03.11.2026 – Das Thema Digitale Souveränität ist derzeit in der Energiewirtschaft omnipräsent und beschäftigt auch spezialisierte IT-Dienstleister wie Arvato Systems intensiv. Projekterfahrungen zeigen: Es gibt keine Patentrezepte, aber durchaus zielführende Wege.
Die geopolitischen Entwicklungen der vergangenen Jahre haben gezeigt, wie fragil vermeintlich stabile Wirtschaftsbeziehungen und Technologiepartnerschaften tatsächlich sind und welch gravierende Auswirkungen einseitige Abhängigkeiten haben können. Gleichzeitig zeigen Analysen des Centre on Regulation in Europe (CERRE), dass rund 80 Prozent der Hardwarekomponenten, Softwarelösungen, digitale Dienstleistungen und Infrastruktur aus Nicht-EU-Ländern stammen.
Foto: Vaclav P3k / shutterstock.com
Das betrifft naturgemäß auch die deutschen Versorger und Netzgesellschaften, die als Betreiber kritischer Infrastrukturen bereits den hohen IT-Sicherheitsanforderungen aus dem KRITIS-Dachgesetz und NIS2 unterliegen. „Nun stellt sich darüber hinaus die Frage, ob und wie sie ihre IT auch in Krisen- und Eskalationssituationen zuverlässig steuern können“, sagt Dr. Martha Klare. Sie forscht an der Universität der Bundes wehr in München zur digitalen Souveränität der Energiebranche. „Ein aktuelles Beispiel, das die Branche derzeit besonders bewegt, ist der U.S. Cloud Act. Es herrscht Unsicherheit darüber, ob tatsächlich Datenabfluss durch U.S.-amerikanische Hyperscaler möglich ist“, führt sie aus.
Das Digitalisierungsdilemma
Das Risiko, das sich daraus ableitet, verdeutlicht das grundsätzliche Dilemma, denn eben diese Cloud-Services sind zum Motor der digitalen Transformation deutscher Energieversorger geworden. Dr. Martha Klare: „Die Branche steht damit vor einer doppelten Herausforderung: Sie muss ihre IT konsequent modernisieren und gleichzeitig sicherstellen, dass kritische Versorgungsprozesse auch unter veränderten Rahmenbedingungen zuverlässig funktionieren.“ Doch wie geht das?
Strategie vor Technologie
Erste souveräne Technologien und Lösungen sind bereits am Markt verfügbar. Die Expertin von Arvato Systems rät jedoch, den Fokus zunächst überhaupt nicht auf konkrete Anwendungen und Angebote zu richten, sondern zunächst eine Gesamtsicht auf den tatsächlichen Bedarf zu entwickeln. Daran mangele es häufig noch: „Wir erleben in Projekten zwar ein steigendes Bewusstsein für digitale Souveränität und kritische Abhängigkeiten – wichtige Informationen dazu sind je doch in den Unternehmen oft über verschiedene Bereiche verteilt. Welche Prozesse besonders kritisch sind, wo Daten fließen und von welchen Anbietern sie abhängen, ist selten in einem gemeinsamen Bild zusammengeführt“, berichtet Dr. Martha Klare.
In der Folge geschieht es bisweilen, dass souveräne Lösungen er probt oder gar eingeführt werden, bevor geklärt ist, welche Probleme eigentlich adressiert werden sollen. Die jedoch ergeben sich in aller Regel nicht nur aus der gewählten Infrastruktur. „In Kundensituationen zeigt sich, dass die entscheidenden Abhängigkeiten keineswegs nur beim Cloud-Anbieter liegen: Auch proprietäre Anwendungen, mangelnde Datenportabilität, eingeschränkte Exit Fähigkeit, fehlendes internes Know-how oder die vertraglichen Regelungen mit Dienstleistern können die digitale Souveränität begrenzen“, so Dr. Martha Klare. Ein wichtiger erster Schritt besteht nach ihrer Einschätzung somit darin, vorhandenes Wissen zusammenzuführen und daraus den konkreten Handlungsbedarf abzuleiten und die Umsetzung zu konkretisieren.
Souveränität ist themenspezifisch
Quelle: Arvato Systems GmbH
Abhängigkeit beherrschen
Diese Vorarbeiten helfen, konkret festzulegen wieviel digitale Souveränität möglich und sinnvoll ist. „Wer vollständige Kontrolle über alle digitalen Bausteine im Unternehmen haben möchte, muss in letzter Konsequenz alles selbst entwickeln und und im Haus vorhalten. Das ist schlechterdings nicht möglich und auch nicht wünschenswert“, führt die Expertin von Arvato Systems aus. Es gehe vielmehr um die Fähigkeit, technologische Abhängigkeiten bewusst zu erkennen, ihre Risiken zu kennen und auch unter veränderten Bedingungen handlungsfähig zu bleiben. Ganz entscheidend ist dabei der kritische Blick auf einzelne Prozesse. Hier gelte es, realistisch abzuwägen, ob im fraglichen Use Case eher die Kontrolle oder die Leistungsfähigkeit im Vordergrund steht: „Bei einem KI-Use-Case kann die Leistungsfähigkeit und Skalierbarkeit einer Lösung besonders wichtig sein. Bei der Verarbeitung sensibler Daten im Rahmen der Netzsteuerung sollten die Kontrolle über Zugriffe und den späteren Wechsel im Vordergrund stehen“, erläutert Dr. Martha Klare.
Systematisch zum Ziel
In der Umsetzung ist der Weg zur digitalen Souveränität allerdings kleinteilig und komplex. Es gilt, systematisch kritische Daten zu identifizieren und zu kontrollieren, Anbieter- und Plattformabhängigkeiten zu reduzieren, praktikable Exit- und Migrationspfade sowie klare Verantwortlichkeiten und belastbare Betriebsmodelle aufzubauen. Sind diese Hausaufgaben gemacht, lassen sich konkrete Technologieentscheidungen qualifiziert treffen – respektive bewerten, sagt die Beraterin und konkretisiert: „Energieversorger können also auch spezialisierte Plattformdienste nutzen – sofern transparent ist, welche Daten dort verarbeitet werden, wer darauf zugreifen kann und wie die Daten bei einem Anbieterwechsel übertragen werden.“ Migrations- und Exitstrategien sollten darüber hinaus dokumentiert und getestet sein.
Das Team von Arvato Systems bestimmt gemeinsam mit Kunden, welche Fähigkeiten, Daten, Anwendungen und Abhängigkeiten tatsächlich kritisch sind und erstellt auf dieser Basis Risikoprofile. Darauf auf bauend werden Risiken und Handlungsoptionen bewertet und europäische und alter native Lösungsangebote evaluiert.
Regulatorik und Governance
In diesem Zusammenhang verweist Dr. Martha Klare auch auf bestehende, unabhängige Referenzen wie der Norm ISO/IEC TS 10866:2024 (Cloud computing and distributed platforms – Framework and concepts for organizational autonomy and digital sovereignty) oder das EU Tech Sovereignty Package, die helfen Auswirkungen auf das Geschäft zu analysieren und verschiedene souveräne Angebote vergleichbar zu machen. „Dieser Rahmen ist gesetzt und wird kontinuierlich erweitert. Er bietet Stadt werken, Versorgern und Netzbetreibern, aber auch Technologieanbietern deutlich mehr Orientierung als wohltönende Marketing-Versprechen“, sagt die Beraterin.
Ein zentraler Schritt auf dem Weg zum Ziel bestehe schließlich darin, digitale Souveränität fest in Governance-Mechanismen zu verankern. Dazu sollten Souveränitätskriterien in bestehende Architektur-, Be schaffungs- und Datenprozesse integriert werden. Für kritische Anwendungen und Anbieter werden Abhängigkeiten, Datenflüsse, Zugriffsrechte, Portabilität und Exit Optionen dokumentiert und regelmäßig bewertet. Klare Zuständigkeiten und feste Prüfpunkte – etwa bei Neuanschaffungen, Vertragsverlängerungen oder wesentlichen Änderungen – sorgen dafür, dass digitale Souveränität über den gesamten Lebenszyklus mitgedacht wird. (pq)