Die wichtigsten Erkenntnisse
- Bei der „Minimum Viable Sovereignty“ (MVS) geht es darum, für die jeweiligen Workloads das richtige Maß an Kontrolle anzuwenden.
- Die Gleichbehandlung aller Workloads kann zu unnötiger Komplexität und Kosten oder zu unzureichendem Schutz führen.
- Unternehmen lassen sich in der Regel in drei Souveränitätsprofile einteilen: „True Sovereign“, „Regulated Enterprise“ und „Hybrid Multi-Cloud“.
- Eine einheitliche Governance über gemischte Umgebungen hinweg ist eine der größten betrieblichen Herausforderungen.
Es gibt eine Variante der Debatte um digitale Souveränität, die Unternehmen an einen Punkt führt, der kostspielig und betrieblich aufwendig ist – und, wenn man ehrlich ist, über das hinausgeht, was ihre tatsächlichen Verpflichtungen erfordern. Maximale Souveränität klingt verantwortungsbewusst. In der Praxis ist sie jedoch oft ein Fehlgriff.
Es gibt eine ebenso verbreitete Variante, die zu gefährlich dürftigen Kontrollen führt – Kontrollen, die zwar eine Checkliste abhaken, aber einem Audit, einem Vorfall oder einer Aufsichtsbehörde, die dokumentierte Absichten nicht mehr als Nachweis für nachgewiesene Kontrollen akzeptiert, nicht standhalten würden.
Die Organisationen, die Souveränität richtig umsetzen, verfolgen in der Regel einen strengeren und praktischeren Ansatz als beide Extreme: Sie fragen sich, was sie tatsächlich schulden, wem und wofür. Dann richten sie ihre Maßnahmen nach diesem Standard aus – nicht mehr und nicht weniger.
Dies ist die Disziplin von MVS, eingeführt im „Digital Sovereignty Readiness Report“Â und hier ausführlich erläutert.
MVS ist keine Abkürzung. Es ist die Erkenntnis, dass das Ziel ein angemessenes Maß an Kontrolle ist, das konsequent auf alle Workloads angewendet wird, die dies erfordern.
Nicht alle Workloads sind gleich
Der Ausgangspunkt für einen MVS-Ansatz ist die Klassifizierung der Arbeitslast – und die meisten Unternehmen überspringen diesen Schritt komplett.
Ein Handelssystem, das regulierte Finanzdaten verarbeitet, unterliegt grundlegend anderen Souveränitätsverpflichtungen als ein internes HR-Kollaborationstool. Eine Datenbank, die personenbezogene Daten von EU-Bürgern enthält, unterliegt anderen rechtlichen und regulatorischen Rahmenbedingungen als eine Entwicklungsumgebung, in der anonymisierte Testdaten verarbeitet werden.
Wer all diese Fälle identisch behandelt – sei es durch die pauschale Anwendung maximaler Souveränitätskontrollen oder durch die Annahme, dass ein einziges Bereitstellungsmodell alles abdeckt –, führt dazu, dass Unternehmen entweder überdimensionierte Lösungen entwickeln oder unzureichend geschützt sind.
Die richtige Frage vor jeder Bereitstellungsentscheidung lautet: Welche Anforderungen stellt diese Workload an jede der vier Säulen der Souveränität? Der Readiness-Bericht enthält eine Selbstbewertung, die genau auf diese Frage ausgerichtet ist.
Die drei Profile – und was sie tatsächlich benötigen
Regulierte Unternehmen lassen sich in drei erkennbare Profile einteilen, die jeweils unterschiedliche Hauptantriebsfaktoren und Investitionsprioritäten aufweisen.
- Der wahre Souverän. Regierungsbehörden, Rüstungsunternehmen und Betreiber kritischer nationaler Infrastrukturen. Für diese Organisationen ist Souveränität keine Compliance-Anforderung – sie ist ein operativer Auftrag. Maximale Kontrolle über jeden Aspekt des Technologie-Stacks ist oft gesetzlich vorgeschrieben, und die damit verbundenen Kosten werden in Kauf genommen, da die Alternative nicht akzeptabel ist.
- Die regulierte Organisation. Finanzdienstleister, Organisationen im Gesundheitswesen, Energieunternehmen. Diese Organisationen unterliegen verbindlichen Anforderungen gemäß DORA, NIS2, DSGVO und branchenspezifischen Rahmenwerken. Die Compliance-Verpflichtungen können je nach Branche und Einsatzkontext auch mit EU-Zertifizierungssystemen – darunter EUCS, EUCC, BSI C5 und SecNumCloud – in Zusammenhang stehen.
In bestimmten Bereichen sind diese Anforderungen nicht verhandelbar – insbesondere in Bezug auf Datenresidenz, operative Zugriffskontrollen und Recovery innerhalb der Grenzen der jeweiligen Rechtsordnung. Doch nicht jede Arbeitslast unterliegt denselben Verpflichtungen.
- Das hybride Multi-Cloud-Unternehmen. Unternehmen, die bereits in Hyperscaler investiert haben und zunehmendem Druck hinsichtlich der Datenhoheit durch Kunden, Aufsichtsbehörden oder Beschaffungsvorschriften ausgesetzt sind. Ihre Herausforderung besteht nicht in einer vollständigen Migration – vielmehr geht es darum, hoheitsbezogene Kontrollen in eine gemischte Infrastruktur zu integrieren und dabei eine einheitliche Governance über die gesamte Infrastruktur hinweg aufrechtzuerhalten.
Die Kosten einer falschen Kalibrierung
Eine übertriebene Umsetzung von Souveränitätsmaßnahmen birgt eigene operative Risiken. Unternehmen, die maximale souveräne Kontrollmaßnahmen auf Workloads anwenden, die diese nicht erfordern, nehmen Kosten und Komplexität in Kauf, die weder regulatorischen noch geschäftlichen Zwecken dienen.
Eine zu geringe Umsetzung ist die häufigere und gefährlichere Fehlerquelle. Sie tritt in der Regel erst bei einem Audit zutage – oder, was noch schwerwiegender ist, erst wenn ein Vorfall eintritt und Recovery zu einem rechtlich bedingten Problem wird. (Diese Fehlerquelle ist Gegenstand desvierten Beitrags dieser Reihe) umfasst.
Ein praktischer Ausgangspunkt
Ein MVS-Ansatz umfasst drei Schritte:
- Klassifizieren Sie Workloads anhand ihrer tatsächlichen Souveränitätsanforderungen in jeder Säule – beginnen Sie nicht mit Bereitstellungsmodellen.
- Ordnen Sie jede Workload-Klasse der Bereitstellungsstufe zu, die diese Anforderungen erfüllt, und zwar über das gesamte Spektrum hinweg – von Regionen öffentlicher Hyperscaler über souveräne Public Clouds bis hin zu lokal verwalteten Umgebungen.
- Steuern Sie die daraus resultierende gemischte Infrastruktur einheitlich – Kontrollen, Prüfnachweise und Recovery-Fähigkeiten müssen in der gesamten Umgebung nachweisbar sein, nicht nur auf der Ebene mit der höchsten Souveränität.
Der dritte Schritt ist derjenige, an dem die meisten Programme scheitern. Die Aufrechterhaltung einheitlicher Souveränitätskontrollen in einer gemischten Infrastruktur stellt eine Herausforderung für die operative Governance dar – und fällt speziell in den Bereich der operativen Souveränität –,dem Thema des dritten Beitrags dieser Reihe, der Säule, die in den meisten Strategien erst nachträglich berücksichtigt wird.
Nutzen Sie die Selbsteinschätzung im„Digital Sovereignty Readiness Report““, um Ihre aktuelle Situation in allen vier Säulen zu ermitteln.
FAQs
F: Was ist „Minimum Viable Sovereignty“ (MVS)?
A: MVS bezeichnet die Praxis, Souveränitätskontrollen auf der Grundlage tatsächlicher geschäftlicher und regulatorischer Anforderungen anzuwenden. Damit soll sowohl eine übermäßige Komplexität als auch ein unzureichender Schutz vermieden werden.
F: Warum ist die Einstufung der Arbeitsbelastung wichtig?
A: Verschiedene Workloads sind mit unterschiedlichen regulatorischen und betrieblichen Verpflichtungen verbunden. Die Klassifizierung von Workloads hilft Unternehmen dabei, die angemessenen Souveränitätskontrollen anzuwenden.
F: Welche drei gängigen Souveränitätsprofile gibt es?
A: Die drei Profile sind eigenständige Organisationen, regulierte Organisationen und hybride Multi-Cloud-Organisationen. Jede davon unterliegt spezifischen betrieblichen und Compliance-Anforderungen.
F: Welche Risiken ergeben sich aus einer übermäßigen Regulierung der Souveränität?
A: Übermäßige Kontrollen können die Komplexität der Geschäftsabläufe und die Kosten erhöhen, ohne dass dadurch ein nennenswerter Nutzen in Bezug auf die Einhaltung von Vorschriften oder den Geschäftswert entsteht.
F: Warum stellen gemischte Umgebungen eine Herausforderung für die Governance dar?
A: Unternehmen nutzen häufig mehrere Cloud- und Infrastrukturmodelle. Es ist schwierig, in allen Umgebungen einheitliche Kontrollmaßnahmen, Prüfungsnachweise und Recovery-Standards aufrechtzuerhalten.
Ruben Renders ist Solutions Director, MSP, bei Commvault.
