Cloud Sovereignty Framework
Europäische Digitale Souveränität
Das Cloud Sovereignty Framework der Europäischen Kommission (DG DIGIT) definiert, was digitale Souveränität operativ bedeutet. Acht klare Ziele, fünf Assurance-Level und ein einheitlicher Bewertungsrahmen für die Beschaffung souveräner Cloud-Dienste.
Was ist das Cloud Sovereignty Framework?
Version 1.2.1 (Oktober 2025) definiert präzise Anforderungen, wie Beschaffungsstellen Cloud-Anbieter entlang acht Souveränitätszielen bewerten. Es dient als Mindestanforderung über SEAL-Levels und als Award-Kriterium über einen gewichteten Score. Der Ansatz kombiniert konkrete Kontrollfragen mit Evidenznachweisen und einem einheitlichen Bewertungsraster – entwickelt im Kontext von CIGREF Trusted Cloud, Gaia-X, NIS2, DORA und nationalen Strategien wie "Cloud de Confiance".
Die acht Souveränitätsziele
Acht messbare Dimensionen strukturieren digitale Souveränität – von strategischer Unabhängigkeit bis zur nachhaltigen Betriebsfähigkeit.
SOV-1: Strategic Sovereignty
SOV-2: Legal & Jurisdictional Sovereignty
SOV-3: Data & AI Sovereignty
SOV-4: Operational Sovereignty
SOV-5: Supply Chain Sovereignty
SOV-6: Technology Sovereignty
SOV-7: Security & Compliance Sovereignty
SOV-8: Environmental Sustainability
Contributing Factors: Was genau bewertet wird
Jedes Ziel wird über Contributing Factors gemessen. Schwächen in einzelnen Faktoren können das Gesamtniveau eines Ziels deutlich senken.
SOV-1: Strategic – Faktoren
SOV-2: Legal & Jurisdictional – Faktoren
SOV-3: Data & AI – Faktoren
SOV-4: Operational – Faktoren
SOV-5: Supply Chain – Faktoren
SOV-6: Technology – Faktoren
SOV-7: Security & Compliance – Faktoren
SOV-8: Environmental Sustainability – Faktoren
SEAL: Sovereignty Effective Assurance Levels
Das Framework definiert fünf Stufen als gemeinsame "Währung" für Mindestniveaus pro Souveränitätsziel. Beschaffer definieren Mindest-SEAL je SOV-Ziel; Nichterfüllung führt zur Ablehnung des Angebots.
SEAL-0: Keine Souveränität
SEAL-1: Jurisdictional Sovereignty
SEAL-2: Data Sovereignty
SEAL-3: Digital Resilience
SEAL-4: Full Digital Sovereignty
Bewertung & Award-Kriterium
Zusätzlich zum SEAL-Mindestniveau wird ein gewichteter Gesamtscore berechnet. Dieser multipliziert die je Ziel erreichte Punktzahl mit einer Ziel-Gewichtung und summiert über alle acht Souveränitätsziele – zur nuancierten Differenzierung bei mehreren validen Angeboten.
Berechnungsformel
Gesamtscore = Σ (Erreichte Punkte / Max. Punkte) × Gewichtung über alle 8 Ziele. Beispiel: Bei SOV-5 erreicht ein Anbieter 80 von 100 Punkten → (80/100) × 20% = 16% Beitrag zum Gesamtscore. Die Summe über alle Ziele ergibt den finalen Souveränitäts-Score (0-100%).
Gewichtung der Ziele
SOV-1 (15%), SOV-2 (10%), SOV-3 (10%), SOV-4 (15%), SOV-5 (20%), SOV-6 (15%), SOV-7 (10%), SOV-8 (5%). Höhere Gewichtung für Lieferkette, Operations und Technologie; Security/Compliance gelten als ohnehin stark abgesichert.
Evidenzbasierte Bewertung
Beschaffer fordern konkrete Nachweise: Verträge, SOC-Runbooks, Schlüsselmanagement-Architektur, Datenflussschemata, SBOM/Lieferketten-Transparenz, Auditberichte, Nachweise EU-Standorte/-Teams. Öffentliche Dokumentation wird einbezogen.
Contributing Factors
Jedes Ziel wird anhand spezifischer Faktoren bewertet – z.B. bei SOV-3: BYOK, AI-Auditierbarkeit, EU-Datenlokalisierung; bei SOV-4: Exit-Fähigkeit, EU-Support, vollständige Doku/Source. Materiale Schwächen drücken das SEAL-Level.
Wie Beschaffer das Framework anwenden
Das Framework ist als praktisches Werkzeug für öffentliche Beschaffung konzipiert. Es verbindet Mindestanforderungen (Pass/Fail über SEAL) mit nuancierter Differenzierung (Award-Score) – und fordert durchgängig verifizierbare Evidenzen statt bloßer Absichtserklärungen.
1. Mindest-SEAL definieren
Beschaffer legen für jedes der acht SOV-Ziele ein Mindest-SEAL-Level fest – z.B. SEAL-3 für SOV-4/6/7 (Operations/Technologie/Security), SEAL-2 für SOV-2/3 (Recht/Daten). Angebote, die ein Mindest-SEAL nicht erreichen, werden ausgeschlossen.
2. Evidenzen verlangen
Bieter müssen harte Nachweise liefern: Verträge mit Gerichtsstand, SOC-Runbooks, Schlüsselmanagement-Architektur, Datenflussschemata, SBOMs, ISO-Scopes, Auditberichte, Nachweise zu EU-Standorten/-Teams. Öffentliche Dokumentation wird einbezogen und verifiziert.
3. Score berechnen
Bei mehreren validen Angeboten wird der gewichtete Souveränitäts-Score angewendet: Je SOV-Ziel werden erreichte Punkte (relativ zum Maximum) mit der Ziel-Gewichtung multipliziert und summiert. Der Score ermöglicht nuancierte Rangfolge jenseits "Ja/Nein".
4. Fragenkatalog nutzen
Das Framework stellt konkrete Kontrollfragen bereit – z.B. "Wo liegen entscheidungsbefugte Organe?", "Welche Schlüsselverwaltung für Kundendaten?", "Gibt es Nicht-EU-Sub-Supplier?". Diese Fragen bilden den roten Faden für Submission und Evaluation.
Implikationen für Cloud-Anbieter
Das Framework verschiebt den Fokus von bloßer Zertifizierung hin zu nachweisbarer Unabhängigkeit, Kontrolle und Exit-Fähigkeit – technisch, organisatorisch, rechtlich. "Sovereign-Washing" ohne echte technische/organisatorische Entkopplung erreicht voraussichtlich nicht SEAL-4.
Chance für EU-Anbieter
Europäische Anbieter können Stärken in Offenheit (Standards, Open Source), EU-basierten Operations, Lieferkettentransparenz und Datensouveränität direkt monetarisieren – als messbarer Vorteil im Award-Score.
Was zählt
Verifizierbare Eigenschaften: EU-basierter Betrieb/Support/Logging (SOV-7), BYOK/HSM und EU-Datenlokalisierung (SOV-3), standardisierte, portierbare Architekturen (SOV-4/6), nachvollziehbare Lieferketten (SOV-5), Governance-Absicherung (SOV-1/2).
Risiko: Sovereign-Washing
"Souveränitäts-Labels" ohne substanzielle technische oder organisatorische Abschirmung werden im Framework voraussichtlich maximal SEAL-2 erreichen – formale Jurisdiktion, aber materielle Abhängigkeiten.
Technische Anforderungen für SEAL-4
Um SEAL-4 (Full Digital Sovereignty) über alle acht Ziele zu erreichen, sind konkrete technische und organisatorische Maßnahmen erforderlich. Diese gehen weit über klassische ISO-Zertifizierungen hinaus.
Kundenschlüssel-Hoheit
Exit-Fähigkeit
Vollständige Dokumentation
SBOM & Supply Chain
EU-Datenlokalisierung
EU-basierte Operations
ayedo und das Cloud Sovereignty Framework
Unsere Managed Services und unsere Software Delivery Plattform erfüllen die Anforderungen des Frameworks systematisch – von Grund auf designed für echte digitale Souveränität europäischer Organisationen.
SOV-1: Strategic Sovereignty
SOV-2: Legal Sovereignty
SOV-3: Data & AI Sovereignty
SOV-4: Operational Sovereignty
SOV-5: Supply Chain Sovereignty
SOV-6: Technology Sovereignty
SOV-7: Security & Compliance
SOV-8: Environmental Sustainability
Ziel: SEAL-4 über alle Ziele
Cloud Sovereignty Framework im regulatorischen Kontext
Cloud Sovereignty & NIS-2
NIS-2 fordert BCP/DR und Supply-Chain-Management für kritische Infrastrukturen. Das Framework bewertet Unabhängigkeit und Kontrolle – direkt relevant für NIS-2-Lieferkettenrisiken und die Resilienz kritischer Infrastrukturen. EU-basierte, souveräne Stacks reduzieren Jurisdiktions- und Konzentrationsrisiken.
Cloud Sovereignty & DORA
DORA fordert IKT-Drittparteirisiko-Management inkl. Exit-Fähigkeit. Das Framework bewertet Exit-Fähigkeit, Kontrolle und Unabhängigkeit – Faktoren, die DORA-Drittparteirisiken direkt adressieren. EU-basierte, souveräne IKT-Stacks reduzieren Jurisdiktions- und Konzentrationsrisiken.
Cloud Sovereignty & CRA
CRA fordert Sicherheit über Produktlebenszyklus (Security by Design, SBOM, Vulnerability-Management). Das Framework bewertet Technologie-Souveränität (SOV-6): offene Standards, Open Source, Transparenz. Zusammen: sichere EU-Produkte mit offenen Standards, Transparenz, Exit-Fähigkeit – ohne Lock-in.
Cloud Sovereignty & Data Act
Der Data Act fordert technische/vertragliche Maßnahmen gegen Vendor Lock-in – direkt relevant für Framework-Bewertung operationaler Souveränität (SOV-4). Interoperabilität und standardisierte Schnittstellen werden zum regulatorischen Standard. Offene Standards, Exit-Strategien = maximale Kontrolle.
Cloud Sovereignty & GDPR
GDPR fordert Datenschutz, Sicherheit (Art. 32), Schutz bei Drittlandübermittlungen (Kap. V). Das Framework bewertet Daten-/AI-Souveränität (SOV-3): EU-Datenhaltung, Kundenschlüssel-Hoheit, Exit-Fähigkeit. EU-only-Stacks mit BYOK = GDPR-native.
CIGREF Trusted Cloud v2 & Gaia-X
CIGREF Trusted Cloud (Frankreich) als Referenzmodell für vertrauenswürdige Cloud-Dienste. Gaia-X als europäische Dateninfrastruktur-Initiative. Das EU-Framework baut auf CIGREF-Prinzipien auf, übernimmt Gaia-X-Prinzipien zu Transparenz, Portabilität, Interoperabilität und macht sie beschaffungsrelevant mit operationalisierbaren Bewertungskriterien und SEAL-Levels.
Nationale Souveränitäts-Strategien
"Cloud de Confiance" (Frankreich), "Souveräne Cloud" (Deutschland), nationale Strategien in NL/BE/IT. Das Framework harmonisiert nationale Ansätze zu einem einheitlichen EU-weiten Bewertungsraster – für grenzüberschreitende Beschaffungen. SEAL-Levels als gemeinsame Währung.
ayedo Compliance-Übersicht
Wie ayedo Cloud Sovereignty Framework, NIS-2, DORA, CRA, Data Act, GDPR, ISO 27001 und weitere Standards systematisch adressiert. Zertifizierungen, Prozesse, technische Maßnahmen und Audit-Bereitschaft – hier finden Sie unsere vollständige Compliance-Roadmap.
Framework vs. klassische Zertifizierung
Das Cloud Sovereignty Framework geht weit über klassische ISO/SOC-Zertifizierungen hinaus. Es fordert verifizierbare Unabhängigkeit, Kontrolle und Exit-Fähigkeit – nicht nur "Security Assurance".
Souveränität vs. Security
ISO 27001 fokussiert auf Informationssicherheit (Prozesse, Kontrollen, Risikomanagement). Das Framework bewertet digitale Souveränität: Wer kontrolliert den Anbieter? Welche Jurisdiktion gilt? Gibt es extraterritoriale Zugriffsmöglichkeiten (CLOUD Act, FISA)? Wie exit-fähig sind Sie?
ISO 27001 und Souveränität sind komplementär – das Framework ergänzt Security-Zertifizierungen um die Kontrolldimension.
Evidenzbasiert statt Checkbox
Statt "Ja/Nein"-Checklisten fordert das Framework verifizierbare Evidenzen: Verträge mit Gerichtsstand, Schlüsselmanagement-Architektur, SBOMs, Datenflussschemata, Exit-Runbooks.
Öffentliche Dokumentation wird einbezogen und verifiziert.
Differenzierung über Score
Klassische Beschaffungen sind oft binär (zertifiziert/nicht zertifiziert). Das Framework ermöglicht nuancierte Rangfolge über den gewichteten Souveränitäts-Score.
Ideal für Best-Value-Vergaben mit differenzierter Bewertung.
Sovereign-Washing erkennen
Das Framework macht "Souveränitäts-Labels" ohne substanzielle Entkopplung sichtbar: Anbieter mit Nicht-EU-Kontrolle erreichen maximal SEAL-2, unabhängig von Marketing-Claims.
Echte Souveränität wird messbar und verifizierbar.
Starten Sie Ihre souveräne Cloud-Reise
Ob Sie das Cloud Sovereignty Framework für eine Beschaffung anwenden oder einfach Ihre digitale Unabhängigkeit stärken möchten – wir unterstützen Sie mit Beratung, Plattform und langfristigem Betrieb.
Framework-Beratung
Wir helfen Ihnen, die acht Souveränitätsziele auf Ihre Organisation zu übertragen, SEAL-Mindestlevels zu definieren und Award-Kriterien zu gewichten.
Souveräne Plattform
Unsere Managed Kubernetes Plattform erfüllt die Framework-Anforderungen out-of-the-box – mit vollständiger Transparenz und Kontrolle.
Migration & Exit
Sie nutzen bereits andere Cloud-Anbieter? Wir unterstützen Sie bei vendor-unabhängigen Migrationen – ohne Lock-in, mit vollständiger Exit-Fähigkeit.
