Digitale Souveränität

Digitale Souveränität war lange eine strategische Überlegung. Inzwischen treiben sie drei Entwicklungen: die Regulierung, die Marktkonzentration und geopolitische Spannungen.

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Rund 29.500 Unternehmen in 18 Sektoren fallen darunter. Wer 250 Mitarbeitende oder 50 Millionen Euro Umsatz erreicht, gehört zu den besonders wichtigen Einrichtungen und muss Risikomanagement, Meldewege und Lieferkettensicherheit nachweisen. Wer seine Cloud-Infrastruktur unter diesem Gesichtspunkt bisher nicht betrachtet hat, arbeitet mit einer Lücke, die im Ernstfall auffällt.

Unabhängig von der Regulierung hat sich die wirtschaftliche Lage verschoben. Wer den Anbieter faktisch nicht wechseln kann, verhandelt nicht. Preisanpassungen, geänderte Lizenzbedingungen und neue Produktstrategien treffen ein Unternehmen dann ohne Ausweichmöglichkeit. Und die Frage, wer im Zweifel auf Unternehmensdaten zugreifen kann, wird in Ausschreibungen immer seltener als Vertrauensfrage gestellt und immer häufiger als Nachweisfrage.

Hinzu kommt die Drohung des US-Präsidenten, den Kill-Switch umzulegen und Länder, die ihm nicht folgen, von US-Infrastruktur abzuschneiden. Es gibt dokumentierte Fälle, in denen Nutzer den Zugang zu Diensten US-amerikanischer Anbieter verloren haben, weil politische Entscheidungen außerhalb der EU es verlangten. Ein Zugang, der von solchen Entscheidungen abhängt, ist kein technisches Detail, sondern ein Geschäftsrisiko.

Alles führt zur gleichen praktischen Konsequenz:
Souveränität wird dort real, wo ein Unternehmen

• seine Entscheidungen jederzeit ändern kann,
• Datenhoheit hat und
• unabhängig von Dritten handeln kann.

Damit ist digitale Souveränität nicht nur eine technische Frage, sondern eine Frage der Geschäftskontinuität. Wer nicht beurteilen kann, wer im Zweifel über den Betrieb oder Zugang zu den eigenen Systemen entscheidet, kann auch nicht beurteilen, wie lange sein Geschäft weiterläuft.

Für Geschäftsführungen heißt das: Die Wahl des Infrastrukturanbieters ist eine wesentliche Risikoentscheidung und sollte wie eine solche behandelt werden, also aktiv getroffen, begründet und dokumentiert. Wer die Auswahl nachvollziehbar begründet hat, kann im Ernstfall eine Abwägung vorweisen und nicht nur ein Versäumnis. Im Schadensfall wird geprüft, ob die Auswahl des Dienstleisters mit der erforderlichen Sorgfalt erfolgt ist. Wer sie nicht belegen kann, riskiert den Vorwurf des Auswahlverschuldens.