Cloud Sovereignty Framework die Anbieter, die ihre Landschaften transparent, resilient und so souverän betreiben, dass Systeme vor externen Einflüssen oder den Interessen Dritter geschützt sind.



Für die Praxis heißt das beispielsweise, dass Datenpfade nachvollziehbar und regional kontrollierbar sein müssen, um zu gewährleisten, dass sie sich innerhalb des EU-Rechtsregimes befinden. Man könnte auch sagen: Keine souveräne Cloud ohne Interconnection-Strategie.



Das ist die Stelle, an der Internetknoten ins Spiel kommen: Sie spielen eine Schlüsselrolle, wenn es darum geht, Bits und Bytes vor Ort zu verarbeiten. Denn wo immer sich Unternehmen, Netzwerke und Clouds über Internet Exchanges zusammenschließen, tauschen sie Informationen auf geografisch exakt definierbaren Pfaden aus.



Die EU macht Internetknoten zwar nicht explizit, aber implizit zum Kriterium für den „Sovereignty Score“: Das Cloud Sovereignty Framework der EU evaluiert Cloud Services entlang lieferkettenbezogener, rechtlicher, operativer und technologischer Ziele.



Dieser Gedanke findet sich auch in der NIS2-Richtlinie wieder, wenn es um dezentrale und resiliente Backbones geht. Genau das sind wechselseitig abgesicherte Interconnection-Plattformen. Wenn alle Partner ihre Komponenten, die sie für andere bereitstellen, mehrfach redundant auslegen, wird das Gesamtsystem für jeden nicht nur verlässlicher, sondern auch unabhängiger.



Ein Aufwand, der sich doppelt lohnt



Technische Fragen lassen sich meist einfach lösen, rechtliche eher nicht. Daher wird das CSF den europäischen Cloud-Markt wohl nicht über Nacht umkrempeln. Es kann jedoch die öffentliche Nachfrage gezielt lenken. Dadurch werden Hybrid-, Multicloud- und On-Premises-Ansätze wichtiger – die IT aber auch komplexer.



Dieser Mehraufwand lohnt sich allerdings in zweifacher Hinsicht:




Einerseits, um langfristige Lock-in-Kosten zu verringern,



andererseits auch, um das Risiko zu reduzieren, später einen deutlich höheren Preis zu zahlen.




Das muss Europa nun bewusst in Kauf nehmen und den eigenen Provider-Markt entsprechend ausrichten und stärken. Wenn laut Bitkom für 46 Prozent der Unternehmen der eigene Geschäftsbetrieb ohne Cloud nicht mehr funktioniert, dann heißt das auch: ohne Cloud keine funktionsfähige öffentliche Verwaltung. Und damit kein unabhängiger, souveräner und handlungsfähiger Staat. (fm)



Dieser Beitrag wurde im Rahmen des deutschsprachigen Experten-Netzwerks von Foundry veröffentlicht. Lust mitzumachen? Jetzt bewerben!