EU legt Maßstäbe für digitale Souveränität fest Was ist das Cloud Sovereignty Framework der EU?

Anbieter zum Thema

netfiles GmbH

STACKIT GmbH & Co. KG

Yorizon GmbH & Co. KG

Die EU hat verbindliche Kriterien zur digitalen Souveränität von Cloud-Diensten eingeführt. Das „Cloud Sovereignty Framework“ legt acht Souveränitätsziele fest, definiert Bewertungsstufen und schafft damit klare Anforderungen für Anbieter – mit spürbaren Folgen für Nutzer in Verwaltung und Wirtschaft.

Mit dem Cloud Sovereignty Framework will die EU sicherstellen, dass Cloud-Dienste ihre strategischen, rechtlichen, technologischen und operativen Grundlagen innerhalb Europas haben. Ziel ist es, digitale Abhängigkeiten von Drittstaaten zu reduzieren, rechtliche Kontrolle zurückzugewinnen und kritische Infrastrukturen zu schützen.

Das Framework fußt auf Vorarbeiten wie dem CIGREF Trusted Cloud Referential, der Gaia-X-Architektur, europäischen Zertifizierungsinitiativen (ENISA, NIS2, DORA) sowie nationalen Strategien wie dem französischen Cloud de Confiance oder der deutschen Souveränen Cloud.

Die acht Souveränitätsziele: Was die EU absichern will

Mit dem Cloud Sovereignty Framework verfolgt die EU das Ziel, digitale Abhängigkeiten systematisch zu reduzieren. Dabei wird nicht nur der Datenschutz unter die Lube genommen, sondern die gesamte digitale Wertschöpfungskette. Denn moderne Cloud-Dienste sind mehr als bloße Speicherlösungen: Sie sind kritische Infrastrukturen, durchzogen von KI-Funktionen, globalen Lieferketten und komplexen Rechtsverhältnissen.

Das Framework definiert acht zentrale Souveränitätsziele, die klar benennen, in welchen Bereichen ein Cloud-Dienst europäischer Kontrolle unterliegen muss, um als „souverän“ zu gelten. Diese Ziele decken ein breites Spektrum ab – von der strategischen und juristischen Verankerung in der EU über technologische Eigenständigkeit bis hin zur Nachhaltigkeit. Sie bilden die Grundlage für die Bewertung von Cloud-Angeboten innerhalb öffentlicher Ausschreibungen und setzen den Maßstab für digitale Resilienz.

Das sind die acht Souveränitätsziele (SOV-1 bis SOV-8):

• 1. Strategische Souveränität: Bindung an die EU hinsichtlich Eigentum, Kontrolle, Finanzierung und strategischer Ausrichtung.

• 2. Juristische Souveränität: Schutz vor Zugriff durch Drittstaaten (z. B. US CLOUD Act) und klare Bindung an europäisches Recht.

• 3. Daten- und KI-Souveränität: Kontrolle über Daten und KI-Modelle bleibt beim Kunden; Speicherung und Verarbeitung ausschließlich in der EU.

• 4. Betriebliche Souveränität: Fähigkeit europäischer Akteure, Cloud-Dienste unabhängig zu betreiben, zu warten und weiterzuentwickeln.

• 5. Lieferketten-Souveränität: Transparenz und EU-Kontrolle über Herkunft von Hard- und Software sowie deren Entwicklungsstandorte.

• 6. Technologische Souveränität: Offenheit, Standardkonformität, Auditierbarkeit und Unabhängigkeit von proprietären Systemen.

• 7. Sicherheits- und Compliance-Souveränität: EU-zentrierte Sicherheitsüberwachung, Einhaltung von Regularien wie NIS2 und DORA.

• 8. Ökologische Nachhaltigkeit: Energieeffizienz, Kreislaufwirtschaft und Transparenz bei Umweltindikatoren.

Wie die EU Cloud-Souveränität messbar macht: die SEAL-Level

Ein zentrales Instrument des EU Cloud Sovereignty Frameworks ist die Klassifikation der Souveränität von Cloud-Diensten durch sogenannte SEAL-Level (Sovereignty Effective Assurance Levels). Diese reichen von SEAL-0 bis SEAL-4 und geben an, inwieweit ein Cloud-Dienst rechtlich, technisch und operativ unter europäischer Kontrolle steht – oder eben nicht.

• Am unteren Ende der Skala steht SEAL-0. Es kennzeichnet Dienste, die vollständig außerhalb europäischer Hoheit betrieben werden, sowohl technologisch als auch juristisch. Hier gelten ausschließlich Rechtsordnungen von Nicht-EU-Staaten, etwa der USA oder China. Die Kontrolle über Daten, Infrastruktur und Servicebetrieb liegt damit vollständig in ausländischer Hand. Diesen Zustand lehnt die EU für sensible Anwendungen klar ab.

• Eine Stufe darüber liegt SEAL-1, das sogenannte Stadium der juristischen Souveränität. Zwar gilt hier formal das EU-Recht, etwa durch vertragliche Vereinbarungen oder Datenspeicherung in europäischen Rechenzentren. In der Praxis bleibt die Durchsetzbarkeit jedoch eingeschränkt, weil zentrale Betriebskomponenten oder Entscheidungsträger weiter außerhalb der EU ansässig sind, wie zum Beispiel Mutterkonzerne in den USA.

• SEAL-2 beschreibt den Zustand der Datensouveränität. Dienste mit dieser Einstufung unterliegen zwar europäischem Recht und dessen Durchsetzung, weisen aber weiterhin relevante Abhängigkeiten von Drittstaaten auf, etwa beim Einsatz proprietärer Software, bei Hardwarelieferketten oder beim Support durch nicht-europäische Teams. Zwar besteht ein höherer Schutz der Daten, doch verbleibt eine gewisse Einflussmöglichkeit Dritter.

• Ab SEAL-3, der Stufe der digitalen Resilienz, nimmt die Kontrolle durch europäische Akteure deutlich zu. Technologie und Betrieb unterliegen mehrheitlich EU-Recht und werden mit aktiver Beteiligung europäischer Unternehmen und Institutionen geführt. Zwar können noch einzelne Elemente außerhalb der EU angesiedelt sein, doch die Unabhängigkeit ist weitgehend gewährleistet. Dienste auf diesem Level bieten eine solide Grundlage für sensible Anwendungen mit erhöhtem Schutzbedarf.

• Den höchsten Standard markiert SEAL-4 – die volle digitale Souveränität. Cloud-Dienste mit dieser Einstufung stehen vollständig unter europäischer Kontrolle: von der Entwicklung über die Infrastruktur bis hin zur Datenverarbeitung. Es bestehen keine kritischen Abhängigkeiten mehr zu Drittländern und alle rechtlichen, technischen und operativen Prozesse unterliegen ausschließlich dem EU-Recht. Solche Angebote stuft die EU als ideal ein für Anwendungen mit höchsten Anforderungen an Compliance, Datenschutz und Resilienz.

Die SEAL-Level sollen es öffentlichen Auftraggebern, aber auch Unternehmen, ermöglichen, Angebote objektiv zu bewerten und regulatorische Anforderungen gezielt umzusetzen. Gleichzeitig will die EU damit Anbieter unter Zugzwang setzen, ihre Abhängigkeiten zu minimieren und Transparenz zu schaffen durch europäische Standorte, Open-Source-Technologien und nachvollziehbare Lieferketten.

Für jedes der oben genannten acht Souveränitätsziele legt die EU verbindlich fest, welches Mindestniveau an Souveränität – also welcher SEAL-Level – mindestens erreicht werden muss. Diese Mindestanforderungen werden in den jeweiligen Ausschreibungsunterlagen konkret genannt. Anbieter, deren Cloud-Dienst bei auch nur einem der Ziele unterhalb des geforderten SEAL-Levels liegt, gelten als nicht geeignet und sollen bereits im Vergabeverfahren ausgeschlossen werden. Es reicht also nicht, in einzelnen Bereichen zu glänzen, vielmehr ist eine durchgehend souveräne Gesamtarchitektur notwendig, die allen Vorgaben gerecht wird.

Diese Regelung stellt sicher, dass keine sicherheitskritischen Schwachstellen durch „Teil-Souveränität“ einzelner Komponenten entstehen und schafft klare, überprüfbare Standards für Anbieter wie für Prüfer.

Wie souverän ist ein Cloud-Angebot wirklich? Der „Sovereignty Score“ als Bewertungskriterium

Neben den Mindestanforderungen (SEAL-Level) für jedes einzelne Souveränitätsziel führt die EU mit dem Sovereignty Score ein ergänzendes Bewertungssystem ein. Es erlaubt, verschiedene Angebote miteinander zu vergleichen und ihre Gesamtsouveränität quantitativ zu bewerten, auch dann, wenn sie alle Mindestvorgaben formal erfüllen.

Der Sovereignty Score bewertet, wie souverän ein Cloud-Angebot in der Summe aller acht Zielbereiche tatsächlich ist. Dabei geht es nicht mehr nur um das Bestehen von Schwellenwerten, sondern um eine qualitative Differenzierung: Wie unabhängig ist das Angebot technisch, rechtlich, operativ und strategisch? Welche konkreten Zusicherungen und Belege kann ein Anbieter liefern?

So kann z. B. ein Anbieter in allen Kategorien SEAL-3 erreichen (und damit die Mindestvorgaben erfüllen), während ein anderer in mehreren Bereichen SEAL-4 nachweist, der dann auch einen höheren Sovereignty Score und somit einen besseren Platz im Ranking der Ausschreibung erhält.

Der Score basiert auf einem gewichteten Punktesystem. Für jedes der acht Souveränitätsziele wird auf Basis der Antworten und Nachweise des Anbieters im Ausschreibungsverfahren ein Teilscore ermittelt. Jeder Zielbereich wird dann mit einer spezifischen Gewichtung in die Gesamtbewertung einbezogen.

Die Gewichtung spiegelt die strategische Bedeutung des jeweiligen Ziels wider:

Lieferketten und strategische Kontrolle sind also besonders gewichtig, während ökologische Aspekte zwar berücksichtigt, aber geringer gewichtet werden.

Die Berechnungsformel: Der Sovereignty Score ergibt sich aus einer festgelegten Berechnungsformel, sodass die Teilbewertungen ein prozentuales Gesamtergebnis ergeben. Dieses fließt als eigenständiges Qualitätskriterium in die Ausschreibung ein, neben wirtschaftlichen Faktoren wie Preis oder Leistungsumfang. Je höher der Score, desto besser schneidet das Angebot in Bezug auf digitale Souveränität ab.

Für Anbieter bedeutet der Score einen Anreiz, über das Mindestmaß hinauszugehen. Denn nur wer in mehreren Bereichen eine nahezu vollständige Souveränität nachweist (SEAL-4), kann sich von seinen Mitbewerbern abheben. Für die Beschaffungsstellen wiederum soll der Score ein objektives Instrument schaffen, um auch unter den formal geeigneten Angeboten das strategisch beste auszuwählen.

Digitale Souveränität und Cloud-Strategien

Geopolitik treibt CIOs in die Arme lokaler Cloud-Anbieter

So profitieren Cloud-Nutzer vom Cloud Sovereignty Framework

Das Framework wird primär in Ausschreibungen öffentlicher Stellen genutzt. Anbieter müssen dort nachvollziehbar belegen, wie sie die Souveränitätsziele erfüllen. Dies soll verhindern, dass sensible Dienste an Anbieter vergeben werden, die z. B. dem US-Recht unterliegen.

Auch für privatwirtschaftliche Nutzer, insbesondere in regulierten Branchen, kann das Framework Orientierung bieten. Wer Wert auf rechtliche Sicherheit, Datenkontrolle und langfristige technologische Unabhängigkeit legt, kann die SEAL-Bewertung zur Anbieterwahl heranziehen.

Das Framework soll aber auch den Anpassungsdruck bei Cloud-Anbietern erhöhen: Anbieter, die ihre Services außerhalb der EU entwickeln, betreiben oder kontrollieren, müssen ihre Strukturen ändern – oder verlieren EU-Aufträge. Open-Source-Ansätze, europäische Rechenzentren und transparente Lieferketten gewinnen dadurch an Bedeutung.

(ID:50700652)