Digital Sovereignty

Benjamin Hilbricht und Oliver Voß schreibt in »C3A-Katalog: Die BSI-Kriterien für souveräne Clouds« für tagesspiegel.de Strategische Souveränität: Der Cloud-Anbieter muss EU- oder deutschem Recht unterliegen. Deutsche oder EU-Behörden müssen eine effektive Kontrolle vornehmen können. Wenn sich ein amerikanischer, chinesischer oder sonstiger Nicht-EU-Akteur in einen Cloud-Anbieter einkauft oder ihn übernimmt, muss das Unternehmen drei Monate im Voraus seine Kunden davor warnen. Rechtliche Souveränität: Einmal im Jahr muss der Cloud-Anbieter Nicht-EU-Gesetze identifizieren, die sich auf sein Geschäft auswirken, und eine Risikoanalyse vornehmen. Ein Beispiel wäre der US Cloud Act. Außerdem enthält der Abschnitt ein Kriterium für den Verteidigungsfall. Als souverän gelten Cloud-Anbieter, die Wissen, Fähigkeiten und Personal vorhalten, sodass der Staat die Cloud-Services im Verteidigungsfall selbst steuern kann. Datensouveränität: Dieser Punkt ist sehr umfangreich. Hier spezifizieren Kriterien, ob und wie viel Kontrolle die Kunden über die Metadaten und Daten haben und wo diese gespeichert werden. Es wird verlangt, dass der Cloud-Anbieter ein externes Management für kryptografische Schlüssel zulässt. Dadurch würde gewährleistet, dass er Kundendaten nicht selbst entschlüsseln kann. Auch die Möglichkeit, die Nutzeridentitäten außerhalb der Cloud zu managen, gilt als Muss. Betriebssouveränität: Auch dieser Punkt ist sehr umfangreich. Unter anderem finden sich hier die eingangs erwähnten Kriterien, dass die Rechenzentren 90 Tage lang ohne jegliche Verbindung zu Nicht-EU-Staaten laufen können müssen. „Wir müssen die Kabel zu den US-Backbones physisch rausziehen können und trotzdem muss ein Rechenzentrum in Europa betriebsfähig bleiben“, sagt BSI-Vize Caspers. Lieferketten: Hier müssen souveräne Unternehmen ihre Abhängigkeiten in Software, Hardware und Diensten inventarisieren und am besten einen dokumentierten Prozess für den Problemfall vorhalten. Technologische Souveränität: Hier verlangt das Bundesamt, dass es ein Backup des Quellcodes auf einem Speicher in der EU gibt. Der Code darf nicht älter sein als 24 Stunden und muss dokumentiert sein. Cloud-Anbieter, die in Deutschland tätig sein wollen, müssen für den Notfall eine Strategie vorhalten, wie sie ihre Dienste weiter liefern können. Zusätzlich können sie nachweisen, dass sie eigene Leute haben, die die Entwicklung und Wartung der Dienste übernehmen können, falls die Lieferung aus dem EU-Ausland abbricht. Der Artikel ist auch über das oben genannte Zitat hinaus interessant. Den C3A-Katalog kann man hier einsehen.

Tagesspiegel Background schreibt in »Digitale Souveränität: Schwarz Digits stellt Souveränitäts-Modell vor« Mit einem Reifegrad-Modell wird dabei die digitale Souveränität von IT-Services in vier Stufen bewertet: Basic, Initial, Advanced und Future-Proof. Innerhalb dieses „Sovereignty Maturity Level Framework“ gibt es einen Katalog mit mehr als 100 Kriterien. Dabei orientiert sich Schwarz am Cloud Sovereignty Framework der Europäischen Kommission. Beide haben acht beziehungsweise neun Souveränitätsdimensionen definiert: ...

Vier europäische Technologieunternehmen – Cubbit, SUSE, Elemento Cloud und StorPool – haben auf dem European Data Summit in Berlin ein nach eigenen Angaben europaweit erstes vollständig integriertes „Sovereign Disaster Recovery Pack“ vorgestellt. Im Mittelpunkt steht weniger eine einzelne neue Technologie als der strategische Ansatz. Erstmals wird ein kompletter, sofort einsatzbereiter europäischer Infrastruktur-Stack für einen klar definierten Anwendungsfall gebündelt angeboten: Disaster Recovery. Die Initiative verweist dabei ausdrücklich auf geopolitische Risiken, etwa mögliche „Kill-Switch“-Szenarien durch außereuropäische Anbieter. Gleichzeitig versteht sie Disaster Recovery als pragmatischen Einstieg in eine weitergehende Cloud-Souveränitätsstrategie im Sinne des EuroStack-Konzepts. Weitere Informationen enthält die offizielle Pressemeldung

Mike Linksvayer schreibt in »Digitale Souveränität: Europas digitale Zukunft entsteht nicht in Silos« für tagesspiegel.de Wenn wir lediglich die Marktführer von gestern mühsam nachbauen, wird uns das morgen keine nennenswerte Souveränität bringen. Europa kann bei der Innovation von morgen absolut führend sein. Aber es erfordert andere strategische Prioritäten. Eine offene, globale Zusammenarbeit ermöglicht es europäischen Talenten und Investoren, sich auf aufstrebende Bereiche zu konzentrieren, in denen das Feld noch völlig offen ist. Wir sollten das nächste Jahrzehnt nicht damit verbringen, eine grundlegende Infrastruktur zu duplizieren, die längst existiert und die durch einen völligen Neuaufbau unter keinem wirtschaftlichen Modell billiger wird. Jeder Euro und jede Entwicklerstunde, die in diese Duplizierung fließen, fehlen beim Aufbau der nächsten echten Innovationsstufe. ...

In der Pressemeldung »Bund stellt ZenDiS strategisch neu auf« des BMDS schreibt man: In dem Strategieprozess sollen konkrete Handlungsempfehlungen erarbeitet werden, die eine nachhaltige Skalierung des ZenDiS ermöglichen. Durch die weitere Etablierung des souveränen Arbeitsplatzes openDesk und die Stärkung der Plattform openCode soll das ZenDiS einen wesentlichen Beitrag zur digitalen Souveränität der öffentlichen Verwaltung leisten. Ziel ist es, das Open Source-Ökosystem nicht nur in Deutschland, sondern auch europaweit stärker zu aktivieren. ...