Digi­tale Sou­ve­rä­ni­tät galt lange als poli­ti­sches Schlag­wort. Inzwi­schen ist sie für Unter­neh­men ope­ra­tive Rea­li­tät. Ein Exper­ten­kom­men­tar von Robin Schmeis­ser, Geschäfts­füh­rer von Faba­soft Contracts.

Mit der rasant stei­gen­den Ver­brei­tung von künst­li­cher Intel­li­genz (KI), wach­sen­den Cloud-Abhän­gig­kei­ten und zuneh­men­dem regu­la­to­ri­schem Druck stellt sich eine unbe­queme Frage: Wie viel Kon­trolle haben Unter­neh­men noch über ihre Daten, Sys­teme und digi­ta­len Abhängigkeiten?

Kon­troll­ver­lust durch die Hintertür

Viele euro­päi­sche Unter­neh­men nut­zen täg­lich Dienste ame­ri­ka­ni­scher Cloud- und Platt­form­an­bie­ter für geschäfts­kri­ti­sche Pro­zesse. Prag­ma­tisch ist das oft sinn­voll. Gleich­zei­tig unter­lie­gen diese Anbie­ter außer­eu­ro­päi­schen Rechts­räu­men – mit der Kon­se­quenz, dass externe Akteure im Ernst­fall auf sen­si­ble Unter­neh­mens­da­ten zugrei­fen kön­nen, unab­hän­gig davon, wo die Ser­ver phy­sisch ste­hen. Bei der Wahl der Soft­ware-Lie­fe­ran­ten ent­wi­ckelt sich „Made in Europe“ damit vom Her­kunfts­sie­gel zu einem Ver­trau­ens- und Sicherheitsversprechen.

Zusätz­li­che Dyna­mik erhält diese Ent­wick­lung durch den rasan­ten Ein­satz von KI-Werk­zeu­gen. Mit­ar­bei­tende nut­zen öffent­li­che Sys­teme, um Doku­mente zu ana­ly­sie­ren, Texte zu erstel­len oder Daten aus­zu­wer­ten. Häu­fig ohne sich bewusst zu sein, wel­che Infor­ma­tio­nen dabei das Unter­neh­men ver­las­sen. Wer KI pro­duk­tiv ein­set­zen will, muss klare Regeln für den Umgang mit Unter­neh­mens­da­ten schaf­fen. Sonst wird aus Effi­zi­enz­ge­winn schnell Kontrollverlust. 

Regu­lie­rung und Haf­tung trifft die Füh­rungs­ebene persönlich

Mit EU-Rege­lun­gen wie NIS‑2 und DORA hat sich die Ver­ant­wor­tungs­frage grund­le­gend ver­scho­ben: Geschäfts­füh­run­gen sind ver­pflich­tet, sich aktiv mit Cyber­ri­si­ken, kri­ti­schen Dienst­leis­tern und digi­ta­len Abhän­gig­kei­ten aus­ein­an­der­zu­set­zen. Bei schuld­haf­ten Ver­säum­nis­sen haf­ten sie per­sön­lich. Gleich­zei­tig müs­sen Unter­neh­men Risi­ken ent­lang ihrer gesam­ten Lie­fer­kette bewer­ten und nach­wei­sen kön­nen, dass Dienst­leis­ter ange­mes­sen geprüft wurden. 

Da eine voll­stän­dige tech­ni­sche Prü­fung aller Anbie­ter in der Pra­xis kaum mög­lich ist, gewin­nen unab­hän­gige Zer­ti­fi­kate und Testate an Bedeu­tung. Sie die­nen als aner­kann­ter Nach­weis, dass Sorg­falts­pflich­ten erfüllt wur­den – und ent­las­ten Füh­rungs­kräfte im Zwei­fels­fall dann auch rechtlich.

Com­pli­ance als Wettbewerbsvorteil

Was zunächst nach regu­la­to­ri­scher Last klingt, könnte sich mit­tel­fris­tig als stra­te­gi­scher Vor­teil erwei­sen. Ähn­li­ches war bereits bei der DSGVO zu beob­ach­ten: Anfangs als Büro­kra­tie abge­tan, gel­ten euro­päi­sche Daten­schutz­stan­dards heute welt­weit als Qua­li­täts­merk­mal. Mit NIS‑2 und DORA deu­tet sich eine ver­gleich­bare Ent­wick­lung an. Trans­pa­renz, Nach­voll­zieh­bar­keit und Com­pli­ance ent­wi­ckeln sich für euro­päi­sche Unter­neh­men von Pflicht­übun­gen zu Wett­be­werbs­ar­gu­men­ten. Digi­tale Sou­ve­rä­ni­tät wird damit end­gül­tig zur Managementaufgabe.

Als Faba­soft unter­stüt­zen wir Unter­neh­men bei Fra­gen rund um digi­tale Sou­ve­rä­ni­tät, Daten­kon­trolle und regu­la­to­ri­sche Risi­ken. Der Schwer­punkt liegt auf dem siche­ren Umgang mit Cloud-Tech­no­lo­gien, KI und sen­si­blen Daten. Die öster­rei­chi­sche Ver­trags­ma­nage­ment-Soft­ware Faba­soft Con­tracts stellt dabei aus­schließ­lich Daten­lo­ka­tio­nen inner­halb Euro­pas zur Ver­fü­gung; wahl­weise in Deutsch­land, Öster­reich oder der Schweiz (DACH-Raum). (Con­ten­tAd)