Digitale Souveränität ist untrennbar mit den Themen Compliance, Risikomanagement und Resilienz verbunden. Nur wenn die gesamte Wertschöpfungskette evaluiert wird, lassen sich Cyberrisiken abschätzen. Dieses Whitepaper beleuchtet die regulatorischen und technologischen Aspekte der digitalen Souveränität und gibt wertvolle Hilfestellungen.
Inhalt:
Derzeit wird sehr viel über digitale Souveränität diskutiert. Angesichts der aktuellen geopolitischen Lage und der massiven Abhängigkeit europäischer Unternehmen von US-amerikanischen Cloud-Providern und KI-Anbietern ist dies nicht verwunderlich.
Es gibt jedoch keine einheitliche, verbindliche Definition dafür, was digitale Souveränität bedeutet. Das Kompetenzzentrum Öffentliche Informationstechnologie fasst den Begriff beispielsweise sehr weit. Es versteht unter digitaler Souveränität die „Summe aller Fähigkeiten und Möglichkeiten von Individuen und Institutionen ihre Rolle(n) in der digitalen Welt selbstständig selbstbestimmt und sicher ausüben zu können.“ Von einer derart allgemeinen Definition lassen sich allerdings nur sehr schwer Handlungsempfehlungen ableiten.
Dieses Whitepaper, das in Zusammenarbeit mit der Anwaltskanzlei Racine erstellt wurde, fasst den Begriff deshalb enger und betrachtet die digitale Souveränität vor allem aus technologischer und regulatorischer Sicht. Es zeigt die Risiken auf, die durch die Nutzung von Diensten und Technologien nicht-europäische Anbieter entstehen können, und klärt, wie sich diese begrenzen lassen.
Sie erfahren unter anderem:
- Welche rechtlichen Rahmenbedingungen bei der Nutzung nicht-europäischer Dienste und Technologien zu beachten sind.
- Wie Sie den Sicherheitsbedarf für Ihre Daten und Systeme evaluieren und daraus die richtigen Schlüsse ziehen.
- Wie Sie technologische Souveränität erreichen können.
Originalauszug aus dem Dokument:
Trotz der Relevanz digitaler Souveränität ist eine entsprechende Einhaltungspflicht im positiven Recht nicht universell verankert; für kritische strategische Bereiche bestehen bereits spezifische, verschärfte Anforderungen.
Dies gilt insbesondere für Betreiber Kritischer Infrastrukturen (KRITIS), deren Tätigkeit für das Gemeinwesen und die öffentliche Sicherheit unerlässlich ist. Diese Akteure sind verpflichtet, branchenspezifische Sicherheitsstandards umzusetzen und ein wirksames Risikomanagement zu pflegen. Dies umfasst konkret die Erstellung und regelmäßige Aktualisierung von Notfall- und Krisenplänen, die kontinuierliche Schulung und Sensibilisierung der Beschäftigten sowie den Aufbau einer klaren Kommunikationsstruktur für den Krisenfall.
Eine solche Verpflichtung ist durch die Art der Tätigkeiten dieser Akteure gerechtfertigt, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder zu Gefährdungen der öffentlichen Sicherheit führen würde. Die gemäß dem KRITIS-Dachgesetz betroffenen Sektoren umfassen insbesondere die folgenden zehn Bereiche: