Souveräne Cloud: die Auswahlkriterien, die unter NIS2, DORA und DSGVO zählen

Warum es zählt

Souveräne oder regionale Varianten einer globalen Plattform hinken dem Hauptkatalog oft um Monate oder Jahre hinterher: weniger Managed Services, spätere Releases, kleinere Instanztypen, fehlende Regionen für Failover. Architekturen, die gegen die globale Dokumentation entworfen wurden, scheitern dann in der souveränen Umgebung oder driften zurück in die globale, was die bezahlte Souveränität still aushebelt.

Warum es zählt

Eine souveräne Plattform muss trotzdem in die Kontrollen passen, die du schon betreibst. Kann sie nicht mit deinem Identity Provider föderieren, bekommen deine Administratoren einen zweiten Satz Konten außerhalb deiner MFA-Richtlinie; lassen sich Audit- und Plattformlogs nicht in brauchbarem Schema in dein SIEM exportieren, sind Vorfälle auf dieser Plattform für das Team unsichtbar, das sie binnen 24 Stunden melden muss; und hinken APIs und Infrastructure-as-Code-Unterstützung der globalen Plattform hinterher, muss jede Automatisierung neu gebaut werden.

Warum es zählt

Eine souveräne Region ist meist kleiner als eine globale: weniger Verfügbarkeitszonen, weniger Reservekapazität, kleinere Instanzfamilien. Kapazität, die in der globalen Plattform reichlich vorhanden ist, kann hier knapp sein, und der Lastspitzenpuffer, den du für den Monatsabschluss oder eine Kampagne einplanst, ist womöglich nicht da, wenn du ihn abrufst. In der globalen Region gemessene Performance sagt nichts über die souveräne.

Warum es zählt

Der Wechsel auf eine souveräne Plattform ist ein Migrationsprojekt, und ihr Betrieb ist tägliche Arbeit. Wie Workloads aufgenommen werden, wie die Plattform gepatcht und aktualisiert wird, was der Anbieter tut und was dein Team, und wie ein Rollout über Hunderte virtuelle Maschinen gestaffelt wird, entscheidet, ob die Plattform mit dem vorhandenen Team betreibbar ist. Eine souveräne Plattform mit schwächerem Werkzeug kann in Personal mehr kosten, als sie an Risiko spart.

Warum es zählt

Du kannst keinen Vorfall melden, den du nicht siehst. Unter NIS2 hast du 24 Stunden für die Frühwarnung, und diese Uhr startet, sobald du Kenntnis hast, was davon abhängt, dass die Plattform es dir sagt. Observability heißt: Die eigenen Audit-Logs der Plattform, Zugriffslogs, Control-Plane-Ereignisse und Metriken stehen dir vollständig, schnell und in einer Form zur Verfügung, die dein Monitoring verarbeiten kann, inklusive dessen, wer auf Anbieterseite deinen Tenant angefasst hat.

Warum es zählt

Souveränität hat mindestens drei Ebenen: rechtlich (welche Jurisdiktion Zugriff erzwingen kann), operativ (wer die Plattform betreibt und supportet, und von wo) und technisch (wer die Schlüssel hält und die Daten lesen kann). Eine in der EU registrierte Gesellschaft, die Tochter eines Nicht-EU-Konzerns ist, kann in die Reichweite von dessen Gesetzen fallen, darunter der US CLOUD Act, der Daten im Besitz, Gewahrsam oder unter Kontrolle des Anbieters unabhängig vom Standort erfasst. Ein Anbieter kann eine Ebene liefern und alle drei vermarkten.

Warum es zählt

Daten in einer EU-Region können trotzdem von Engineers betrieben, überwacht und debuggt werden, die woanders sitzen. Remote-Supportzugriff ist eine Datenübermittlung im Sinne der DSGVO, und seit Schrems II brauchst du dafür eine Rechtsgrundlage und Schutzmaßnahmen. Der Auftragsverarbeitungsvertrag nach Artikel 28 und die technischen und organisatorischen Maßnahmen nach Artikel 32 müssen beschreiben, was der Anbieter tatsächlich tut, und die Subunternehmerliste muss vollständig sein.

Warum es zählt

C5-, ISO-27001- und SOC-2-Berichte decken eine definierte Menge an Services, Regionen und Zeiträumen ab. Nicht der Anbieter ist zertifiziert, sondern bestimmte Services an bestimmten Standorten. Liegt der Service, den du betreiben willst, in der Region, die du nutzen willst, außerhalb des Scopes, nützt dir das Zertifikat auf der Website für deine Auditakte nichts.

Warum es zählt

Bist du ein Finanzunternehmen unter DORA, fällt eine Cloud-Plattform, die kritische oder wichtige Funktionen stützt, unter die strengsten Vertragsregeln, und Artikel 30 setzt die Mindestinhalte: Leistungsbeschreibung und Standorte, Datenschutzbestimmungen, Zugangs-, Prüf- und Inspektionsrechte, Kündigungsrechte, Exit-Unterstützung und Mitwirkung bei Vorfällen. Unter NIS2 ist der Anbieter Teil deiner Lieferkette und muss dich schnell genug für deine 24-Stunden-Frühwarnung informieren. Ein Vertrag, dem das fehlt, lässt sich nicht mit einer internen Richtlinie reparieren.

Warum es zählt

DORA verlangt von Finanzunternehmen ein Informationsregister über alle IKT-Drittdienstleistungen, inklusive der Subunternehmer, die kritische Funktionen stützen, und gibt ihnen Prüf- und Inspektionsrechte. NIS2 Artikel 21 verlangt Lieferkettensicherheit von jeder wesentlichen und wichtigen Einrichtung. Beides hängt davon ab, dass der Anbieter dir sagt, welche Subunternehmer tatsächlich hinter dem Service stehen, dich oder deinen Auditor das prüfen lässt, und es dir erneut sagt, wenn sich die Kette ändert.

Warum es zählt

Cloud-Preise sind ein System aus Hunderten Zählern: Rechenleistung, Speicherstufen, Anfragen, Egress, Supportpläne, reserviert gegen bedarfsweise. Der Listenpreis einer virtuellen Maschine ist der kleinste Teil dessen, was ein Bestand von einigen hundert Maschinen plus Speicher über drei Jahre kostet, und souveräne Angebote tragen oft auf jedem Zähler einen Aufschlag. Ein Vergleich über Listenpreise wählt die falsche Plattform.

Warum es zählt

Eine souveräne Plattform ist meist teurer als die globale, und der Aufschlag kauft etwas: geringere rechtliche Angriffsfläche, eine belastbare Auditakte, Workloads, die du sonst gar nicht in die Cloud bringen könntest. Die Entscheidung ist, ob dieser Wert den Aufschlag für die betreffenden Workloads wert ist, und das lässt sich nur beantworten, wenn der Wert benannt ist: welches Risiko wegfällt, welcher regulierte Workload möglich wird, welche Auditfeststellung verschwindet.

Warum es zählt

Eine Dreijahresbindung auf einer Plattform, die den globalen Katalog noch aufholt, ist eine Wette. Vertragsflexibilität begrenzt den Schaden: das Recht, herunterzuskalieren, mit definierter Vertragsstrafe früher zu gehen, gebundenes Budget zwischen Services zu verschieben, nachzuverhandeln, wenn ein Service eingestellt wird, von dem du abhängst, und zu kündigen, wenn der Anbieter Eigentümer oder Subunternehmer wechselt. DORA Artikel 28 und 30 verlangen für kritische Funktionen ohnehin Kündigungsrechte.

Warum es zählt

Jede Aufsicht fragt nach einer Exit-Strategie, und DORA macht Exit-Pläne für kritische Dienste zur ausdrücklichen Pflicht. Ein Exit, der technisch möglich ist, aber ein Jahr Engineering und eine siebenstellige Egress-Rechnung kostet, ist kein Exit, sondern eine Geiselnahme. Lock-in hat drei Dimensionen: Kosten, Format und Zeit, und proprietäre Managed Services fügen eine vierte hinzu, den Code, den du dagegen geschrieben hast.

Warum es zählt

Ein Plattformwechsel kostet zuerst deine eigenen Leute, bevor er etwas spart: Engineers, die eine neue Konsole und API lernen, Betriebspersonal, das Runbooks neu baut, Security-Personal, das Kontrollen neu validiert, und ein Migrationsteam für die Dauer. Eine souveräne Plattform mit anderer Werkzeugkette als die globale, die du kennst, vervielfacht das. Der interne Aufwand gehört zu Kosten und Zeitplan, und er ist der Teil, den Anbieter nie anbieten.

Warum es zählt

Deine eigenen Pläne für die nächsten ein bis zwei Jahre (ein neues ERP, eine Datenplattform, ein Kubernetes-Standard, eine Konsolidierung der Security-Werkzeuge) brauchen Services, die die Plattform bis dahin haben muss. Souveräne Plattformen veröffentlichen Roadmaps zum Aufholen des globalen Katalogs; steht der Service, von dem dein Projekt abhängt, auf dieser Roadmap statt im Katalog, hängt dein Projektzeitplan jetzt am Zeitplan des Anbieters.

Warum es zählt

Eine Plattformentscheidung stützt entweder die IT- und Security-Strategie, die du aufgeschrieben hast, oder ersetzt sie still. Steht in deiner Strategie Zero Trust, identitätszentrierter Zugriff und ein einziges SIEM, zieht eine Plattform, die keine Identitäten föderieren oder Logs exportieren kann, die Strategie auseinander. Steht darin Multi-Cloud mit portablen Workloads, zieht eine Plattform voller proprietärer Managed Services sie von der anderen Seite auseinander.

Warum es zählt

Die EU-Regulierung von Cloud ist noch in Bewegung: die Wechsel- und Interoperabilitätsregeln des Data Act, das EU-Cloud-Zertifizierungsschema, die Anforderungen des AI Act an KI-Systeme, der Cyber Resilience Act für Produkte mit digitalen Elementen. Eine Plattform, deren Anbieter die nächste Anforderung strukturell nicht erfüllen kann, oder dessen Eigentümerstruktur ihn zum Ziel des nächsten Übermittlungsurteils macht, kostet eine zweite Migration. Zukunftssicherheit heißt fragen, worauf sich der Anbieter davon vorbereitet.

Warum es zählt

Jede kritische Funktion auf einen Anbieter zu setzen ist ein Konzentrationsrisiko, dessen Bewertung DORA und NIS2 beide erwarten, und deine Aufsicht wird fragen, was passiert, wenn dieser Anbieter ausfällt, sanktioniert oder übernommen wird. Ein souveräner Anbieter ist oft kleiner als ein Hyperscaler, was seine eigene finanzielle Stabilität und Eigentümerstruktur zum Teil des Risikos macht. Ein zweiter Anbieter senkt das Risiko nur, wenn ein Workload dort tatsächlich laufen kann, was die meisten Multi-Cloud-Architekturen nie testen.

Warum es zählt

Eine souveräne Plattform lässt sich als Standardangebot betreiben, mit den Referenzarchitekturen, Managed Services und Voreinstellungen des Anbieters, oder als individueller Aufbau, zugeschnitten auf deinen Bestand. Standard ist billiger, besser unterstützt und leichter zu auditieren; individuell passt heute besser und altert schlechter, weil jede Abweichung bei jedem Plattform-Upgrade von dir gepflegt werden muss. Die Entscheidung ist, wie weit deine Anforderungen dich wirklich vom Standardweg zwingen.

Warum es zählt

Cloud-Plattformen bepreisen nach Verbrauch, nach reservierter Kapazität, nach gebundenem Budget oder als Pauschale für eine Private Cloud, und jedes Modell passt zu einem anderen Bestand. Verbrauchspreise belohnen elastische Workloads und bestrafen konstante; Reservierungen und Bindungen belohnen Planbarkeit und bestrafen Veränderung; eine Pauschale ist nur billig, wenn du sie füllst. Das Modell muss dazu passen, wie sich deine Workloads tatsächlich verhalten, nicht wie das Beispiel des Anbieters.

Warum es zählt

Cloud-Preise sind ein System aus Hunderten Zählern, und die, die überraschen, stehen nie im Angebot: Egress, zonenübergreifender Verkehr, API-Anfragen, Snapshot-Speicher, Log-Aufbewahrung, Premium-Support und Preisänderungen, die der Anbieter während der Laufzeit vornehmen kann. Das veröffentlichte SLA mit Service Credits ist eine Erstattungsregel, keine Resilienzgarantie, und Credits decken den Geschäftsschaden eines Ausfalls selten.

Warum es zählt

Der angebotene Preis für deine Zielarchitektur ist die Zahl, die die Geschäftsführung vergleicht. Sie ist zwischen Anbietern nur vergleichbar, wenn jedes Angebot denselben Umfang abdeckt: dieselben Instanzgrößen, Speicherklassen, dasselbe Egress-Volumen, Backup, Supportstufe, dieselben Souveränitätsgarantien und dieselbe Laufzeit. Ein souveränes Angebot, das 30 Prozent über einem globalen liegt, kauft vielleicht drei Ebenen Souveränität, oder eine; ein Angebot, das 30 Prozent unter einem anderen souveränen liegt, lässt vielleicht den Support weg, den du brauchst.