Sollen hier absolute Kriterien aufgeweicht werden?
Vielleicht möchte das BSI mit seinen Kriterien die Absolutheit aufweichen, die das Thema digitale Souveränität prägt. Kein US-Hersteller, -Dienstleister, -Partner oder Anbieter mit signifikanter US-Präsenz kann unter heute geltenden Rechtsnormen digitale Souveränität anbieten.
Geltende US-Gesetze, allen voran Cloud und Patriot Act, widersprechen europäischen Werten und Regularien diametral. Dass das in den vergangenen Jahrzehnten nicht öffentlich, politisch und in Sachen Compliance thematisiert wurde, wird als einer der größten Erfolge US-amerikanischer Lobbypolitik in Europa in die Geschichte eingehen.
Es gibt keine abgestufte digitale Souveränität
Wie Sicherheit lässt sich digitale Souveränität nicht klassifizieren. Sie ist ein Merkmal, das entweder da ist oder nicht. "Ein bisschen souverän" gibt es genauso wenig wie "ein bisschen sicher". Dennoch ignorieren ganze Branchen diese Realität.
Wenn das BSI schreibt: "Digital Souverän ist der, der die Fähigkeiten und Möglichkeiten von Individuen und Institutionen, ihre Rolle(n) in der digitalen Welt selbstständig, selbstbestimmt und sicher ausüben lassen kann", möchte man fragen: auf allen OSI-Layern, also von der Hardware (CPU/GPU/andere Chips) übers Netzwerk (Router und Switches) bis hin zu Betriebssystem, Anwendungssoftware und über die Anwender auf Layer 8 hinaus auch im Management?
Risikobewertung darf nicht in die Irre führen
Digital souverän kann nur sein, wer auf allen Ebenen "selbstständig, selbstbestimmt und sicher" agiert – frei von Bindungen an Konzerne, Backdoors oder Überwachung, unabhängig vom Risiko.
Das Zendis-Whitepaper Souveränitätswashing (PDF)(öffnet im neuen Fenster) vom August 2025 definiert in Abschnitt 2: "Ein Höchstmaß an digitaler Souveränität bietet eine digitale Lösung dann, wenn sie rechtssicher/DSGVO-konform betrieben werden kann (bspw. ohne Zugriff durch ausländische Behörden auf Daten)."
Wehnes ergänzt: "Eine abgestufte digitale Souveränität vom Risikopotenzial abhängig zu machen, führt in die falsche Richtung. Die K.O.-Kriterien gelten für alle IT-Lösungen der öffentlichen Verwaltung ausnahmslos, unabhängig von der Risikoklasse. Die risikobasierte Anwendung darf nur die Prüftiefe beeinflussen, nicht das Ob der Erfüllung."