Sovereignty Is Not a Destination – It’s an Operating Capability

Fragen Sie fünf Führungskräfte, was digitale Souveränität bedeutet, und Sie erhalten fünf verschiedene Antworten. Für die einen ist es eine politische Debatte, für andere ein Verkaufsgespräch. Die meisten fühlen sich überfordert.

In dieser Folge von STRIVE habe ich mich mit Dirk Deridder, CTO bei Smals, dem belgischen IKT-Dienstleister für den öffentlichen Sektor, und Mark Molyneux, CTO für Nordeuropa bei Commvault, unterhalten. Wir sind zu einer gemeinsamen Erkenntnis gelangt. Wie Mark es auf den Punkt brachte: Souveränität ist kein Ziel. Sie ist eine operative Fähigkeit. Diegesamte Folgean.

Die wichtigsten Erkenntnisse

• Souveränität ist nicht das Endziel. Resilienz und Autonomie sind es.
• Die größte Herausforderung bei der Recovery ist der Wiederaufbau eines gesamten Ökosystems – Daten, Zertifikate, Schlüssel und Vertrauensbeziehungen –, nicht die Wiederherstellung einer einzelnen Anwendung.
• Achten Sie auf Portabilität, nicht auf Ideologie. Wenn Sie eine Komponente innerhalb eines Tages austauschen können, ist Ihr Souveränitätsrisiko weitaus geringer.
• Nicht alles muss souverän sein. Ermitteln Sie die minimal realisierbare Souveränität Ihrer Organisation, indem Sie Ihre Abhängigkeiten abbilden und Ihre Dienste klassifizieren – das sollte helfen, das Problem einzugrenzen.
• Testen Sie Ihren Notausstieg, bevor Sie ihn brauchen.

Warum sich die Diskussion gewandelt hat

Dirk hat jahrzehntelang beobachtet, wie die IT zum Rückgrat kritischer Dienste wurde, und festgestellt, dass Abhängigkeiten nichts Neues sind. Die Diskussion darüber ist es jedoch. Vor 2025 drehten sich seine Gespräche um Datenschutz und Datenstandort. Seitdem taucht das Thema Souveränität überall auf.

Mark beobachtet dasselbe Muster. EU-weit gehört das Thema mittlerweile zu den drei wichtigsten Tagesordnungspunkten in seinen Kundengesprächen. Führungskräfte fragen nicht mehr nur, wo sich Daten befinden. Sie fragen, wer den Technologie-Stack kontrolliert, was passiert, wenn sich die Geschäftsbedingungen ändern, und wie abhängig sie von einer einzigen Rechtsordnung sind.

Resilienz ist das eigentliche Ziel

Dirk trifft eine klare Unterscheidung. Manche Entscheidungen zur Souveränität liegen bei den politischen Entscheidungsträgern. Als CIO oder CTO können Sie Ihr Land nicht souveräner machen. Sie können jedoch die digitale Autonomie Ihrer Organisation steuern: Sie können unabhängige Entscheidungen treffen und Ihre Roadmap umsetzen. Und Sie können Ihre Resilienz steuern, wenn Sie die Frage beantworten können: „Können wir den Betrieb aufrechterhalten, wenn eine Abhängigkeit ausfällt, egal aus welchem Grund?“

Dieser Ansatz gilt auch für private Organisationen. Kennen Sie Ihre Abhängigkeiten, aber machen Sie Resilienz zu Ihrem Ziel – ganz gleich, ob die Ursache einer Störung eine Naturkatastrophe, menschliches Versagen, ein Vertragsstreit oder etwas anderes ist.

Das schwierigste Problem ist das Ökosystem

Moderne Organisationen betreiben keine isolierten Systeme. Sie betreiben Systeme aus Systemen. Dirk nennt als Beispiel eine nationale E-Health-Plattform, die mit Apotheken, Krankenhäusern und Ärzten vernetzt ist. Recovery bedeutet mehr als nur die Wiederherstellung einer Datenbank. Es bedeutet, die gesamte Umgebung neu aufzubauen: Zertifikate, Endpunktidentifikation, Firewall-Regeln, Verschlüsselungsschlüssel und die Vertrauensbeziehungen entlang der gesamten Kette.

Mark fügte hinzu, dass Cyber-Resilienz die Sichtweise verändert. Ein in Sekunden gemessenes Wiederherstellungszeitziel (Recovery Time Objective, RTO) funktioniert bei einem ausgefallenen Server. Bei einem Cyberangriff benötigt man einedurchschnittliche Zeit bis zur vollständigen Wiederherstellung. Die Souveränität erfordert denselben Wandel.

Vorschau: Kann sich Ihr Unternehmen von einem katastrophalen Ausfall erholen?

In diesem Ausschnitt aus der STRIVE-Diskussion beschreibt Dirk zwei verschiedene Ausfallszenarien, die von einem katastrophalen Ausfall des gesamten Internets bis hin zu einem Single Point of Failure reichen, der durch etwas so Kleines wie eine unbekannte DNS-Abhängigkeit verursacht wird. In beiden Fällen fordert er Unternehmen auf, zu prüfen, ob sie widerstandsfähig genug sind, um im Falle eines solchen Szenarios alles – nicht nur Daten – wiederherzustellen. Außerdem rät er, dass die Erfassung von Abhängigkeiten der erste Schritt auf dem Weg zur Resilienz ist.

Portabilität messen

Dirk schlägt einen praktischen Test für Souveränität vor: Legen Sie ein Zeitziel für die Portabilität Ihrer kritischen Dienste fest. Wenn Sie eine Komponente oder einen Anbieter innerhalb eines Tages ohne Kosten austauschen können, haben Sie kein Souveränitätsproblem. Sie können einfach zu einer anderen Komponente oder einem anderen Anbieter wechseln.

Die meisten Unternehmen sind dazu nicht in der Lage. Die Ursache dafür ist nicht die technische Verschuldung, sondern die technische Trägheit. Migrationen können Monate dauern und Budgets aufzehren. Er sagt, dass das Identitäts- und Zugriffsmanagement einen der stärksten Sogeffekte erzeugt – fangen Sie also dort an.

Jede Entscheidung hat ihren Preis

Mehr Kontrolle geht zu Lasten der Funktionalität, des Supports und der Kosten. Bei der Ausfallsicherheit verhält es sich genauso. Hohe Verfügbarkeit kann bedeuten, dass Sie sechs Server statt nur eines benötigen. Jede zusätzliche Kopie Ihrer Daten – ob live, als Backup, in einem Air-Gap oder in einer „Datenbotschaft“ – verursacht zusätzliche Kosten. Ihre Risikobereitschaft und Ihre Branche bestimmen das richtige Maß.

Mark betont: Das Ziel ist nicht maximale Souveränität. Es ist das richtige Maß für Ihre Risikobereitschaft.

Finden Sie Ihre Abhängigkeiten heraus und entscheiden Sie dann, was eigenständig sein muss

Dirks Rat lautet, einen risikobasierten Ansatz zu verfolgen. Kleine Elemente können große Ausfälle verursachen, und schon eine einzige DNS-Abhängigkeit kann Sie lahmlegen. Mark fügte hinzu, dass die Erfassung von Abhängigkeiten Ihnen den Filter liefert. Klassifizieren Sie Ihre Geschäftsdienste und die dahinterliegenden Daten. Nicht hundert Prozent Ihrer Infrastruktur müssen souverän sein. Wenn Sie kategorisieren, schrumpft die Herausforderung schnell.

Dies ist eine geschäftliche Aufgabe, nicht nur eine IT-Aufgabe. Fragen Sie das Geschäft, was kritisch ist, und Sie werden alles erfahren. Unterteilen Sie es in Kernprozesse, und es wird sich eine kurze Liste ergeben.

Anbieterverträge verschaffen Ihnen Kontrolle – Tests verschaffen Ihnen Handlungsspielraum

Ein solider Anbietervertrag ist wichtig. Dirk achtet auf klare Bedingungen, wie zum Beispiel eine Kündigungsfrist von 12 oder 24 Monaten, falls ein Anbieter einen Dienst einstellt. Ich fügte hinzu, dass Übergangsvereinbarungen genau festlegen, wie ein Wechsel abläuft. Damit ist ein Teil der rechtlichen Seite abgedeckt. Das löst jedoch nicht das Problem der Ausfallsicherheit, die eine anspruchsvolle operative Fähigkeit darstellt.

Testen Sie es also. Marks Rat lautet: Üben Sie Kontrolle aus, bevor Sie dazu gezwungen sind. Verschieben Sie regelmäßig Daten zwischen Anbietern. Tun Sie dies, wenn der zuständige Experte nicht im Büro ist. Schließlich wollen Sie Ihre Schwachstellen nicht erst um zwei Uhr morgens entdecken.

Wo man anfängt

Dirks Rat an eine Führungskraft, die am Anfang ihres Weges zur Selbstständigkeit steht:

• Fangen Sie ganz klein an. Definieren Sie Ihr „Minimum Viable Company“, indem Sie den Ausgangspunkt ermitteln, den Ihre Mitarbeiter benötigen, um ihre Arbeit zu erledigen.
• Definieren Sie Ihre kritischen Prozesse. Wenn eine Stunde Ausfallzeit Ihr Unternehmen in den Ruin treibt, ist der Prozess kritisch. Handelt es sich um einen Prozess wie die Gehaltsabrechnung, bei dem Sie während eines Systemausfalls auf Backups oder Ausweichlösungen zurückgreifen können, ist er nicht kritisch.
• Erstellen Sie eine Bestandsaufnahme Ihrer Abhängigkeiten. Betrachten Sie Ihren Technologie-Stack kritisch, nicht nur unter dem Gesichtspunkt der Souveränität oder der geografischen Lage, sondern auch unter dem Gesichtspunkt der Anbieter. Was wäre, wenn dieser Anbieter seinen Preis verdreifachen würde? Wäre ich dann in seiner Gewalt? Oder könnte ich sagen: „Nein, ich wechsle zu einem anderen Anbieter“?

Ich würde noch einen weiteren Test hinzufügen: Können Sie weiterhin Geld überweisen und Ihre Kunden bedienen? Solange der Geldfluss nicht ins Stocken gerät, sind Sie weiterhin betriebsfähig.

Warum dieses Gespräch wichtig ist

Das Thema Souveränität wird auf den Tagesordnungen der Vorstände weiter an Bedeutung gewinnen. Führungskräfte, die digitale Souveränität als Endziel betrachten, werden einem perfekten Zustand nachjagen, der nicht existiert. Führungskräfte, die sie als operative Fähigkeit betrachten, werden etwas Besseres aufbauen: die bewährte Fähigkeit, den Kurs zu ändern, sich reibungslos zu erholen und kritische Prozesse am Laufen zu halten. Das istResOps.

Dirk schließt mit dem besten Ratschlag der Sitzung: Bleiben Sie pragmatisch. Bereiten Sie sich auf das Schlimmste vor, das Sie realistisch einkalkulieren können, und betrachten Sie es als Übung.

Die gesamte Folge ansehen

In diesem Gespräch gehen wir folgenden Fragen nach:

• Warum Autonomie und Resilienz als Ziele wichtiger sind als Souveränität.
• Wie man ein Ökosystem aus Ökosystemen wiederaufbaut.
• Wie ein Zeitziel für Portabilität in der Praxis aussieht.
• Wie man Abhängigkeiten abbildet und das richtige Maß an Eigenständigkeit festlegt.
• Die drei ersten Schritte für Führungskräfte, die gerade erst anfangen.

Jetzt ansehen.Und ummehr über digitale Souveränität zu erfahren, haben wir ein Kompendium mit Ressourcen zusammengestellt, darunter einen Bericht zur Readiness, ein Webinar sowie mehrere Blogbeiträge und Podcasts.

FAQs

F: Ist digitale Souveränität dasselbe wie Resilienz?

A: Nein, aber es gibt Überschneidungen. Souveränität ist eine operative Fähigkeit innerhalb resilienter Abläufe. Sie kommt zum Tragen, wenn Sie Kontrolle ausüben müssen, beispielsweise bei der Verlagerung einer Arbeitslast oder beim Wechsel des Anbieters.

F: Was ist ein Portabilitäts-Zeitziel?

A: Das ist die Zeit, die benötigt wird, um eine kritische Komponente oder einen kritischen Dienst durch eine Alternative zu ersetzen. Je kürzer diese Zeit ist, desto geringer ist Ihr Risk in Bezug auf die digitale Souveränität.

F: Muss alles souverän sein?

A: Nein. Erfassen Sie Ihre Abhängigkeiten, klassifizieren Sie Dienste und Daten und wenden Sie je nach Ihrer Risikobereitschaft das richtige Maß an Kontrolle an.

F: Was ist Minimum Viable Sovereignty?

A:Minimale funktionsfähige Souveränitätbezeichnet die Mindestanforderungen, die eine Organisation erfüllen muss, um eine wirksame Kontrolle über ihre digitalen Vermögenswerte, Betriebsabläufe und Daten zu behalten – einschließlich der Frage, wie Daten zu behandeln sind, wo sie gehostet werden dürfen und welche Ausstiegspläne vorhanden sein müssen. Der Standort von Technologieplattformen und Infrastruktur spielt eine Rolle, aber der Standort allein reicht nicht aus.

F: Wo soll ich anfangen?

A: Beginnen Sie mit Ihrer Arbeitsumgebung: Definieren Sie Ihre kritischen Prozesse und erstellen Sie eine Bestandsaufnahme Ihrer Technologie- und Lieferantenabhängigkeiten.

Ruben Rendersist Solution Director, MSP, bei Commvault.