Digitale Souveränität: Aktuelle Herausforderungen für Unternehmen

Digitale Souveränität bezeichnet die Fähigkeit von Unternehmen, sich in der digitalen Welt sicher, unabhängig und selbstbestimmt zu bewegen. Sie bedeutet, die volle Kontrolle über eigene Daten, IT-Systeme und digitale Prozesse zu behalten, ohne unerwünschte Abhängigkeiten von einzelnen Technologieanbietern oder fremden Staaten einzugehen.

• Compliance und Vermeidung von Haftungsrisiken: Die Datenschutzgrund-Verordnung (DSGVO) verpflichtet Unternehmen zur Kontrolle über Datenflüsse, insbesondere bei Drittlandübermittlungen. Die neuen EU-Digitalgesetze wie die NIS-2-Richtlinie (inzwischen im BSI-Gesetz umgesetzt), DORA, Data Act, Cyber Resilliance Act und AI Act konkretisieren diese Steuerungspflicht durch Anforderungen an Risikomanagement, Transparenz, organisatorische Zuständigkeiten und technische Beherrschbarkeit digitaler Systeme und nehmen die Geschäftsleitung direkt in die Pflicht. Wer seine IT-Infrastruktur und Datenflüsse nicht lückenlos kontrolliert, riskiert hohe Bußgelder.
• Schutz des geistigen Eigentums bei KI: Nahezu alle Unternehmen nutzen im Alltag KI-Tools. Ohne digitale Souveränität besteht die Gefahr, dass geheime Firmendaten, Patente oder Quellcodes ungewollt auf Servern im Ausland landen und zum Training fremder KI-Modelle genutzt werden.
• Geopolitische Krisen und Handelskonflikte: Die weltpolitische Lage ist angespannt. Gesetze wie der US CLOUD Act erlauben es ausländischen Behörden unter Umständen, auf Daten zuzugreifen, die auf Servern von US-Anbietern liegen – selbst wenn diese physisch in Europa stehen. Hinzu kommen rechtliche Unsicherheiten durch die Volatilität transatlantischer Datenschutzabkommen, wie das EU-US Data Privacy Framework.
• Explodierende Cyber-Kriminalität: Erpresser-Software (Ransomware) und professionelle Hacker-Angriffe bedrohen die Existenz von Betrieben. Nur wer seine eigenen Systeme versteht und kontrolliert, kann Sicherheitslücken schnell schließen und ist nach einem Angriff sofort wieder arbeitsfähig (Resilienz).
• Wirtschaftliche Flexibilität und Kostenkontrolle: Wer flexibel bleibt und Daten ohne Probleme von einem Anbieter zum nächsten umziehen kann (Portabilität), behält eine starke Position bei Preisverhandlungen und wird nicht Opfer von plötzlichen Preiserhöhungen. 

Ein digital souveränes Unternehmen zeichnet sich dadurch aus, dass es seine Abhängigkeiten kennt und in der Lage ist, diese gezielt zu steuern, Risiken abzuwägen und bei Bedarf Alternativen zu wählen oder zu entwickeln. Dies vermeidet geschäftliche sowie rechtliche Risiken. Bei den eingesetzten IT-Systemen sind dabei insbesondere folgende Aspekte zu beachten:

• Cloud-Dienste: Cloud‑Dienste sind so zu nutzen und vertraglich zu gestalten, dass ein Wechsel des Anbieters möglich bleibt, Kontrollrechte gesichert sind und unzulässige Zugriffe aus Drittländern verhindert werden können.
• KI-Systeme: Bei der Nutzung von KI-Systemen ist im Rahmen der Etablierung einer Governance insbesondere festzulegen, wofür diese eingesetzt werden, welche Daten verwendet werden und wer im Unternehmen für Fragen zur KI-Nutzung verantwortlich ist.
• Geschäftskritische IT-Systeme: Geschäftskritische Kernsysteme sind abhängig von Branche, Größe und regulatorischer Einordnung so zu organisieren, dass Sicherheit, Verfügbarkeit und Verantwortlichkeiten beherrschbar bleiben. Welche rechtlichen Anforderungen und Pflichten für geschäftskritische IT-Systeme im Einzelnen gelten, hängt maßgeblich von der regulatorischen Einordnung des Unternehmens ab, insbesondere davon, ob es als KRITIS‑Betreiber, wichtige oder besonders wichtige Einrichtung im Sinne der NIS-2-Richtlinie bzw. des BSI-Gesetzes gilt. 

Digitale Souveränität ist kein ideologisches Thema. Vielmehr ergibt sich eine Pflicht zur digitalen Souveränität aus dem Zusammenspiel der neuen EU-Digitalgesetze. Sie erhöht die Resilienz von Unternehmen und stellt sicher, dass Unternehmen handlungsfähig bleiben, auch wenn sich die rechtlichen oder technischen Rahmenbedingungen ändern. 

Jetzt Kontakt aufnehmen