Die Kommission fördert die Cloud-Souveränität durch strategische Beschaffung

Im April dieses Jahres hat die Europäische Kommission ihre Ausschreibung für Sovereign Cloud vergeben, durch die die EU-Institutionen, -Einrichtungen, -Ämter und -Agenturen (Unionsstellen) Sovereign-Cloud-Dienste im Wert von bis zu 180 Millionen Euro über einen Zeitraum von sechs Jahren beschaffen können.

Die Ausschreibung wurde im vergangenen Oktober im Rahmen der Bemühungen der Kommission zur Stärkung der digitalen Souveränität der Unionsorgane gestartet. Ein weiteres Ziel der Ausschreibung war es, den Markt zu ermutigen, souveräne digitale Lösungen anzubieten, die mit EU-Recht und -Werten vereinbar sind. 

Die ausgezeichneten Anbieter 

Die Kommission vergab vier Aufträge, um Diversifizierung und Widerstandsfähigkeit zu gewährleisten und eine mögliche Abhängigkeit von einem einzigen Anbieter zu vermeiden.  

Die ausgezeichneten Anbieter sind: 

• Eine luxemburgisch-französische Partnerschaft unter der Führung von Post Telecom mit OVHCloud und CleverCloud
• Das deutsche Unternehmen StackIT (Schwarz-Gruppe)
• Das französische Unternehmen Scaleway (Iliad-Gruppe)
• Eine belgisch-französisch-luxemburgische Partnerschaft unter der Führung von Proximus, die Dienste von S3NS (einem Joint Venture zwischen Thales und Google Cloud), Clarence und Mistral nutzt.  

Wie wurden die Anbieter ausgewählt? 

Um die Souveränität der Anbieter zu beurteilen, entwickelte die Kommission die Rahmenwerk für Cloud-Souveränität Dieses Rahmenwerk übersetzt digitale Souveränität in objektive, messbare Beschaffungskriterien. Es misst die Souveränität anhand von acht konkreten Zielen – von strategischen, rechtlichen, operativen und ökologischen Aspekten bis hin zu Transparenz der Lieferkette, technologischer Offenheit, Sicherheit und der Einhaltung von EU-Recht. Es führt die Souveränitätswirksamkeits-Sicherungsstufen (SEAL) ein, die von SEAL-0 (völliger Mangel an Souveränität) bis SEAL-4 (vollständige EU-Lieferkette von Chips bis Software) reichen. 

Um als teilnahmeberechtigt zu gelten, mussten die Anbieter das SEAL-2-Niveau – ein Niveau der Datensouveränität – erreichen. Dies bedeutet, dass sie die EU-Gesetze und -Vorschriften einhalten, ohne dass vom Kunden zusätzliche technische Maßnahmen zum Schutz seiner Daten erforderlich sind. Die meisten der ausgezeichneten Anbieter erreichten das SEAL-3-Niveau – digitale Resilienz –, was bedeutet, dass ihre Dienstleistungen, Technologien oder Abläufe vor Lieferkettenunterbrechungen durch Drittparteien außerhalb der EU geschützt sind. 

Modernste europäische Technologie 

Post Telecom hat zusammen mit seinen Partnern CleverCloud, OVHcloud, StackIT und Scaleway, die alle eigene Technologien entwickeln, das SEAL-3-Niveau erreicht, während Proximus/S3NS SEAL-2 erreichte. Dies bedeutet, dass die ausgezeichneten Anbieter überwiegend europäische Technologien nutzen und nicht von Drittanbietern außerhalb der EU blockiert werden können. Darüber hinaus profitiert Proximus von den Kapazitäten der Partner S3NS, Clarence und Mistral in einer technischen Umgebung auf Basis der Google Cloud-Technologie, die ausschließlich von EU-Unternehmen betrieben wird.  

Obwohl die Souveränität ein wichtiger Faktor war, mussten die ausgewählten Anbieter nachweisen, dass sie zuverlässige und hochmoderne Technologien und Dienstleistungen bereitstellen können, mit einem starken Fokus auf vollständig verwaltete Services (PaaS), Entwicklerfreundlichkeit und Automatisierung. Alle ausgezeichneten Anbieter liefern in diesem Bereich eine hohe technische Qualität und zeigen damit, dass EU-Anbieter den Rückstand aufholen. Alle ausgezeichneten Anbieter erzielen zudem hohe Sicherheitsbewertungen und weisen eine hervorragende Abdeckung im Bereich der Sicherheitszertifizierungen auf. 

Meilenstein der digitalen Souveränität 

Mit der erfolgreichen Einführung von Souveränität bei der Beschaffung von Cloud-Diensten leistet die Kommission einen wichtigen Beitrag zur Stärkung der digitalen Souveränität Europas und setzt Maßstäbe für die sichere, konforme und wertebasierte Einführung von Cloud-Lösungen im öffentlichen Sektor. Der Erfolg der Ausschreibung unterstreicht die hohe Qualität europäischer Anbieter und beweist deren Fähigkeit, die strengen Kriterien der Kommission zu erfüllen. Er zeigt zudem, dass auch außereuropäische Technologien, sofern sie in einem strengen und angemessenen Rahmen betrieben werden, das erforderliche Mindestmaß an Souveränität gewährleisten können.  

Vor der Entwicklung des Sovereign Cloud Frameworks war es nicht möglich, digitale Souveränität zu messen. Dies erschwerte ihre Integration in Vergabeverfahren. Das Framework bietet nun eine klare und standardisierte Methode zur Bewertung von Cloud-Diensten und führt von abstrakten Prinzipien zu konkreten Souveränitätskennzahlen. Es gibt Unternehmen einen klaren Rahmen vor, auf den sie sich konzentrieren sollten. 

Nächste Schritte 

Die Kommission wendet die entwickelten Souveränitätskriterien an, um die Souveränität bei den digitalen Diensten, die sie ihren Abteilungen und anderen Einrichtungen der Union anbietet, zu bewerten und zu verbessern. 

Die Kommission wird zudem eine aktualisierte Version des Sovereign Cloud Frameworks veröffentlichen, die auf den Erkenntnissen aus dieser Ausschreibung basiert. Alle Organisationen, die den Ansatz der Kommission übernehmen möchten, können ihn gerne verwenden. 

Weitere Informationen 

Rahmenwerk für Cloud-Souveränität 

Teile diesen Artikel: