EU-Rahmenwerk zur Cloud-Souveränität

Das EU-Rahmenwerk zur Cloud-Souveränität (CSF) ist eine auf das öffentliche Beschaffungswesen ausgerichtete Methodik, die Cloud-Souveränität anhand strukturierter Kriterien und Sicherheitsstufen (SEAL) definiert und bewertet. Es bietet eine einheitliche Methode zur Bewertung, inwieweit Cloud-Dienste den Souveränitätszielen in rechtlicher, betrieblicher und technischer Hinsicht im Rahmen des öffentlichen Beschaffungswesens der EU entsprechen. 

Das Rahmenwerk setzt das Konzept der digitalen Souveränität in messbare Bewertungskriterien um. Es ermöglicht die Bewertung von Cloud-Diensten anhand der SEAL-Stufen, die deren Fähigkeit widerspiegeln, die EU-Anforderungen zu erfüllen und ein angemessenes Maß an Kontrolle und Compliance zu gewährleisten. Anstatt konkrete technische Kontrollmaßnahmen vorzuschreiben, unterstützt das Rahmenwerk die vergleichende Bewertung von Anbietern bei Beschaffungsentscheidungen. 

Die Cloud-Infrastruktur bildet die Grundlage für wesentliche Dienste, bei denen Störungen, Kontrollverlust oder externe Eingriffe nicht hinnehmbar sind. Öffentliche Einrichtungen und Betreiber kritischer Infrastrukturen benötigen die Gewissheit, dass Daten, Systeme und operative Entscheidungen weiterhin den geltenden rechtlichen und regulatorischen Rahmenbedingungen der EU unterliegen. 

Das CSF trägt diesem Bedarf Rechnung, indem es ein reproduzierbares Bewertungsmodell einführt, das Folgendes unterstützt: 

• Anpassung an die rechtlichen und regulatorischen Rahmenbedingungen der EU, einschließlich DSGVO, NIS2 und DORA  

• Geringeres Risiko im Zusammenhang mit extraterritorialem Zugriff und ausländischer Gerichtsbarkeit  

• Strukturierter Vergleich von Anbietern auf der Grundlage von Souveränitätsergebnissen  

• Mehr Transparenz bei der Beschaffung und der Lieferantenbewertung  

• Verbesserte Betriebsresilienz für geschäftskritische Systeme  

Dies spiegelt einen allgemeinen Wandel bei den Prioritäten bei der Einführung von Cloud-Lösungen wider. Über Skalierbarkeit und Kosteneffizienz hinaus müssen Unternehmen nun auch durchsetzbare Kontrollanforderungen, operative Ausfallsicherheit und die Übereinstimmung mit den Zielen der europäischen strategischen Autonomie berücksichtigen. 

Das Rahmenwerk unterstützt eine Vielzahl von Aufgabenbereichen in der öffentlichen Verwaltung und im Bereich kritischer Infrastrukturen und ermöglicht es Organisationen, Cloud-Implementierungen im Hinblick auf Souveränitätsanforderungen zu bewerten und dabei die operative Leistungsfähigkeit und Skalierbarkeit aufrechtzuerhalten. 

Öffentliche Verwaltung und Bürgerdienste 

Behördliche Plattformen, die die Bereiche Identitätsmanagement, Steuerwesen und Sozialleistungen abdecken, erfordern eine nachweisbare Kontrolle über die Zuständigkeit und den Zugriff. Das Rahmenwerk ermöglicht eine strukturierte Bewertung von Anbietern, die mit sensiblen Bürgerdaten umgehen, und gewährleistet gleichzeitig die Kontinuität der Dienstleistungen. 

Verteidigung und nationale Sicherheit 

Bei sensiblen Arbeitsabläufen muss gewährleistet sein, dass die operative Kontrolle keinen externen Einflüssen ausgesetzt ist. Das Rahmenwerk bietet eine Methode zur Bewertung der Unabhängigkeit in Bezug auf Infrastruktur, Personal und unterstützende Systeme innerhalb der vorgeschriebenen Beschaffungsgrenzen. 

Gesundheitswesen und Biowissenschaften 

Klinische Systeme und Forschungsumgebungen erfordern eine strenge Datenverwaltung und die Einhaltung gesetzlicher Vorschriften. Das Rahmenwerk unterstützt die Bewertung von Anbietern anhand von Souveränitätszielen, die mit dem Datenschutz und der betrieblichen Widerstandsfähigkeit verbunden sind. 

Finanzdienstleistungen und Marktinfrastruktur 

Beaufsichtigte Unternehmen müssen operative Widerstandsfähigkeit und die Kontrolle von Risiken durch Dritte nachweisen. Das Rahmenwerk steht im Einklang mit den Anforderungen gemäß DORA und den damit verbundenen aufsichtsrechtlichen Erwartungen. 

Energie, Versorgungswirtschaft und Verkehr 

Kritische Infrastruktursysteme sind auf eine kontinuierliche Verfügbarkeit und sichere Datenflüsse angewiesen. Das Rahmenwerk bewertet die Transparenz der Lieferkette und die operative Widerstandsfähigkeit innerhalb der Zuständigkeitsgrenzen der EU. 

Telekommunikation und kritische Kommunikation 

Nationale Kommunikationssysteme erfordern eine hohe Verfügbarkeit und strenge behördliche Kontrolle. Der Rahmen ermöglicht eine einheitliche Bewertung von Cloud-Anbietern anhand von Souveränitätskriterien. 

Das CSF definiert ein strukturiertes Modell zur Bewertung der Souveränität anhand von acht messbaren Zielen, die im Beschaffungs- und Bewertungskontext zum Einsatz kommen. Diese Ziele gehen über allgemeine Konzepte wie Datenlokalität oder Datenportabilität hinaus und bieten eine standardisierte Methode zur Bewertung der Souveränität in rechtlicher, betrieblicher und technischer Hinsicht. 

1. Die strategische Souveränität steht im Einklang mit dem rechtlichen, finanziellen und industriellen Ökosystem der EU, einschließlich der Governance-Strukturen und der langfristigen operativen Stabilität innerhalb der Union. 

2. Die rechtliche und gerichtliche Souveränität gewährleistet, dass Dienste im Rahmen des EU-Rechts betrieben werden und das Risiko von Rechtsansprüchen aus Nicht-EU-Ländern oder extraterritorialem Zugriff auf ein Minimum reduziert wird. 

3. KI Daten- und KI gewährleistet die Kontrolle über den Datenzugriff, die Verschlüsselung, den Verarbeitungsort und die Steuerung KI innerhalb des EU-Hoheitsgebiets. 

4. Die operative Souveränität gewährleistet, dass in der EU ansässige Einrichtungen ihre Dienste auch im Falle von Störungen kontinuierlich betreiben, aufrechterhalten und unterstützen können. 

5. Die Souveränität in der Lieferkette gewährleistet Transparenz, Integrität und geografische Kontrolle über Hardware, Software und Abhängigkeiten von Drittanbietern über den gesamten Lebenszyklus der Dienstleistung hinweg. 

6. Technologische Souveränität fördert den Einsatz offener Standards, transparenter Architekturen und interoperabler Systeme, um Abhängigkeitsrisiken zu verringern. 

7. Die Souveränität in den Bereichen Sicherheit und Compliance gewährleistet, dass Sicherheitsmaßnahmen, Überwachung und die Einhaltung gesetzlicher Vorschriften innerhalb von Umgebungen erfolgen, die der Kontrolle der EU unterliegen. 

8. Ökologische Nachhaltigkeit fördert die langfristige Widerstandsfähigkeit durch Energieeffizienz, Transparenz bei der Ressourcennutzung und nachhaltige Infrastrukturmaßnahmen. 

Das CSF definiert fünf SEAL-Stufen, die aufeinander aufbauende Grade der Souveränitätssicherung darstellen. Diese Stufen leiten sich aus der Bewertung aller Souveränitätsziele ab und spiegeln eine zunehmende operative Unabhängigkeit und rechtliche Kontrolle wider. 

1. SEAL 0 stellt keine nennenswerte Souveränität dar. Die Dienste werden in erster Linie außerhalb der Zuständigkeit der EU geregelt und kontrolliert. 

2. SEAL 1 spiegelt eine begrenzte Angleichung der Zuständigkeiten wider, bei der zwar EU-Recht gelten kann, die operative Kontrolle jedoch weitgehend außerhalb der EU verbleibt. 

3. SEAL 2 spiegelt eine teilweise durchsetzbare Datenhoheit wider, wobei weiterhin auf Abhängigkeiten außerhalb der EU zurückgegriffen wird. 

4. SEAL 3 steht für eine hohe digitale Widerstandsfähigkeit, wobei die Akteure der EU eine substanzielle operative und technische Kontrolle behalten. 

5. SEAL 4 steht für eine starke Angleichung der Souveränität, verbunden mit einer weitgehenden Kontrolle über Technologie, operative Abläufe und rechtliche Rahmenbedingungen innerhalb der EU-Strukturen. 

Die Entwicklung über diese Ebenen hinweg spiegelt zwei entscheidende Dimensionen der Souveränität wider. Die erste ist die rechtliche Befugnis, insbesondere die Frage, welche Gerichtsbarkeit den Zugang zu Daten oder Diensten erzwingen kann. Die zweite ist die operative und technische Kontrolle, einschließlich der Verantwortung für die Verschlüsselung, des administrativen Zugriffs und der Fähigkeit, unabhängig von externen Anbietern zu agieren. 

Souveränitätsindex 

Zusätzlich zu den SEAL-Stufen führt das Rahmenwerk einen Souveränitätswert ein, um eine vergleichende Bewertung zwischen Anbietern zu ermöglichen, die die Mindestanforderungen an die Souveränität erfüllen. 

Während die SEAL-Stufen die Sicherheitskategorien definieren, ermöglicht der Souveränitätswert eine detaillierte Differenzierung auf der Grundlage der Leistung bei den einzelnen Souveränitätszielen. 

Die Punktzahl wird anhand eines gewichteten Bewertungsmodells ermittelt, bei dem jedes Kriterium entsprechend seiner Risikobedeutung zur Gesamtbewertung beiträgt. Die Integrität der Lieferkette und die operative Souveränität werden aufgrund ihrer Auswirkungen auf die Kontinuität und Unabhängigkeit in der Regel stärker gewichtet. 

Dieses duale Modell erfüllt zwei Zwecke: 

1. Qualifikation: Stellt sicher, dass die Mindestanforderungen an die Souveränität erfüllt sind.  

2. Differenzierung: Bewertung der Anbieter anhand der Ausgereiftheit und Vollständigkeit ihrer Souveränitätsfähigkeiten.  

Dieser Ansatz ermöglicht es den Beschaffungsteams, nicht nur die Einhaltung der Souveränitätsanforderungen zu bewerten, sondern auch die Widerstandsfähigkeit und die Kontrollstärke unter realen Betriebsbedingungen. 

Unternehmen, die regionenübergreifend tätig sind, müssen sich an verschiedene hoheitliche und sicherheitspolitische Rahmenbedingungen anpassen, die unterschiedliche regulatorische Prioritäten und Durchsetzungsmodelle widerspiegeln. 

Zu den wichtigsten Rahmenwerken gehören: 

GAIA-X: eine föderierte Dateninfrastruktur mit Schwerpunkt auf Interoperabilität und europäischer Governance  

EUCS: EU-weites Zertifizierungsrahmenwerk für Cybersicherheit bei Cloud-Diensten  

NIS2-Richtlinie: Anforderungen an die Cybersicherheit und Widerstandsfähigkeit für kritische Einrichtungen 

DORA-Verordnung: Anforderungen an Finanzinstitute hinsichtlich IKT-Risiken und Widerstandsfähigkeit 

SecNumCloud: ein auf nationale Souveränität ausgerichtetes Zertifizierungsmodell in Frankreich  

C5: Deutsche Kriterien zur Gewährleistung der Cloud-Sicherheit auf Bundesebene  

FedRAMP: Rahmenwerk für die Sicherheitszulassung von Cloud-Diensten der US-Bundesbehörden  

Grundsätze zur Cloud-Sicherheit im Vereinigten Königreich: Regierungsrichtlinien für die sichere Einführung von Cloud-Lösungen  

Regionale Souveränitätspolitik: jurisdiktionsspezifische Anforderungen an den Datenaufbewahrungsort und die Datenkontrolle  

In diesem globalen Kontext fungiert das CSF als beschaffungsorientiertes Bewertungsmodell, das Kriterien der rechtlichen, betrieblichen und technischen Souveränität vereint. Es ermöglicht einen strukturierten Vergleich von Cloud-Anbietern auf der Grundlage von Kontrolle, Ausfallsicherheit und betrieblicher Unabhängigkeit unter realen Bedingungen. 

Die Cloud-Souveränität ist zu einer zentralen Anforderung für Organisationen des öffentlichen Sektors und Betreiber systemrelevanter Dienste geworden. Das Rahmenwerk bietet einen strukturierten Ansatz zur Bewertung der gerichtlichen Zuständigkeit, der Anfälligkeit gegenüber externen Risiken und der Betriebskontinuität bei Cloud-Diensten. 

In der Praxis ordnen Unternehmen Daten und kritische Systeme zu, um die Anforderungen an die Souveränität in rechtlicher, betrieblicher und technischer Hinsicht zu bewerten. Dies unterstützt eine strukturierte Bewertung von Kontrollmaßnahmen wie Datenstandort, Zugriffssteuerung und Verschlüsselungsmanagement. 

Durch die Ausrichtung an den CSF stärken Unternehmen ihre Souveränität und fördern damit die Einhaltung gesetzlicher Vorschriften, die operative Widerstandsfähigkeit sowie das langfristige Vertrauen in geschäftskritischen Umgebungen.