Digitale Souveränität wird zur Resilienzfrage für Vorstände

Kritische digitale Infrastruktur ist längst keine reine Aufgabe der IT-Abteilung mehr. Cloud-Plattformen, Rechenzentren, Telekommunikationsnetze und spezialisierte Technologieanbieter tragen den laufenden Betrieb vieler Organisationen. Fällt ein zentraler Anbieter aus, wird sein Zugang eingeschränkt oder wird er kompromittiert, kann das weit über einen gewöhnlichen IT-Ausfall hinausgehen.

Eine Capgemini-Befragung unter 1.300 Führungskräften großer Unternehmen und öffentlicher Einrichtungen in elf Ländern deutet deshalb auf einen Perspektivwechsel hin: Geopolitische Spannungen, Exportkontrollen und Cyberbedrohungen veranlassen Entscheider, bisher als selbstverständlich betrachtete Technologieabhängigkeiten genauer zu prüfen. 5

Von der IT-Abhängigkeit zum Risiko für die Geschäftskontinuität

Vorstände behandeln digitale Infrastruktur zunehmend ähnlich wie Energieversorgung und physische Lieferketten: mit klarer Governance, Notfallplanung und Investitionen in Widerstandsfähigkeit. Der Befund der Befragung lautet: Abhängigkeiten von kritischen Anbietern erhalten mehr Aufmerksamkeit auf Vorstandsebene. 5

Die entscheidende Frage ist dabei sehr konkret: Kann das Unternehmen weiterarbeiten, wenn ein unverzichtbarer Provider nicht mehr verfügbar ist?

Digitale Souveränität heißt: handlungsfähig bleiben

Digitale Souveränität wird häufig als Debatte über nationale oder regionale Technologie verstanden. Für Unternehmen ist eine praktischere Definition hilfreicher: die Fähigkeit, bei Daten, Betrieb, Technik und rechtlichen Rahmenbedingungen Wahlmöglichkeiten, Kontrolle und Governance auszuüben – und zugleich globale Technologiepartner nutzen zu können. 8

Im Alltag geht es damit vor allem um Austauschbarkeit und Handlungsoptionen:

• kritische Workloads bei Bedarf verlagern zu können;
• Architekturen zu vermeiden, die einen Umzug technisch oder wirtschaftlich nahezu unmöglich machen;
• zu wissen, wer Zugriff auf Daten und Systeme kontrolliert;
• Dienste in einer anderen Umgebung wiederherstellen oder neu bereitstellen zu können.

Capgemini fasst diesen Ansatz als „Souveränität by Design“ zusammen: Portabilität, Wahlmöglichkeiten sowie die Fähigkeit, Lösungen zu wechseln oder einen Technologie-Stack nach einem Ausfall rasch neu aufzubauen. 37

Das ist kein Aufruf, jeden internationalen Anbieter zu ersetzen. Es geht darum, nicht in eine Lage zu geraten, in der es keine realistische Alternative gibt.

Welche Werte unter eigener Kontrolle bleiben sollen

Besonders kritisch sind Abhängigkeiten bei Vermögenswerten, die sich nur schwer wiederherstellen, neu erstellen oder übertragen lassen. Dazu zählen vertrauliche und unternehmenseigene Daten, KI-Modelle, geistiges Eigentum und geschäftskritische Workloads.

Kontrolle hat dabei mehrere Ebenen: Wo liegen Daten? Wer darf auf sie zugreifen? Wer betreibt die Umgebung? Welche Architektur und Infrastruktur werden verwendet? Und welchem Rechtsrahmen unterliegt das Ganze? 31 Ein Resilienzplan, der sich nur auf den Datenstandort konzentriert, kann operative oder technische Abhängigkeiten übersehen.

Airbus: Diversifizierung statt Abschottung

Airbus zeigt, wie sich Konzentrationsrisiken bei sensiblen Workloads senken lassen, ohne digitale Souveränität mit vollständiger Abkopplung zu verwechseln. Der Luft- und Raumfahrtkonzern schloss mit dem zu Iliad gehörenden Anbieter Scaleway eine mehrjährige Vereinbarung über Cloud-Infrastruktur für sensible Industrie- und Verteidigungsanwendungen. Unterstützt werden sollen auch KI-Werkzeuge des französischen Start-ups Mistral. Die Infrastruktur ist für kritische Anwendungen in Flugzeugentwicklung, Engineering, industrieller Produktion und Unternehmensfunktionen vorgesehen. 18

Airbus nennt in seiner Strategie unter anderem operative Kontinuität, Kontrolle über Datenzugriffe, die Verringerung von Anbieterbindung und technologische Handlungsfähigkeit. 24 Dahinter steht ein Diversifizierungsansatz: Systeme identifizieren, bei denen eine Abhängigkeit nicht akzeptable Risiken schafft, und für diese eine Alternative aufbauen, die technischen, sicherheitsbezogenen und rechtlichen Anforderungen genügt.

Ein Arbeitsprogramm für Vorstand und Geschäftsleitung

Statt einer allgemeinen Souveränitätserklärung braucht es ein überprüfbares Resilienzprogramm:

1. Kritische Abhängigkeiten erfassen. Anbieter, Dienste, Datenflüsse und Workloads identifizieren, deren Ausfall den Betrieb stoppen oder erheblich beeinträchtigen würde.
2. Schützenswerte Werte klassifizieren. Routinedienste von sensiblen Daten, geistigem Eigentum, KI-Assets und geschäftskritischen Prozessen unterscheiden.
3. Austauschbarkeit bewerten. Prüfen, ob jeder kritische Workload verlagert, wiederhergestellt oder neu aufgebaut werden kann – und unter welchen Bedingungen.
4. Glaubwürdige Ausstiegs- und Kontinuitätspläne entwickeln. Eine Vertragsklausel allein ist kein Ausstiegsplan; erforderlich sind technisch, operativ und rechtlich umsetzbare Vorkehrungen.
5. Den Ernstfall testen. Portabilität zählt nur, wenn Migration und Wiederanlauf innerhalb eines für das Geschäft vertretbaren Zeitraums tatsächlich funktionieren.

Die zentrale Erkenntnis: Digitale Souveränität entwickelt sich zu einer Fähigkeit für Krisenfestigkeit. Wer Kontrolle und belastbare Alternativen wahrt, ist besser auf Provider-Ausfälle, Cybervorfälle, rechtliche Einschränkungen und geopolitische Schocks vorbereitet. 58