Meine eigene berufliche Laufbahn hat sich zwischen europäischen Vorschriften und amerikanischen Rechtssystemen abgespielt – lange genug, um zu erkennen, dass ich mich wohl in keinem der beiden Bereiche vollständig zu Hause fühlen werde. Diese Position zwischen zwei Welten hat meine Sichtweise hinsichtlich Souveränität geprägt, und dies insbesondere im Zusammenhang mit der Cloud. 

Wenn wir den Begriff „digitale Souveränität“ hören, neigen wir zu der Annahme, dass es bei ihm um Grenzen geht: Daten, die nur in einem bestimmten Land residieren, Regierungen, die die lokale Industrie schützen und nationale Unternehmen begünstigen. Diese Lesart hat durchaus ihre Berechtigung angesichts von Investitionen in lokale Marktführer, in europäische Innovation, in eine geringere Abhängigkeit von einer Handvoll Anbietern von kritischer Infrastruktur. Doch Souveränität hat wenig mit Patriotismus zu tun, und sie als bloße Fahnenschwenkerei abzutun, verkennt, worum es tatsächlich geht. 

Unsere Volkswirtschaften sind zu stark miteinander verflochten, als dass es um „lokal gegen global“ gehen könnte. Die eigentliche Frage ist, ob Unternehmen den Systemen, den Partnern und den rechtlichen Rahmenbedingungen vertrauen können, auf denen ihre Geschäftstätigkeit basiert. Bei der Cloud-Souveränität geht es für mich nicht darum, Mauern zu errichten. Es geht vielmehr darum, Vertrauen zu schaffen. Vertrauen darauf, dass Daten geschützt sind, dass kritische Dienste unterbrechungsfrei funktionieren und dass Unternehmen mit Rechtssicherheit hinsichtlich ihrer eigenen digitalen Vermögenswerte innovativ tätig sein können. 

Heutzutage fordern Unternehmen in ganz Europa Antworten auf grundlegende Fragen dazu, wer ihre Daten verwaltet und darauf zugreift und wie die Funktionsfähigkeit kritischer Dienste auch bei Störungen gewährleistet werden kann. Insbesondere in stark regulierten Branchen ist Souveränität nicht mehr lediglich ein Aspekt der Compliance. Sie ist zu einer strategischen Anforderung geworden. 

Souveränität betrifft nicht nur den Datenstandort  

Vor einem Jahrzehnt, als die Datenschutz-Grundverordnung (DSGVO) in Kraft trat, drehten sich die meisten Fragen von Unternehmen darum, wo ihre Daten aufbewahrt werden, wer für sie verantwortlich ist und wer sie verarbeitet. Mittlerweile lauten die Fragen differenzierter und konkreter: Wer hat Zugriff auf die Daten, wo befinden sich die operativen Teams, welche technischen und organisatorischen Maßnahmen liegen vor, welche Drittparteien sind beteiligt, was geschieht, wenn eine Regierung die Herausgabe von Assets verlangt, und kann der Dienst eine Krise unbeschadet überstehen? Das hat nichts mit Ängstlichkeit zu tun, sondern mit Sorgfalt. Der Standort spielt zwar nach wie vor eine Rolle, aber er ist nicht mehr der entscheidende Faktor. 

Drei Dimensionen der Souveränität  

Begriffe im Bereich der technologischen Souveränität werden häufig synonym verwendet – selbst Regulierungsbehörden sind sich über die Abgrenzung zwischen ihnen nicht vollständig einig. Für die Zwecke dieses Artikels halte ich es für sinnvoll, drei Dimensionen zu unterscheiden: 

  • Datensouveränität bezieht sich auf die Gewissheit, dass Daten gemäß den für das Unternehmen relevanten Gesetzen geschützt bleiben, wobei Transparenz darüber herrscht, wer wann darauf zugreifen darf. Hier sind typischerweise DSGVO-spezifische Fragen angesiedelt.
  • Operative Souveränität bezieht sich auf technische Unabhängigkeit und Autonomie bei der Geschäftskontinuität: die Gewissheit, dass kritische Dienste auch bei Störungen verfügbar bleiben. Für Finanzinstitute drückt sich dies in der Regel in der verbindlichen Vorgabe gemäß dem Digital Operational Resilience Act (DORA) aus.
  • Jurisdiktionelle Souveränität ist der Bereich, in dem die eigentliche Kluft zwischen Hosting und Kontrolle zutage tritt: Datenresidenz allein klärt nicht, welches Recht letztendlich den Zugriff regelt, insbesondere wenn die Unternehmensstruktur eines Anbieters mehrere Rechtssysteme umfasst.

Internationale Transfermechanismen dienen eigens dazu, diese Lücke zu schließen, haben sich jedoch im Laufe der Zeit als rechtlich anfechtbar erwiesen, wenn angemessene ergänzende Maßnahmen fehlen. Aus diesem Grund sind souveräne Bereitstellungsmodelle, die sowohl die Daten als auch die operative Kontrolle innerhalb eines einzigen Rechtsraums verankern und klare Verfahren dafür vorsehen, wie ein Unternehmen bei Anfragen von Strafverfolgungsbehörden vorgehen soll, zu einer eigenständigen und glaubwürdigen Lösung geworden. 

Warum ein Richtungswechsel in der Diskussion stattfindet 

Künstliche Intelligenz (KI) hat diesen Wandel noch beschleunigt. Kunden möchten heutzutage wissen, wie Daten in KI-Systemen genutzt werden, wie Modelle kontrolliert und ihre Zuverlässigkeit gewährleistet werden und inwieweit sich Unternehmen an das EU-Gesetz zur künstlichen Intelligenz halten – konkret: ob der jeweilige Anwendungsfall als Hochrisikoanwendung eingestuft wird und ob die genutzten KI-Komponenten von Anbietern bereitgestellt werden, die den Transparenz- und Bewertungsvorgaben des Gesetzes genügen. Der Fokus hat sich von der bloßen Compliance zu Rechenschaftspflicht, Transparenz und nachprüfbaren Nachweisen verlagert.

Dieser Wandel vollzieht sich allerdings nicht isoliert. Ein Bericht von Genesys in Zusammenarbeit mit AWS und PAC ergab, dass 88 % der europäischen Führungskräfte Innovation und digitale Souveränität als miteinander vereinbare strategische Prioritäten betrachten und nicht als konkurrierende Ziele. Die Diskussion dreht sich nicht mehr darum, ob Unternehmen Cloud und KI nutzen sollten. Es geht vielmehr darum, wie dies geschehen kann, ohne dass Kontrolle, Transparenz und Vertrauen beeinträchtigt werden. 

Souveränität muss nicht Isolation bedeuten 

Das vielleicht größte Missverständnis in Bezug auf Souveränität ist die Annahme, dass Unternehmen ausländische Technologieanbieter grundsätzlich ausschließen müssen. Ich bin da anderer Meinung. Bei Souveränität geht es nicht darum, bestimmte Unternehmen aufgrund ihres Standorts auszuschließen. Es geht vielmehr darum, ob Unternehmen ihre eigenen Anforderungen hinsichtlich Sicherheit, Datenschutz, Resilienz und Governance erfüllen können, und zwar unabhängig davon, wo ein Anbieter seine Dienste bereitstellt. 

Sicherheit bildet die Grundlage, und Rahmenwerke wie Frankreichs „SecNumCloud“ oder Deutschlands „C5“ legen für diese Ebene konkrete, überprüfbare Maßstäbe fest. Doch eine Sicherheitszertifizierung allein reicht nicht unbedingt zur Beantwortung aller rechtlichen, betrieblichen und souveränitätsbezogenen Fragen aus, die sich Unternehmen derzeit stellen. Je nach Rahmenwerk kann eine Zertifizierung wichtige Aspekte der Resilienz, der Governance und sogar rechtlicher Risiken abdecken. Dies räumt jedoch nicht automatisch alle Bedenken hinsichtlich unternehmensinterner Kontrolle, erzwungener Offenlegung oder der Geschäftskontinuität aus.

Ein Anbieter kann über solide Sicherheitsbescheinigungen verfügen und dennoch einer genaueren Prüfung seiner Kontrollstruktur oder seiner Unterauftragnehmerkette bedürfen, sofern rechtliche Risiken außerhalb der jeweiligen Rechtsordnung entstehen können, in der der Kunde seine Daten geschützt wissen möchte. Sicherheit bildet praktisch das Fundament für Souveränität, während der Rest des „Gebäudes“ – der Datenschutz, die Wahrung von Resilienz und die Schaffung eines sinnvollen Mehrwerts für Kunden – das ausmacht, worauf Unternehmen letztendlich hinarbeiten. 

Blick in die Zukunft 

Die Debatte um Souveränität in Europa wird mitunter als Wahl zwischen globaler Innovation und lokaler Kontrolle dargestellt. Doch auch diesbezüglich bin ich anderer Meinung. Die erfolgreichsten Unternehmen werden weiterhin grenzüberschreitend tätig sein, internationale Partnerschaften eingehen und die besten verfügbaren Technologien nutzen. Gleichzeitig werden sie auch strengere Garantien hinsichtlich der Einhaltung von Vorschriften in den Bereichen der künstlichen Intelligenz, des Datenschutzes, der Sicherheit, der Resilienz und der Governance erwarten. Und deshalb ist Cloud-Souveränität von so großer Bedeutung. Nicht, weil Unternehmen Isolation anstreben, sondern weil Vertrauen für sie unverzichtbar ist. Im wirtschaftlichen und geopolitischen Klima unserer Tage ist Vertrauen möglicherweise das wertvollste strategische Kapital, das Europa zu bieten hat.

Die vorhandenen Ansätze weisen zwar in die richtige Richtung, fassen jedoch zu kurz. Die EU-eigene Cybersicherheitszertifizierung für Cloud-Dienste, das EUCS, sollte ursprünglich Souveränitätsanforderungen für die sensibelsten Workloads abdecken, doch wurden diese Bestimmungen im Laufe der Verhandlungen erheblich abgeschwächt. Die Fragmentierung ist jedoch durchaus nicht auf mangelnde Bemühungen zurückzuführen, wie auch das Paket zur Stärkung der technologischen Souveränität Europas und andere vielversprechende Initiativen belegen, die bestehende Zweifel ausräumen könnten. Doch bis Regulatoren und Märkte vollständige Klarheit diesbezüglich haben, wird die Lücke weiterhin von der Industrie selbst gefüllt: durch Partnerschaften und souveränitätstaugliche Angebote, die der noch im Entstehen begriffenen Regulierung einen Schritt voraus sind, statt ihr zu folgen. 

Der Markt von morgen wird sich nicht auf ein einziges Modell festlegen. Nationale Marktführer, globale Hyperscaler und branchenspezifische Souveränitätslösungen werden wohl nebeneinander bestehen und jeweils eine eigene Antwort auf dieselbe Frage geben: Wessen Schutzmaßnahmen sind vertrauenswürdig, und nach welchem Recht gelten sie? Was fehlt, sind nicht noch mehr Modelle, sondern ein einheitlicher Rahmen, der ihnen zugrunde liegt, damit dieselben Schutzmaßnahmen unabhängig davon gelten, ob ein Anbieter in Frankfurt, in Nord-Virginia oder irgendwo dazwischen ansässig ist. Das ist die Herausforderung, vor der wir alle stehen, und das schließt Genesys ein. 

Dieser Artikel dient ausschließlich zu Informationszwecken und stellt keine Rechtsberatung dar. 

Mehr Innovation in den am stärksten regulierten Branchen Europas  

Wir freuen uns, die Verfügbarkeit der souveränen Genesys Cloud™-Region für Europa bekannt zu geben! Dies ist ein wichtiger Meilenstein für die Unterstützung von Unternehmen bei der Erfüllung von Souveränitätsanforderungen, ohne ihre Innovationskraft zu beeinträchtigen. Die Region basiert auf der AWS European Sovereign Cloud und wurde entwickelt, um Unternehmen mehr Kontrolle über Daten, Betriebsabläufe und Governance zu geben, ohne auf Kosten der Vorteile moderner Cloud-Technologie zu gehen.

Erfahren Sie hier mehr über die souveräne Genesys Cloud-Region für Europa.