Minimale funktionsfähige Souveränität: Warum nicht für jede Organisation dieselbe Herangehensweise die richtige ist

Die wichtigsten Erkenntnisse

• Bei der „Minimum Viable Sovereignty“ (MVS) geht es darum, für die jeweiligen Workloads das richtige Maß an Kontrolle anzuwenden.
• Die Gleichbehandlung aller Workloads kann zu unnötiger Komplexität und Kosten oder zu unzureichendem Schutz führen.
• Unternehmen lassen sich in der Regel in drei Souveränitätsprofile einteilen: „True Sovereign“, „Regulated Enterprise“ und „Hybrid Multi-Cloud“.
• Eine einheitliche Governance über gemischte Umgebungen hinweg ist eine der größten betrieblichen Herausforderungen.

Es gibt eine Variante der Debatte um digitale Souveränität, die Unternehmen an einen Punkt führt, der kostspielig und betrieblich belastend ist – und, wenn sie ehrlich sind, über das hinausgeht, was ihre tatsächlichen Verpflichtungen erfordern. Maximale Souveränität klingt verantwortungsbewusst. In der Praxis ist sie jedoch oft eine Fehleinschätzung.

Es gibt eine ebenso verbreitete Variante, die zu einer gefährlich oberflächlichen Lösung führt – Kontrollen, die zwar eine Checkliste abhaken, aber einer Prüfung, einem Vorfall oder einer Aufsichtsbehörde nicht standhalten würden, die dokumentierte Absichten nicht mehr als Nachweis für nachgewiesene Kontrolle akzeptiert.

Unternehmen, die Souveränität richtig umsetzen, verfolgen in der Regel einen strengeren und praktischeren Ansatz als beide Extreme: Sie fragen sich, was sie tatsächlich schulden, wem und wofür. Dann richten sie sich nach diesem Standard aus – nicht mehr und nicht weniger.

Dies ist die Disziplin von MVS, die im „Digital Sovereignty Readiness Report“ vorgestellt und hier ausführlich erläutert wird.

MVS ist keine Abkürzung. Es ist die Erkenntnis, dass das Ziel das richtige Maß an Kontrolle ist, das konsequent auf jede Arbeitslast angewendet wird, die dies erfordert.

Nicht alle Workloads sind gleich

Der Ausgangspunkt für einen MVS-Ansatz ist die Klassifizierung der Workloads – und die meisten Unternehmen überspringen diesen Schritt gänzlich.

Ein Handelssystem, das regulierte Finanzdaten verarbeitet, unterliegt grundlegend anderen Souveränitätsverpflichtungen als ein internes HR-Kollaborationstool. Eine Datenbank mit personenbezogenen Daten von EU-Bürgern unterliegt anderen rechtlichen und regulatorischen Rahmenbedingungen als eine Entwicklungsumgebung, in der anonymisierte Testdaten verarbeitet werden.

Wer all diese Fälle gleich behandelt – sei es durch die pauschale Anwendung maximaler Souveränitätskontrollen oder durch die Annahme, dass ein einziges Bereitstellungsmodell alles abdeckt –, führt dazu, dass Unternehmen am Ende entweder überdimensioniert oder unzureichend geschützt sind.

Die richtige Frage vor jeder Bereitstellungsentscheidung lautet: Was erfordert diese Workload in Bezug auf jede der vier Säulen der Souveränität? Der Readiness-Bericht enthält eine Selbsteinschätzung, die genau auf diese Frage ausgerichtet ist.

Die drei Profile – und was sie tatsächlich benötigen

Regulierte Unternehmen lassen sich in drei erkennbare Profile einteilen, die jeweils unterschiedliche Hauptantriebsfaktoren und Investitionsprioritäten aufweisen.

• Der wahre Souverän. Regierungsbehörden, Rüstungsunternehmen und Betreiber kritischer nationaler Infrastrukturen. Für diese Organisationen ist Souveränität keine Compliance-Anforderung – sie ist ein betriebliches Gebot. Maximale Kontrolle über jede Dimension des Technologie-Stacks ist oft gesetzlich vorgeschrieben, und die Kostenkompromisse werden in Kauf genommen, weil die Alternative nicht akzeptabel ist.
• Die regulierte Organisation. Finanzdienstleister, Organisationen im Gesundheitswesen, Energieunternehmen. Diese Organisationen sehen sich verbindlichen Anforderungen durch DORA, NIS2, DSGVO und branchenspezifische Rahmenwerke gegenüber. Compliance-Verpflichtungen können je nach Branche und Einsatzkontext auch mit EU-Zertifizierungssystemen – darunter EUCS, EUCC, BSI C5 und SecNumCloud – verknüpft sein.

In bestimmten Bereichen sind diese Anforderungen nicht verhandelbar – insbesondere in Bezug auf Datenresidenz, operative Zugriffskontrollen und Recovery innerhalb der Grenzen der jeweiligen Rechtsordnung. Doch nicht jede Arbeitslast unterliegt denselben Verpflichtungen.

• Das hybride Multi-Cloud-Unternehmen. Unternehmen mit bestehenden Investitionen in Hyperscaler, die zunehmendem Souveränitätsdruck durch Kunden, Regulierungsbehörden oder Beschaffungsanforderungen ausgesetzt sind. Ihre Herausforderung besteht nicht in einer vollständigen Migration – sondern darin, souveräne Kontrollen in eine gemischte Infrastruktur zu integrieren und dabei eine einheitliche Governance über die gesamte Infrastruktur hinweg aufrechtzuerhalten.

Die Kosten einer falschen Kalibrierung

Eine übertriebene Umsetzung von Souveränitätsmaßnahmen birgt eigene operative Risiken. Unternehmen, die maximale souveräne Kontrollmaßnahmen auf Workloads anwenden, die diese nicht erfordern, nehmen Kosten und Komplexität in Kauf, die weder regulatorischen noch geschäftlichen Zwecken dienen.

Eine zu geringe Umsetzung ist die häufigere und gefährlichere Fehlerquelle. Sie tritt in der Regel erst bei einem Audit zutage – oder, was noch schwerwiegender ist, erst wenn ein Vorfall eintritt und Recovery zu einem rechtlich bedingten Problem wird. (Diese Fehlerquelle ist Gegenstand des vierten Beitrags dieser Reihe.)

Ein praktischer Ansatz

Ein MVS-Ansatz umfasst drei Schritte:

1. Klassifizieren Sie Workloads anhand ihrer tatsächlichen Souveränitätsanforderungen in jeder Säule – beginnen Sie nicht mit Bereitstellungsmodellen.
2. Ordnen Sie jede Workload-Klasse der Bereitstellungsstufe zu, die diese Anforderungen erfüllt, und zwar über das gesamte Spektrum hinweg – von Regionen öffentlicher Hyperscaler über souveräne Public Clouds bis hin zu lokal verwalteten Umgebungen.
3. Steuern Sie die daraus resultierende gemischte Infrastruktur einheitlich – Kontrollen, Nachweise und Recovery-Fähigkeiten müssen in der gesamten Umgebung nachweisbar sein, nicht nur auf der Ebene mit der höchsten Souveränität.

Der dritte Schritt ist derjenige, an dem die meisten Programme scheitern. Die Aufrechterhaltung einheitlicher Souveränitätskontrollen in einer gemischten Infrastruktur stellt eine Herausforderung für die operative Governance dar – und fällt speziell in den Bereich der operativen Souveränität –, das Thema des dritten Beitrags dieser Reihe, der Säule, die in den meisten Strategien erst nachträglich berücksichtigt wird.

Nutzen Sie die Selbsteinschätzung im „Digital Sovereignty Readiness Report“, um Ihre aktuelle Situation in allen vier Säulen zu ermitteln.

FAQs

F: Was ist „Minimum Viable Sovereignty“ (MVS)?

A: MVS ist die Praxis, Souveränitätskontrollen auf der Grundlage tatsächlicher geschäftlicher und regulatorischer Anforderungen anzuwenden. Sie soll dazu beitragen, sowohl eine Überdimensionierung als auch einen unzureichenden Schutz zu vermeiden.

F: Warum ist die Klassifizierung von Workloads wichtig?

A: Verschiedene Workloads sind mit unterschiedlichen regulatorischen und betrieblichen Verpflichtungen verbunden. Die Klassifizierung von Workloads hilft Unternehmen dabei, das angemessene Maß an Souveränitätskontrollen anzuwenden.

F: Was sind die drei gängigen Souveränitätsprofile?

A: Die drei Profile sind vollständig souveräne Organisationen, regulierte Organisationen und hybride Multi-Cloud-Organisationen. Jedes davon hat spezifische betriebliche und Compliance-Anforderungen.

F: Welche Risiken ergeben sich aus einer übermäßigen Ausgestaltung der Souveränität?

A: Übermäßige Kontrollen können die betriebliche Komplexität und die Kosten erhöhen, ohne dass dadurch ein nennenswerter Compliance- oder geschäftlicher Nutzen erzielt wird.

F: Warum stellen gemischte Umgebungen Herausforderungen für die Governance dar?

A: Unternehmen nutzen häufig mehrere Cloud- und Infrastrukturmodelle. Es ist schwierig, über alle Umgebungen hinweg einheitliche Kontrollen, Nachweise und Standards für die Recovery aufrechtzuerhalten.

Ruben Renders ist Solutions Director, MSP, bei Commvault.