PLM/ALM-Souveränität ist wichtiger denn je. Vermutlich stelle nicht nur ich mir die Frage, wie man sie eigentlich misst, wenn es um die Auswahl einer passenden IT-Lösung geht — denn bislang gab es keinen einheitlichen Maßstab. Das ändert sich gerade.
Im letzten Beitrag dieser Serie habe ich die CIA-Triade (Confidentiality, Integrity, Availability) aus der Informationssicherheit als Bewertungsrahmen ins Spiel gebracht — die sich auf einer abstrakten Ebene schon ziemlich gut für die Bewertung von Souveränität nutzen lässt.
Das EU Cloud Sovereignty Framework (CSF) geht in eine ähnliche Richtung — nur konkreter, und mit acht statt drei Dimensionen:
- SOV-1 – Strategische Souveränität
- SOV-2 – Recht und Gerichtsbarkeit
- SOV-3 – Daten- & AI-Souveränität
- SOV-4 – Operative Souveränität
- SOV-5 – Souveränität der Lieferkette
- SOV-6 – Technologische Souveränität
- SOV-7 – Souveränität von Security & Compliance
- SOV-8 – Ökologische Nachhaltigkeit
Jede Dimension wird dabei einzeln bewertet — mit einem von fünf SEAL-Levels, von SEAL-0 (keine Souveränität) bis SEAL-4 (vollständige digitale Souveränität). Aus diesen Einzelbewertungen ergibt sich dann der Sovereignty Score des Anbieters insgesamt.
In einem früheren Beitrag habe ich über Airbus und Digitalchefin Catherine Jestin geschrieben. Sie fordert von Regulatoren eine klare Aussage, wann ein Unternehmen wirklich immun gegen externen Zugriff ist. Das CSF könnte eine erste strukturierte Antwort auf genau diese Frage sein. Entstanden ist es zwar primär für Behördenausschreibungen, aber die Logik dahinter lässt sich auf privatwirtschaftliche Entscheidungen übertragen.
Grundsätzlich: Das geht in die richtige Richtung. Das CSF schafft eine gemeinsame Sprache, in welchen Dimensionen Souveränität überhaupt bewertet werden sollte. Die SEAL-Skala ermöglicht zumindest einen groben Vergleich zwischen Anbietern.
Was offen bleibt
Ein Sovereignty Score ist am Ende eine Zahl. Was akzeptabel ist und was nicht, entscheidet das Framework nicht. Das ist Aufgabe einer unternehmenseigenen Souveränitätsstrategie. Ohne die bleibt die Bewertung sinnfrei.
Und genau da liegt die eigentliche Arbeit: nicht einfach Anbieter vergleichen, sondern erst verstehen, warum und in welcher Tiefe Souveränität für das eigene Unternehmen überhaupt relevant und entscheidend ist. Souveränität ist kein Selbstzweck.
Das EU Cloud Sovereignty Framework liefert erstmals eine gemeinsame Sprache und eine grobe Vergleichsskala für Souveränität. Was es nicht liefert: die Antwort, wie viel Souveränität für das eigene Unternehmen überhaupt richtig ist. Diese Strategiearbeit bleibt Aufgabe des Unternehmens selbst.