Wenn ich mit einem Südtiroler Unternehmer über digitale Souveränität spreche, ist die erste Reaktion fast immer dieselbe: ein höfliches Lächeln und der Satz „Das ist etwas für die Großen, wir sind ein KMU.“ Dann frage ich: „Wenn Ihr Anbieter für E-Mail und Cloud-Dokumente morgen den Dienst eine Woche lang einstellt, was passiert dann?“ Das Lächeln verschwindet.
Für ein kleines oder mittleres Unternehmen ist digitale Souveränität keine Geopolitik. Sie ist eine sehr konkrete Frage: Von wem hängt unser Unternehmen ab, und haben wir diese Abhängigkeit selbst gewählt?
Was tatsächlich beschlossen wurde (und was nicht)
Am 3. Juni 2026 hat die Europäische Kommission das Paket zur technologischen Souveränität (Tech Sovereignty Package) vorgelegt. Ich formuliere das genau, weil ich oft höre, es sei „schon in Kraft“: Das ist es nicht. Das Paket enthält zwei Gesetzgebungsvorschläge, den Cloud and AI Development Act (CADA) und den Chips Act 2.0, sowie zwei nicht legislative Initiativen, die Open-Source-Strategie und einen Fahrplan zur Digitalisierung und KI im Energiesektor. Laut dem Legislative Train des Europäischen Parlaments (Stand 20. September 2026) werden die Vorschläge noch von Parlament und Rat geprüft.
Das Herzstück für alle, die mit Cloud zu tun haben, ist der CADA. Laut der Analyse einer internationalen Kanzlei (Covington) geht die Kommission von zwei Feststellungen aus: dem Mangel an Rechenzentrumskapazität in Europa und der Abhängigkeit von wenigen außereuropäischen Cloud-Anbietern. In den Erläuterungen gibt die Kommission an, dass der Marktanteil von Anbietern mit Sitz in der EU von rund 29 % im Jahr 2017 auf rund 15 % im Jahr 2022 gesunken ist. Und die Open-Source-Strategie erinnert daran, dass die EU jedes Jahr rund 264 Milliarden Euro für proprietäre IT-Produkte und -Dienste aus den USA ausgibt.
Der CADA schlägt einen Rahmen für Cloud-Souveränität mit vier Vertrauensstufen der Union vor. Kurz gefasst:
Stufe 1 (das Minimum, verlangt von nahezu allen Cloud-Anbietern für den öffentlichen Sektor): Infrastruktur, Ressourcen und Kundendaten in der EU; Anbieter, die aus einem Drittstaat kontrolliert werden, müssen zusichern, nicht verpflichtet zu sein, noch nicht ausgenutzte Schwachstellen an Behörden dieses Staates zu melden.
Stufe 2: Personal, Infrastruktur und Ressourcen in der EU, europäische Cloud-Zertifizierung, Maßnahmen gegen den Zugriff von Drittstaaten auf Kundendaten und klare Trennung zwischen EU-Muttergesellschaft und Nicht-EU-Tochtergesellschaften.
Stufe 3: Anbieter im Eigentum und unter Kontrolle in der EU, mit sehr engen Ausnahmen. Stufe 4: die strengste, ohne Ausnahmen, mit Zertifizierung auf „hohem“ Niveau und tatsächlicher Kontrolle des Anbieters über die gesamte Software.
Wichtig: Diese Stufen würden zunächst für Anbieter gelten, die die öffentliche Verwaltung bedienen. Der Text sieht aber auch vor, dass „wesentliche“ Einrichtungen nach NIS2 ähnliche Bewertungen ihrer Cloud-Anbieter vornehmen können, und die Kommission könnte sie künftig für bestimmte Sektoren verbindlich machen.
Was bedeutet das für ein Südtiroler KMU? Heute keine unmittelbare Pflicht. Aber, und das betone ich bei meinen Kunden: Ihre größeren Kunden, jene, die unter NIS2 fallen, im Energie-, Gesundheits- oder Verkehrsbereich, werden Ihnen Fragen stellen: Wo liegen meine Daten, wenn ich sie Ihnen anvertraue? Wer kontrolliert den Anbieter, den Sie nutzen?
Meine Meinung: Souveränität heißt nicht „europäisch kaufen“
Hier muss ich etwas sagen, das manchem nicht gefallen wird. Europäisch heißt nicht automatisch sicher, und amerikanisch heißt nicht automatisch gefährlich. Souveränität ist eine Frage von Wahl und Kontrolle, nicht von Flaggen. Zwei Fälle zeigen es besser als jede Folie.
Juli 2024: CrowdStrike. Ein fehlerhaftes Update eines Sicherheitsanbieters brachte laut Schätzung von Microsoft rund 8,5 Millionen Windows-Geräte weltweit zum Absturz, weniger als 1 % aller Windows-Rechner. Unternehmen, Flughäfen und Krankenhäuser standen stundenlang still. Es gab keinen Angriff: Es gab die Abhängigkeit von einem einzigen Lieferanten, mit einem automatischen Update, das niemand stoppen konnte. Das Thema ist hier nicht die Nationalität des Anbieters: Es ist, was passiert, wenn ein einziges Glied der Kette bricht.
März 2021: OVHcloud, Straßburg. Ein Brand zerstörte das Rechenzentrum SBG2 eines der größten europäischen Cloud-Anbieter. Laut Fachpresse hatten einige Kunden auch für Backup bezahlt, aber die Kopien lagen im selben Gebäude wie die laufenden Server und gingen mit ihnen verloren. Ein französisches Handelsgericht verurteilte den Anbieter später zur Entschädigung zweier Kunden. Es war ein europäischer Anbieter, mit Daten in Europa, unter europäischem Recht. Und doch reichte für diese Kunden die Souveränität nicht: Es fehlte die Resilienz.
Souveränität ist die Folge eines geordneten Umgangs mit Abhängigkeiten. Nicht umgekehrt.
Was das bei uns heißt
In Südtirol besteht die Wirtschaft aus Familienbetrieben mit grenzüberschreitenden Lieferketten, zweisprachigen Märkten und Kunden in Deutschland, Österreich und der Schweiz. Das ist eine Stärke. Es bedeutet aber auch, dass die Frage „Von wem hängen wir ab?“ oft drei oder vier Ebenen hat: die Verwaltungssoftware eines italienischen Anbieters, die in der Cloud eines amerikanischen Providers läuft, betreut von einem externen IT-Betreuer, verbunden mit der Plattform eines deutschen Kunden.
Ich beschreibe eine typische Situation, keinen Kundenfall: Ein Fertigungsbetrieb nutzt eine Cloud-Verwaltungssoftware. Der Inhaber glaubt, die Daten lägen „in Italien“. In Wirklichkeit ist die Software italienisch, die Infrastruktur gehört einem großen Nicht-EU-Provider, die Betreuung kommt von einer externen Firma mit Fernzugriff, und die Backups liegen in derselben Umgebung wie die Daten. Wenn ich frage: „Was passiert, wenn Sie eine Woche lang nicht zugreifen können?“, kann niemand antworten. Nicht aus Nachlässigkeit: weil ihm die Frage noch nie verständlich gestellt wurde.
Meine Ratschläge: fünf Schritte, ohne etwas zu kaufen
Erstellen Sie eine Abhängigkeitskarte, auf einer Seite
Listen Sie die zehn Dienste auf, ohne die das Unternehmen stillsteht: Verwaltungssoftware, E-Mail, Dateien, Telefonie, Bank, Betreuung, Logistik. Notieren Sie zu jedem: wer der Lieferant ist, wo die Daten liegen, wer sie verwaltet und was passiert, wenn er einen Tag und eine Woche ausfällt.
Bestimmen Sie die wirklich kritischen Daten
Nicht die gesamte Infrastruktur: die Daten, die bei Verlust oder Offenlegung ernsten Schaden anrichten würden (Kundendaten, Zeichnungen, Preise, Verträge). Bei ihnen lohnt sich die Frage, unter welcher Rechtsordnung sie liegen.
Verlangen Sie von Lieferanten drei Dinge schriftlich
Wo die Daten und das Backup physisch liegen. Wer Zugriff hat, auch aus der Ferne. Was mit den Daten geschieht, wenn der Vertrag endet. Ein seriöser Lieferant antwortet binnen einer Stunde. Wenn nicht, haben Sie schon etwas gelernt.
Testen Sie die Wiederherstellung, nicht nur das Backup
Nach OVH gibt es eine Lehre: Ein Backup am selben Ort wie die Daten ist kein Backup. Mindestens eine Kopie muss woanders liegen und mindestens einmal im Jahr testweise zurückgespielt werden.
Bereiten Sie einen „Ausstieg“ vor
Sie müssen nicht den Anbieter wechseln: Sie müssen wissen, wie es ginge. Wie lange, wie viel, welche Daten in welchem Format exportiert werden. Wer einen Ausstieg hat, verhandelt besser und schläft besser.
Was ich nicht empfehle: Dienste mit dem Etikett „souverän“ zu kaufen, ohne zu fragen, was das konkret für Ihre Daten bedeutet. Ein Etikett ist keine Kontrolle. Und solange der CADA diskutiert wird, können sich die Vertrauensstufen noch ändern.
Es gibt einen operativen Punkt, der dieses Thema mit NIS2 verbindet: Die FAQ der ACN erklären, dass für NIS-Einrichtungen Sicherheitsanforderungen in Verträgen mit Lieferanten, die Auswirkungen auf die Sicherheit haben können, in Verträge aufzunehmen sind, die ab der Frist für die Basismaßnahmen abgeschlossen, verlängert oder prorogiert werden. Man muss nicht sofort alles neu schreiben, aber Vertragsverlängerungen sind der richtige Moment für die Klauseln.
Was ich abschließend denke
Das europäische Paket ist eine Chance, verlangt aber heute nichts von Ihnen. Es verlangt etwas Nützlicheres: zu wissen. Unternehmen, die in den nächsten Monaten eine klare Karte ihrer Abhängigkeiten haben, können in Ruhe antworten, wenn ein wichtiger Kunde oder eine Behörde die Frage stellt. Die anderen werden in Eile und schlecht antworten.
In Südtirol sind wir es gewohnt, langfristig zu denken: Wir pflegen Vertrauen, nicht Hektik. Wenden wir das auch aufs Digitale an. Souveränität bedeutet für ein KMU schlicht, sagen zu können: Diese Abhängigkeit haben wir gewählt.
Souveränität heißt nicht, von niemandem abzuhängen. Sie heißt zu wissen, von wem wir abhängen, und es bewusst gewählt zu haben.
Drei Fragen an die Geschäftsleitung
Wo liegen unsere kritischsten Daten, und unter welcher Rechtsordnung?
Nicht die gesamte Infrastruktur: die kritischsten Daten. Kundendaten, Prozessdaten, Informationen zur Lieferkette.
Was passiert mit unserem Geschäft, wenn ein Lieferant, von dem wir abhängen, eine Woche ausfällt?
Das sind keine theoretischen Szenarien: Sie sind bereits eingetreten.
Haben wir diese Situation bewusst gewählt, oder haben wir sie einfach vorgefunden?
Das ist der zentrale Punkt. Souveränität heißt, eine Wahl getroffen zu haben. Nicht, eine Situation geerbt zu haben.
Quellen
Europäische Kommission, Commission proposes tech sovereignty package (3. Juni 2026); Covington, The EU Cloud and AI Development Act in Depth (11. Juni 2026); Europäisches Parlament, Legislative Train Schedule, Cloud and AI development act (Stand 20. September 2026); Microsoft, Helping our customers through the CrowdStrike outage (20. Juli 2024); Blocks & Files, OVHcloud must pay damages for lost backup data (23. März 2023); ACN, NIS-FAQ, Sicherheitsmaßnahmen (MSB.12, auf Italienisch).