Souveränität kommt jetzt mit einer Scorecard. Raten Sie, welche Ebene darauf fehlt.

TL;DR: Im Juli 2026 hat die europäische digitale Souveränität still eine Schwelle überschritten: Sie wurde messbar. Am 16. Juli veröffentlichte die Europäische Kommission die Umsetzungshinweise zu ihrem Cloud Sovereignty Framework – dasselbe Bewertungsmodell mit acht Zielen, nach dem sie ihre 180 Millionen Euro schwere Ausschreibung für souveräne Cloud vergeben hat – und gibt damit jeder Organisation einen konkreten Maßstab zur Bewertung ihrer Anbieter an die Hand. Am 2. August beginnt die Durchsetzung der Bestimmungen der KI-Verordnung (AI Act) zu KI-Modellen mit allgemeinem Verwendungszweck, und der neue Aktionsplan der Kommission für Cybersicherheit und KI macht deutlich: welches Modell welche Daten verarbeitet, und wo wird demnächst eine prüfbare Frage. Die Ära der Souveränität als Slogan endet; die Ära der Souveränität als Scorecard hat begonnen. Doch prüfen Sie mit dieser Scorecard einen typischen europäischen Stack, und Sie finden eine Ebene, die nie eine eigene Zeile bekommt: die, die alles andere verbindet. Diese Lücke können Sie sich nicht länger leisten.

Wir haben in dieser Reihe durchgehend argumentiert, dass europäische digitale Souveränität im Kern ein Integrationsproblem ist – dass eine Souveränitätskette nur so stark ist wie ihr schwächstes Glied, und dass das schwächste Glied meist die Ebene ist, die niemand einzustufen denkt. Als die Kommission im Juni ihr Paket zur technologischen Souveränität vorlegte, wurde aus diesem Argument eine gesetzgeberische Richtung. In diesem Monat wurde daraus Rechenarbeit.

Vom Rahmenwerk zum Maßstab

Das Cloud Sovereignty Framework selbst ist nicht neu – die Kommission stellte es im Oktober 2025 vor und wickelte damit die erste Cloud-Beschaffung der EU mit ausdrücklichen Souveränitätskriterien ab: die 180 Millionen Euro schwere Ausschreibung, die im April an vier europäische Anbietergruppen ging – Post Telecom (mit CleverCloud und OVHcloud), STACKIT, Scaleway und Proximus.

Was sich am 16. Juli geändert hat: Die Kommission veröffentlichte auf Nachfragen dazu, wie sie das Rahmenwerk tatsächlich angewandt hat, eine öffentliche Erläuterung samt Umsetzungshinweisen. Das Rahmenwerk bewertet Anbieter anhand von acht Zielen – strategisch, rechtlich und jurisdiktionell, Daten und KI, operativ, Lieferkette, Technologie, Sicherheit und Compliance sowie ökologische Nachhaltigkeit – und die Hinweise zeigen, wie sich diese Ziele in eine Bewertung übersetzen. Die erklärte Absicht der Kommission ist, die Souveränitätsbewertung von abstrakten Grundsätzen weg und hin zu konkreten, standardisierten Kennzahlen zu bewegen.

Lesen Sie das genau, denn es verändert, für wen dieses Dokument gedacht ist. Eine Bewertungsmethodik, die einmal intern für eine Ausschreibung verwendet wird, ist eine Fußnote des Vergaberechts. Eine veröffentlichte Methodik mit Umsetzungshinweisen ist ein Maßstab – einer, den jede europäische Organisation, öffentlich wie privat, nun an den eigenen Stack anlegen kann. Und einer, den Beschaffungsabteilungen, Auditoren und Vorstände anlegen werden, ob Sie sie dazu einladen oder nicht.

Ein Detail der Ausschreibung lohnt einen Moment. Die Kommission setzte die Mindestschwelle für die Teilnahme auf die zweite ihrer Vertrauenswürdigkeitsstufen – ein bewusstes Signal, dass nicht-europäische Technologie, eingefasst in strenge lokale Betriebskontrollen, eine Grundlinie erfüllen kann. Europäische Cloud-Anbieter kritisierten diese Wahl; sie wollten Stacks mit Auslandsbezug rundweg ausgeschlossen sehen. Doch die Position der Kommission ist die lehrreichere: Souveränität ist kein Nationalitätstest für Logos. Sie ist eine Eigenschaft der Kette, bewertet Stufe für Stufe, Ebene für Ebene, über die gesamte Lieferkette hinweg. Genau deshalb ist die Ebene, die Sie zu bewerten vergessen, diejenige, die Ihr tatsächliches Ergebnis bestimmt.

2. August: Die KI-Spalte wird konkret

Das Ziel „Daten und KI" mochte als das weichste der acht erscheinen – bis zu diesem Monat. Am 7. Juli stellte die Kommission ihren Aktionsplan für Cybersicherheit und künstliche Intelligenz vor. Er schafft für sich genommen keine neuen Pflichten; er ist ein koordinierender Rahmen über die KI-Verordnung, NIS2, DORA, den Cyber Resilience Act und den Cyber Solidarity Act hinweg. Doch er kommt drei Wochen vor einem Datum, das sehr wohl Pflichten mit sich bringt: Am 2. August 2026 beginnt die Durchsetzung der Bestimmungen der KI-Verordnung zu KI-Modellen mit allgemeinem Verwendungszweck, und der Praxisleitfaden für KI-Modelle mit allgemeinem Verwendungszweck legt fest, wie Compliance für Anbieter fortgeschrittener Modelle aussieht.

Der Aktionsplan skizziert, wohin die Reise geht: eine EU-Kapazität zur Bewertung fortgeschrittener KI-Modelle, ein Konzept für strukturierten Zugang, eine sichere Testplattform – und, bemerkenswert, eine Critical Open Source Resilience Campaign. Open Source ist im Denken Brüssels keine Fußnote mehr; sie ist benannte Infrastruktur und steht mit eigenem Gewicht auf der Resilienzagenda.

Für Organisationen ist die praktische Folge dieselbe, auf die wir beim Juni-Paket hingewiesen haben – jetzt mit einem Datum versehen: welches KI-Modell welche Daten verarbeitet, in welchem Rechtsraum, unter wessen Kontrolle ist keine Feinheit im Architekturdiagramm mehr, sondern etwas, das Sie möglicherweise nachweisen müssen. Wenn Ihre ehrliche Antwort heute lautet „welches Modell die Integration gerade aufruft, müssten wir nachsehen" – genau das ist die Lücke.

Und wer am Durchsetzungswillen zweifelt, sei daran erinnert, dass die Kommission einen Tag nach Veröffentlichung des Aktionsplans vier Mitgliedstaaten wegen unvollständiger Umsetzung von NIS2 vor dem Gerichtshof der Europäischen Union verklagt hat. Die Maschinerie läuft.

Machen Sie die Scorecard. Finden Sie die fehlende Zeile.

Hier ist die Übung, die wir jedem europäischen CIO in diesem Quartal empfehlen würden. Nehmen Sie die acht Ziele. Listen Sie die Ebenen Ihres Stacks auf: Cloud-Infrastruktur, Identitätsverwaltung, Kollaboration, Datenplattformen, die KI-Modelle, die Sie eingeführt haben. Bewerten Sie jede einzelne. Die meisten Organisationen, die Souveränität ernst genommen haben, werden überall ordentliche Noten finden.

Suchen Sie nun die Zeile für Ihre Integrationsplattform – die Ebene, die Daten zwischen allen anderen bewegt, Zugangsdaten zu jedem System hält, das sie berührt, und zunehmend entscheidet, welches KI-Modell was zu sehen bekommt.

Bei den meisten Organisationen gibt es diese Zeile nicht. Die Integrationsebene wurde vor Jahren als Produktivitätswerkzeug beschafft, bewertet nach Zahl der Konnektoren und nach Funktionslisten, nie nach Rechtsraum, Transparenz der Lieferkette oder operativer Kontrolle. Handelt es sich um ein US-kontrolliertes, proprietäres iPaaS, dann kommuniziert jede Ihrer sorgfältig bewerteten souveränen Ebenen über eine Komponente, die genau jene Prüfung nicht bestehen würde, die Sie überall sonst bestanden haben. Das Rahmenwerk misst die Kette; die Kette läuft durch das Glied, das Sie nie gemessen haben.

Das ist keine hypothetische Schwäche. Gemessen an den acht Zielen ist die Integrationsebene wohl die am stärksten exponierte Ebene im Stack: Sie berührt die meisten Daten (Daten und KI), hält die meisten Zugangsdaten (Sicherheit), untersteht dem Rechtsraum eines Anbieters (rechtlich), hängt von dessen Fortbestand ab (operativ – eine Lehre, die die Episode um die Aussetzung des Fable-Modells im Juni auf die harte Tour erteilt hat) und ist typischerweise die intransparenteste Komponente im Betrieb (Lieferkette, Technologie).

Wie eine bestandene Note aussieht

Wir geben hier keine Neutralität vor: Fasthub wurde gebaut, um die Ebene zu sein, die diese Scorecard übersteht, und die Entwurfsentscheidungen lassen sich direkt darauf abbilden.

Rechtlich und jurisdiktionell: in Finnland gebaut, aus der EU betrieben, zu 100 % auf EU-Infrastruktur gehostet – kein Mutterkonzern, der einer ausländischen Anordnung unterliegt.

Lieferkette und Technologie: vollständig aus Open-Source-Komponenten gebaut – Kubernetes, Keycloak, Open Policy Agent, Apache Camel, Quarkus. Die höchsten Souveränitätsstufen verlangen vollständige Transparenz der Lieferkette; Open Source ist die einzige Architektur, die das beweisen statt versprechen kann. Was man nicht lesen kann, kann man nicht vollständig prüfen.

Daten und KI: modellunabhängige Orchestrierung mit Durchsetzung von Richtlinien im Integrationsfluss selbst – welches Modell, welche Daten, welcher Rechtsraum, als Konfiguration statt als Beratungsprojekt. Wenn am 2. August die Fragen kommen, stehen die Antworten im Auditprotokoll und nicht in einer Hauruckaktion.

Operativ: Bereitstellung in unserer Managed Cloud in der EU oder in Ihrer eigenen Infrastruktur, und der Austausch des Modells oder der Cloud darunter gelingt ohne Neubau der Integrationen. Ist der Wechsel eine Konfigurationsänderung, haben Sie eine Rückfalloption; ist er ein mehrwöchiges Projekt, haben Sie eine Abhängigkeit mit Zwischenschritten.

Der Punkt ist nicht, dass Fasthub Häkchen setzt. Der Punkt ist, dass es im Juli 2026 überhaupt Häkchen gibt – öffentlich, standardisiert und kurz davor, von Menschen angewendet zu werden, die einkaufen. Souveränität war einmal eine Debatte, die man auf einem Gipfel führen konnte. Jetzt ist sie ein Ergebnis, das Sie in eine Ausschreibung mitbringen. Und es wird über Ihre gesamte Kette berechnet, einschließlich der Ebene, die die Kette zusammenhält.

Sorgen Sie dafür, dass diese Ebene auf Ihrer Scorecard steht, bevor sie auf der von jemand anderem auftaucht.

Fasthub ist eine KI-native Integrationsplattform aus Turku, Finnland – vollständig aus Open-Source-Technologien gebaut und zu 100 % in der EU gehostet.