Cloud Sovereignty Framework: Digitale Souveränität messbar gemacht

TL;DR

• Das Cloud Sovereignty Framework der EU macht digitale Souveränität erstmals präzise messbar – über acht Souveränitätsziele (SOV‑1 bis SOV‑8) und fünf Assurance-Level (SEAL‑1 bis SEAL‑5).
• Die SEAL-Levels erlauben es Beschaffungsstellen, klare Mindestanforderungen an Cloud-Dienste zu formulieren und Angebote objektiv zu vergleichen – insbesondere im regulierten und öffentlichen Sektor.
• SEAL‑4 steht für praktisch vollständige digitale Souveränität: EU-Jurisdiktion, technische und operative Kontrolle durch europäische Akteure, Exit-Fähigkeit und verifizierbare Evidenzen über alle acht Souveränitätsziele hinweg.
• Für Organisationen bietet das Framework einen pragmatischen Fahrplan: Ziel-Level pro SOV-Ziel definieren, GAPs identifizieren, Maßnahmen priorisieren und Beschaffungsprozesse sowie Verträge entlang des Modells ausrichten.
• ayedo unterstützt Sie dabei, SEAL‑4-fähige Plattformen aufzubauen – mit EU-only Infrastruktur, BYOK, offenen Standards, Exit-Szenarien, ISO-zertifizierten Prozessen und einem strukturierten Cloud Sovereignty Assessment.

---

Was das Cloud Sovereignty Framework leistet

Digitale Souveränität war lange ein abstrakter Begriff. Das ändert sich mit dem Cloud Sovereignty Framework der Europäischen Kommission. Es übersetzt den politischen Anspruch nach europäischer Kontrolle über digitale Infrastrukturen in ein operatives Modell, das sich messen, auditieren und in Ausschreibungen verankern lässt.

Kern des Frameworks sind:

• acht Souveränitätsziele (SOV‑1 bis SOV‑8), die definieren, was souverän sein muss,
• und fünf Sovereignty Effective Assurance Levels (SEAL‑1 bis SEAL‑5), die festlegen, in welchem Umfang Souveränität wirksam erreicht wird.

Öffentliche Beschaffer – und zunehmend auch regulierte Unternehmen – können damit verbindlich festlegen, welches SEAL-Level pro Souveränitätsziel mindestens erforderlich ist. Angebote, die die Mindest-Levels nicht erreichen, scheiden aus. Höhere Levels können als Award-Kriterien in die Bewertung eingehen.

Damit wird digitale Souveränität von einer Absichtserklärung zu einem verifizierbaren Qualitätsmerkmal – vergleichbar mit Informationssicherheits- oder Nachhaltigkeitsstandards.

Eine kompakte Einführung finden Sie auch in unserem Überblick zum Cloud Sovereignty Framework.

---

Die acht Souveränitätsziele im Überblick

Die acht Souveränitätsziele decken die gesamte Wertschöpfungskette eines Cloud-Dienstes ab – von Eigentümerstrukturen bis zur Energieversorgung des Rechenzentrums. Wichtig ist: Kein Ziel kann die Schwächen eines anderen vollständig kompensieren. Ein Anbieter mit hoher technischer Souveränität, aber schwacher rechtlicher Abschirmung, bleibt insgesamt verwundbar.

SOV‑1: Strategic Sovereignty

Strategische Souveränität beschreibt die strukturelle Verankerung des Anbieters in der EU:

• Sitz und Kontrolle der Entscheidungsorgane in der EU
• Absicherung gegen Übernahme oder dominanten Einfluss durch Nicht-EU-Akteure
• Wertschöpfung (Entwicklung, Betrieb, Support) weit überwiegend in der EU
• Fähigkeit, den Betrieb auch unter politischem oder wirtschaftlichem Druck von außen aufrechtzuerhalten

Kurz: Wer im Krisenfall über Ihre Plattform entscheidet, darf nicht außerhalb der europäischen Rechtsordnung sitzen.

SOV‑2: Legal & Jurisdictional Sovereignty

Hier geht es um die Frage: Welche Rechtsordnung gilt verbindlich, und wer kann legitim auf Daten und Systeme zugreifen?

• Maßgebliche Geltung von EU-Recht, Gerichtsstand in der EU
• Abschirmung gegenüber extraterritorialen Zugriffsrechten wie CLOUD Act oder FISA
• Keine vertraglichen, technischen oder organisatorischen Kanäle, über die Nicht-EU-Behörden direkt oder indirekt zugreifen können

Für viele Organisationen ist SOV‑2 der Kern von digitaler Souveränität – ohne rechtliche Kontrolle sind alle technischen Maßnahmen nur bedingt wirksam.

SOV‑3: Data & AI Sovereignty

Souveränität über Daten und künstliche Intelligenz bedeutet:

• Hoheit des Kunden über kryptografische Schlüssel (BYOK/HSM), ohne Escrow-Konstrukte
• Vollständige und belastbare Zugriffsprotokollierung
• Konsistente Datenlokalisierung in der EU, ohne „Fallback“-Regionen
• Kontrolle über Trainingsdaten, Modelle, Pipelines und AI-Plattformen
• Verifizierbare Löschnachweise – insbesondere bei sensiblen und personenbezogenen Daten

Gerade im Lichte der DSGVO (seit dem 25. Mai 2018 in Kraft) und der kommenden AI-Regulierung ist SOV‑3 ein zentraler Baustein moderner Compliance.

SOV‑4: Operational Sovereignty

Operational souverän ist, wer einen Dienst auch ohne den ursprünglichen Anbieter weiterbetreiben oder migrieren kann:

• Exit-Fähigkeit über dokumentierte Runbooks, standardisierte Exporte und offene Schnittstellen
• EU-basierte Teams für Betrieb und Support mit den notwendigen Skills
• Vollständige technische Dokumentation, von Architektur bis Runbooks
• Transparenz über kritische Subunternehmer und deren Jurisdiktion

Operational Souveränität schafft die Entscheidungsfreiheit, die man in langfristigen Plattform-Partnerschaften braucht.

SOV‑5: Supply Chain Sovereignty

Hier wird die Lieferkette in den Blick genommen:

• Nachvollziehbarkeit der Herkunft von Hardware, Firmware und Embedded Code
• Vollständige SBOMs und klare Update-Pfade unter EU-Kontrolle
• Minimierung kritischer Nicht-EU-Abhängigkeiten, dokumentierte Alternativen
• Auditierbarkeit entlang der gesamten Lieferkette

SOV‑5 verknüpft digitale Souveränität mit klassischer Lieferketten-Resilienz.

SOV‑6: Technology Sovereignty

Technologische Souveränität adressiert Offenheit und Interoperabilität:

• Einsatz offener, standardisierter APIs und Protokolle
• Open-Source-Komponenten mit Audit-, Modifikations- und Weitergaberechten
• Transparenz über Architektur, Datenflüsse und Abhängigkeiten
• Portabilität von Workloads und Daten mit minimalem Lock-in

Gerade für moderne Plattformstrategien rund um Kubernetes, Data Platforms oder AI-Stacks ist SOV‑6 entscheidend.

SOV‑7: Security & Compliance Sovereignty

Sicherheit und Regeltreue werden hier aus einer Souveränitätsperspektive betrachtet:

• Relevante EU-Zertifizierungen (etwa ISO 27001, künftig ENISA-Schemata)
• Umsetzung von DSGVO, NIS2 (tritt am 18. Oktober 2024 in Kraft) und sektorspezifischen Regelwerken wie DORA (anwendbar ab 17. Januar 2025)
• Security Operations und Incident Response Teams in der EU
• Kundenzugriff auf Security-Logs, Alerts und Reports
• Unabhängige Audits mit transparenten Ergebnissen

SOV‑7 schafft die Brücke zwischen Cloud Souveränität und moderner Compliance.

SOV‑8: Environmental Sustainability

Nachhaltigkeit ist explizit Teil des Souveränitätsverständnisses:

• Energieeffiziente Rechenzentren (PUE), Nutzung erneuerbarer Energien
• Konzepte für Kreislaufwirtschaft bei Hardware
• Transparente Kennzahlen zu Emissionen, Wasserverbrauch und Energie
• Langfristige Betriebsfähigkeit unter Klimaszenarien

Damit adressiert das Framework die Frage, ob ein Dienst nicht nur heute sicher, sondern auch morgen betrieblich tragfähig ist.

---

SEAL-Levels: Souveränität als messbare Stufen

Die Sovereignty Effective Assurance Levels (SEAL) definieren, wie weit ein Anbieter ein Souveränitätsziel erfüllt. Sie fungieren als gemeinsame „Währung“ zwischen Beschaffern und Anbietern.

In der Praxis lassen sie sich wie folgt interpretieren:

• SEAL‑1 – Basistransparenz:
  Erste Maßnahmen und Dokumentation sind vorhanden, aber noch mit erheblichen Lücken. Geeignet für unkritische Workloads.

• SEAL‑2 – Grundschutz mit EU-Fokus:
  Wesentliche Souveränitätsaspekte sind umgesetzt, extraterritoriale Risiken teilweise adressiert, Prozesse sind etabliert, aber noch nicht durchgängig auditierbar.

• SEAL‑3 – Hoher Souveränitätsgrad:
  Klare EU-Jurisdiktion, weitgehend EU-basierte Operations, belastbare Evidenzen. Risiken durch Nicht-EU-Abhängigkeiten sind deutlich reduziert, aber noch vorhanden.

• SEAL‑4 – Vollständige digitale Souveränität:
  Konsistente Souveränität über alle relevanten Contributing Factors eines Ziels, inklusive rechtlicher, technischer, operativer und organisatorischer Maßnahmen. Evidenzen sind auditierbar, Prozesse sind etabliert und getestet.

• SEAL‑5 – Strategische Souveränität auf Ökosystem-Ebene:
  Souveränität ist nicht nur auf Service-Ebene, sondern auf Ebene der gesamten Wertschöpfungskette und des Ökosystems verankert. Diese Stufe wird perspektivisch vor allem für besonders kritische Infrastrukturen relevant.

Wichtig: SEAL-Levels werden pro Souveränitätsziel vergeben. Ein Provider kann also beispielsweise SOV‑3 (Data & AI) auf SEAL‑4 erreichen, während SOV‑8 (Environmental) nur SEAL‑2 erfüllt.

---

SEAL‑4: Wie vollständige digitale Souveränität konkret aussieht

SEAL‑4 ist für viele Organisationen der angestrebte Zielzustand – insbesondere dort, wo sensible oder kritische Workloads betrieben werden. Aus technischer und organisatorischer Sicht bedeutet das:

• SOV‑1 (Strategic):
  Eigentums- und Kontrollstrukturen sind EU-basiert, Change-of-Control-Risiken durch Nicht-EU-Übernahmen sind vertraglich und Corporate-Governance-seitig adressiert.

• SOV‑2 (Legal):
  EU-Recht ist ausschließliche Jurisdiktion für den Service. Es existieren keine Bindungen an extraterritoriale Rechtsregime, weder durch Konzernstrukturen noch durch kritische Subunternehmer.

• SOV‑3 (Data & AI):
  Alle produktiven Daten liegen in der EU; Schlüssel liegen vollständig unter Kundenshoheit (BYOK/BYOHSM). AI-Modelle, Pipelines und Trainingsdaten sind auditierbar; Löschung ist technisch und organisatorisch nachweisbar.

• SOV‑4 (Operational):
  Exit-Szenarien sind nicht nur vertraglich vereinbart, sondern praktisch erprobt. Dokumentation, Datenexporte und Migrationspfade sind vorhanden und realistisch umsetzbar.

• SOV‑5 (Supply Chain):
  Kritische Hardware- und Softwarekomponenten sind transparent dokumentiert, SBOMs liegen vor. Nicht-EU-Komponenten sind minimiert und in ihrer Kritikalität bewertbar.

• SOV‑6 (Technology):
  Die Plattform setzt auf offene Standards, interoperable Schnittstellen und weit verbreitete Open-Source-Komponenten. Workloads können ohne proprietäre Formate auf andere Infrastrukturen migriert werden.

• SOV‑7 (Security & Compliance):
  Relevante Standards sind zertifiziert, Security Operations Teams sind in der EU angesiedelt, Logs und Incidents sind für Kunden nachvollziehbar, Audits werden regelmäßig durchgeführt.

• SOV‑8 (Environmental):
  Messbare Ziele und Kennzahlen zu Energieeffizienz und Emissionen liegen vor, werden extern geprüft und kontinuierlich verbessert.

SEAL‑4 ist damit kein Label, sondern das Ergebnis eines konsistenten Zusammenspiels von Technik, Organisation, Recht und Governance.

---

Rolle in öffentlichen Beschaffungsprozessen

Das Cloud Sovereignty Framework ist entwickelt worden, um öffentlichen Beschaffungsstellen ein einheitliches Instrument zu geben. In Ausschreibungen lässt sich damit sehr klar formulieren:

1. Mindestanforderungen:
   Pro Souveränitätsziel wird ein Mindest-SEAL festgelegt (z. B. SEAL‑4 für SOV‑2 und SOV‑3, SEAL‑3 für SOV‑8). Anbieter, die dieses Niveau nicht nachweisen, werden nicht weiter berücksichtigt.

2. Award-Kriterien:
   Über die Mindestanforderungen hinausgehende SEAL-Levels fließen mit Gewichtungen in die Bewertung ein. Beispiel: Ein Anbieter mit SOV‑5 auf SEAL‑4 erhält mehr Punkte als ein Anbieter mit SEAL‑3, sofern der Mehrwert für das Projekt relevant ist.

3. Evidenzbasierte Bewertung:
   Anstelle von Selbstauskünften werden konkrete Evidenzen verlangt: Zertifikate, Architektur-Dokumente, juristische Gutachten, Exit-Runbooks, SBOMs, Audit-Reports.

Für Anbieter schafft das Klarheit im Hinblick auf Investitionen: Wer SEAL‑4 über mehrere Ziele hinweg nachweisbar erreicht, ist systematisch besser aufgestellt für zukünftige Ausschreibungen in der EU.

Auch private Organisationen können das Modell übernehmen – entweder vollständig oder in vereinfachter Form – um ihre eigenen Sourcing-Prozesse und Rahmenverträge zu strukturieren.

---

Ein pragmatischer Einsatz des Frameworks in Ihrer Organisation

Das Framework ist sehr detailliert. Damit es im Alltag nicht zur Überforderung führt, hat sich ein schrittweiser Ansatz bewährt:

1. Relevante Workloads und Risiken definieren
   Nicht jede Anwendung braucht SEAL‑4 in allen Zielen. Starten Sie mit einer Klassifikation: Welche Systeme sind kritisch für Ihre Kernprozesse, regulatorisch besonders sensibel oder versorgungsrelevant?

2. Ziel-Level pro Souveränitätsziel festlegen
   Leiten Sie aus regulatorischen Vorgaben (z. B. NIS2, DORA), internen Richtlinien und Risikobewertungen ab, welche SEAL-Levels pro SOV-Ziel angestrebt werden sollen.

3. Ist-Analyse und GAP-Assessment durchführen
   Bewerten Sie bestehende Plattformen und Provider entlang der SOV-Ziele. Wo stehen Sie heute? Welche Ziele sind stark, welche unterentwickelt? Wo gibt es Abhängigkeiten, die mittelfristig reduziert werden müssen?

4. Roadmap und Priorisierung aufsetzen
   Maßnahmen lassen sich clustern: kurzfristig (z. B. Schlüsselmanagement, Logging), mittelfristig (Exit-Runbooks, Dokumentation), langfristig (Lieferketten-Transparenz, Rechenzentrums-Standorte). Priorisieren Sie entlang von Risiko und Umsetzungskosten.

5. Beschaffungs- und Vertragsdokumente ausrichten
   Verankern Sie SEAL-Levels und SOV-Ziele in Ausschreibungen, Rahmenverträgen und SLAs. Wichtig ist, nicht nur Zusagen, sondern auch Evidenzen und Audit-Rechte zu vereinbaren.

6. Governance und Reporting etablieren
   Digitale Souveränität ist kein Projekt, sondern ein laufender Prozess. Definieren Sie KPIs und Reporting-Linien, idealerweise integriert in bestehende Gremien für IT-Governance und Informationssicherheit.

Auf diese Weise wird das Cloud Sovereignty Framework zu einem praktischen Steuerungsinstrument – statt zu einer zusätzlichen Compliance-Last.

---

Umsetzung mit ayedo: SEAL‑4-fähige Plattformen in der Praxis

ayedo hat das Cloud Sovereignty Framework früh als Chance verstanden, europäische Cloud-Infrastrukturen strukturiert weiterzuentwickeln. In gemeinsamen Projekten mit Kunden verfolgen wir drei Leitprinzipien:

1. EU-only Infrastruktur und Jurisdiktion

   • Rechenzentren und Betriebsstandorte ausschließlich in der EU
   • EU-basierte Eigentümer- und Kontrollstrukturen
   • Verträge mit EU-Gerichtsstand und expliziter Abschirmung gegenüber extraterritorialen Zugriffen

   Dadurch adressieren wir insbesondere SOV‑1 und SOV‑2 auf hohem Niveau.

2. Kryptografische Hoheit und offene Technologie

   • BYOK und HSM-Integrationen für Kundenschlüssel, ohne Escrow
   • Konsequent offene Standards und interoperable Schnittstellen für Plattform-Services
   • Fokus auf Open-Source-Stacks, die auditierbar und portabel sind

   Damit schaffen wir die Grundlage für SEAL‑4 bei SOV‑3 und SOV‑6.

3. Exit-Fähigkeit und evidenzbasierte Compliance

   • Dokumentierte Exit-Szenarien inkl. Datenexporten, Migrationspfaden und Runbooks
   • ISO-27001-zertifizierte Prozesse sowie Vorbereitung auf weitere EU-Schemata
   • Transparente SBOMs für zentrale Plattform-Komponenten und klar definierte Subunternehmerketten

   So werden SOV‑4, SOV‑5 und SOV‑7 operationalisiert, statt nur beschrieben.

Im Rahmen eines strukturierten Cloud Sovereignty Assessments kartieren wir gemeinsam mit Kunden bestehende und geplante Workloads gegen die SOV-Ziele und SEAL-Levels. Daraus entsteht:

• eine belastbare Statusanalyse Ihrer aktuellen Plattformlandschaft,
• eine klare Zieldefinition (z. B. SEAL‑4 für SOV‑2, SOV‑3 und SOV‑7),
• eine umsetzbare Roadmap mit technischen und organisatorischen Maßnahmen.

Das Ergebnis ist nicht nur ein Souveränitätsprofil Ihrer Infrastruktur, sondern auch eine fundierte Argumentationsbasis gegenüber Aufsicht, interner Revision und Beschaffungsstellen.

---

Häufige Fragen

Wie unterscheidet sich das Cloud Sovereignty Framework von klassischen Security-Standards wie ISO 27001?

ISO 27001 und ähnliche Standards fokussieren auf Informationssicherheit im engeren Sinne: Verfügbarkeit, Vertraulichkeit, Integrität – und die dafür nötigen Managementsysteme. Das Cloud Sovereignty Framework geht darüber hinaus:

• Es betrachtet Eigentümerstrukturen, Jurisdiktion und extraterritoriale Risiken.
• Es bezieht Lieferketten, offene Technologien und Exit-Fähigkeit explizit ein.
• Es bewertet Nachhaltigkeit als Bestandteil der Souveränität.

In der Praxis ergänzen sich beide Ansätze. ISO 27001 liefert viele Bausteine für SOV‑7 (Security & Compliance), während das Framework die Souveränitätsdimension in Strategie, Recht und Technologie hinzufügt.

Ist SEAL‑4 in allen acht Zielen realistisch erreichbar?

Kurzfristig ist das für viele Organisationen ambitioniert, aber nicht unrealistisch – insbesondere, wenn man schrittweise vorgeht und kritische Ziele priorisiert. Die größten Herausforderungen liegen typischerweise in:

• rechtlicher Abschirmung gegenüber Nicht-EU-Rechtsordnungen (SOV‑2),
• komplexen Lieferketten mit Nicht-EU-Komponenten (SOV‑5),
• und langlaufenden Vertragsverhältnissen mit hyperscalernahen Services.

Wichtig ist, SEAL‑4 nicht als „Alles-oder-nichts“-Ziel zu verstehen, sondern als Richtung: Jeder Schritt hin zu mehr Kontrolle, Transparenz und Exit-Fähigkeit verbessert Ihr Souveränitätsprofil – und Ihre Verhandlungsposition.

Wie unterstützt ayedo konkret bei der Erreichung von SEAL‑4?

ayedo kombiniert EU-basierte Infrastruktur mit Beratungs- und Engineering-Kompetenz:

• Wir analysieren gemeinsam mit Ihnen vorhandene Plattformen und Dienste entlang der acht Souveränitätsziele.
• Wir entwickeln Zielbilder und Transition-Pläne, wie Sie schrittweise SEAL‑4 in den für Sie relevanten Zielen erreichen.
• Wir stellen eine souveräne, EU-basierte Plattform bereit, die auf offenen Standards aufbaut und Exit-Fähigkeit von Anfang an mitdenkt.

Damit wird das Cloud Sovereignty Framework vom theoretischen Modell zu einem praktischen Steuerungsinstrument für Ihre Cloud- und Plattformstrategie.

Weitere Fragen? Siehe unsere FAQ

---

Von der Theorie zur Umsetzung

Das Cloud Sovereignty Framework bietet einen selten klaren Rahmen für ein komplexes Thema. Es bringt Ordnung in ein Feld, das lange von Bauchgefühl, politischen Schlagworten und schwer vergleichbaren Versprechen geprägt war. Für Verantwortliche in Technik und Organisation entsteht damit eine konkrete Aufgabe: die eigene Infrastruktur entlang messbarer Souveränitätsziele zu entwickeln.

ayedo versteht sich in diesem Kontext nicht nur als Infrastruktur-Anbieter, sondern als Partner auf dem Weg zu belastbarer, europäischer digitaler Souveränität. Unsere Plattformen sind so konzipiert, dass sie SEAL‑4 über mehrere Souveränitätsziele hinweg ermöglichen – mit EU-only Betrieb, konsequenter Kundenshoheit über Schlüssel und Daten, offenen Technologie-Stacks, klaren Exit-Pfaden und zertifizierten Sicherheits- und Compliance-Prozessen.

Im Rahmen eines Cloud Sovereignty Assessments übersetzen wir das Framework gemeinsam mit Ihnen in konkrete Architekturentscheidungen, Migrationsschritte und Governance-Regeln. So wird aus einem europäischen Referenzrahmen eine praktische Roadmap für Ihre Organisation – und Ihre Plattform wird nicht nur leistungsfähig, sondern auch souverän betreibbar.

Wenn Sie prüfen wollen, wo Ihre aktuelle Infrastruktur im Cloud Sovereignty Framework steht und wie Sie gezielt in Richtung SEAL‑4 weiterentwickeln können, starten Sie mit einem unverbindlichen Cloud Sovereignty Assessment.