Datum:
Dieser Artikel wurde verfasst von
Partner, IT & Controls Assurance
Digitale Souveränität entwickelt sich zunehmend von einem strategischen Schlagwort zu einer mess- und prüfbaren Eigenschaft digitaler Services. Dabei geht es längst nicht mehr nur um die Frage, wo Daten gespeichert werden. Entscheidend sind vielmehr die Kontrolle über Daten und Technologien, Abhängigkeiten von Anbietern und Subdienstleistern, rechtliche und jurisdiktionelle Einflussmöglichkeiten sowie die Fähigkeit, digitale Leistungen auch bei Veränderungen des Markt-, Rechts- oder Anbieterumfelds selbstbestimmt weiter zu nutzen.
Mit dem Cloud Sovereignty Framework der Europäischen Kommission und den Criteria enabling Cloud Computing Autonomy (C3A) des Bundesamts für Sicherheit in der Informationstechnik (BSI) liegen inzwischen konkrete Kriterienmodelle vor. Damit entsteht zugleich eine Grundlage, Souveränität systematisch zu beurteilen und einer unabhängigen Assurance zuzuführen.
Das Cloud Sovereignty Framework der Europäischen Kommission operationalisiert Souveränität anhand von acht Zielbereichen, die unter anderem strategische, rechtliche und jurisdiktionelle, Daten- und KI-, operative, Lieferketten- und technologische Aspekte sowie Sicherheit und Nachhaltigkeit umfassen. Die Kommission hat die Kriterien 2026 erstmals auch praktisch zur Bewertung von Cloud-Anbietern eingesetzt.
Das BSI hat mit dem C3A im April 2026 einen Kriterienkatalog zur Beurteilung der Cloud Computing Autonomy veröffentlicht. C3A orientiert sich dabei an der Struktur des EU-Frameworks und ergänzt den Cloud Computing Compliance Criteria Catalogue (C5) des BSI. Während der BSI C5 insbesondere Anforderungen an die Sicherheit von Cloud-Diensten adressiert, fokussiert C3A auf die Fähigkeit zur selbstbestimmten Nutzung im jeweiligen Risikokontext.
Für die Prüfungspraxis ist diese Abgrenzung wesentlich: Informationssicherheit und Souveränität sind eng miteinander verbunden, aber nicht identisch. Ein sicherer Cloud-Dienst ist nicht automatisch ein souveräner Cloud-Dienst.
Die bestehenden Frameworks bilden eine wichtige Referenz, müssen für eine konkrete Prüfung jedoch nicht zwangsläufig unverändert übernommen werden. Souveränität ist risiko- und anwendungsfallbezogen.
Für einen besonders kritischen Geschäftsprozess können beispielsweise strengere Anforderungen an Datenlokalisierung, Verschlüsselung und Schlüsselkontrolle, Eigentums- und Kontrollstrukturen, Support und Betrieb, Subdienstleister oder die Exit-Fähigkeit gelten als für einen weniger kritischen Service.
Auch plattform- oder anbieterspezifische Kriterien können deshalb Bestandteil einer Prüfung sein. Entscheidend ist nicht allein, ob ein Cloud-Anbieter eine bestimmte Souveränitätsfunktion anbietet. Zu beurteilen ist vielmehr, ob diese im konkreten Einsatzszenario aktiviert, angemessen konfiguriert und wirksam betrieben wird.
Für die Prüfung kann sich daher ein dreistufiges Modell anbieten:
Damit wird aus dem abstrakten Begriff Souveränität ein klar definierter und prüfbarer Prüfungsgegenstand.
Für eine unabhängige Beurteilung bietet der Prüfungsstandard ISAE 3000 (Revised) den internationalen Rahmen für derartige Assurance-Aufträge.
Voraussetzung für eine Souveränitätsprüfung sind insbesondere:
Gerade bei individuell entwickelten Kriterien kommt deren Qualität eine besondere Bedeutung zu. Sie müssen so formuliert sein, dass eine objektive Beurteilung möglich ist. Ein pauschales Kriterium wie „Die Plattform ist souverän“ ist hierfür nicht ausreichend. Dagegen lassen sich konkrete Anforderungen an Datenzugriffe, Schlüsselkontrolle, Subdienstleister, Portabilität oder Exit-Fähigkeit gezielt prüfen.
Das Prüfungsvorgehen kann – abhängig vom Assurance-Level – unter anderem die Analyse von Verträgen und Governance-Dokumenten, die Beurteilung von Daten- und Systemarchitekturen, Interviews und Walkthroughs, die Analyse von Subdienstleistern und Abhängigkeiten sowie die Prüfung technischer und organisatorischer Kontrollen umfassen.
Dabei sollte die Betrachtung nicht am unmittelbaren Vertragspartner enden. Gerade bei Cloud- und Plattformleistungen können indirekte Abhängigkeiten entlang der gesamten Liefer- und Technologiekette für die Souveränität relevant sein.
Ein wesentlicher Mehrwert eines Souveränitäts-Frameworks liegt schließlich in seiner Fähigkeit, unterschiedliche regulatorische Anforderungen miteinander zu verknüpfen.
So können Kriterien zu Datenzugriff und Verschlüsselung beispielsweise zugleich für Datenschutz und Informationssicherheit relevant sein. Anforderungen an Portabilität und Exit-Fähigkeit können die operationelle Resilienz und das Drittparteienrisikomanagement unterstützen. Transparenz über Subdienstleister und Lieferketten kann wiederum für regulatorische Anforderungen an Auslagerungen und ICT-Drittdienstleister relevant sein.
Ein Souveränitäts-Framework kann damit als integrative Kontrollschicht dienen: Gemeinsame Risiken, Kontrollen und Nachweise werden regulatorikübergreifend identifiziert und nutzbar gemacht.
Dies gewinnt mit der zunehmenden Multi Regulatory Compliance an Bedeutung. Statt für jede regulatorische Anforderung separate Kontrollstrukturen aufzubauen, können Unternehmen gemeinsame Kontrollziele und Nachweise identifizieren und in einem integrierten Framework zusammenführen.
Fazit
Digitale Souveränität wird zunehmend konkret und prüfbar. Mit dem EU Cloud Sovereignty Framework und dem BSI C3A stehen belastbare Referenzmodelle zur Verfügung; gleichzeitig bleibt Raum für unternehmens-, risiko- und plattformspezifische Kriterien.
Für die Wirtschaftsprüfung eröffnet dies ein neues Assurance-Feld. Der entscheidende Schritt besteht darin, aus dem abstrakten Ziel der Souveränität geeignete Kriterien für einen klar abgegrenzten Prüfungsgegenstand abzuleiten und deren Erfüllung anhand ausreichender und geeigneter Nachweise zu beurteilen.
Ein Souveränitäts-Framework schafft Transparenz darüber, von welchen Technologien, Anbietern und Rechtsordnungen ein Unternehmen abhängig ist – und wo daraus Risiken entstehen. Gleichzeitig kann es dabei helfen, Anforderungen aus verschiedenen regulatorischen Bereichen zusammenzuführen und bestehende Kontrollen und Nachweise effizient zu nutzen.
Digitale Souveränität wird damit nicht nur zu einer strategischen Frage, sondern zu einem konkreten Bestandteil von Governance, Risikomanagement und Compliance – und damit auch zu einem prüfbaren Sachverhalt.