Digitale PLM/ALM-Souveränität zum Selbstzweck? Besonders schlau finde ich das nicht. Nicht weil ich intrinsische Beweggründe nicht gut fände — im Gegenteil. Aber ich sehe die Gefahr, dass man sich dann doch eher blenden lässt, und vermeintlich souveräne Lösungen am Ende nicht das sind, was sie vorgeben zu sein: Sovereign-Washing.
In der Informationssicherheit spricht man oft von Schutzzielen. Die wichtigsten davon sind Confidentiality (Vertraulichkeit), Integrity (Integrität) und Availability (Verfügbarkeit) — kurz: die CIA-Triade.
Die Schutzziele an sich sind nichts Neues. Aber sie eignen sich auch im Kontext digitaler Souveränität dazu, den Souveränitätsgrad einer IT-Lösung zu spezifizieren oder zu bewerten.
Vertraulichkeit
Wie wichtig ist es dem Unternehmen, dass Unternehmensdaten und Intellectual Property wirklich vertraulich bleiben? Wie stark müssen diese Daten gegenüber einem eventuellen staatlich organisierten Abfluss in Drittstaaten gesichert sein?
Integrität
Wie stark müssen die Daten gegen unbemerkte Manipulation oder Sabotage geschützt sein?
Verfügbarkeit
Wie sicher ist die durchgehende Verfügbarkeit der PLM-Lösung und der darin enthaltenen Daten? Oder könnten in der gewählten PLM/ALM-Lösung Daten und Geschäftsprozesse aus geopolitischen Gründen gefährdet sein?
In einem früheren Beitrag dieser Serie habe ich bereits die Position vertreten, dass es absolute Souveränität in einer arbeitsteiligen Welt nicht geben kann. Souveränität ist kein Selbstzweck. Umso wichtiger ist es, sich klarzumachen, in welchem Maße Souveränität gewünscht ist — und ob sie durch organisatorische, architektonische oder technische Maßnahmen gewährleistet werden soll.
Die genannten Schutzziele lassen sich nämlich durchaus auf unterschiedlichen Wegen erreichen: architektonisch durch die Auswahl von Vendoren und Dienstleistern unter wohlgesonnener Jurisdiktion, organisatorisch durch geeignete Vertragsgestaltung, oder technisch durch Verschlüsselung und digitale Signaturen.
Wenn eine PLM-Architektur souverän sein soll, muss sie daher mindestens in diesen drei Dimensionen betrachtet werden, um entscheiden zu können, ob der Souveränitätsgrad zur eigenen Unternehmensstrategie passt.
Die CIA-Triade aus der Informationssicherheit liefert ein bewährtes Raster, um Souveränität konkret statt abstrakt zu bewerten: Vertraulichkeit, Integrität und Verfügbarkeit lassen sich architektonisch, organisatorisch oder technisch adressieren — aber nur, wenn man vorher weiß, welches Maß an Souveränität überhaupt gebraucht wird.