Scharfe Kritik am EU-Rahmenwerk für Cloud-Souveränität

Der Branchenverband CISPE (Cloud Infrastructure Services Providers in Europe) übt scharfe Kritik am neuen EU Cloud Sovereignty Framework. In seiner aktuellen Form schaffe das Rahmenwerk keine Klarheit, sondern verwässere den Begriff der Cloud-Souveränität durch ein unscharfes Bewertungssystem.

Kern der Kritik ist der vom Framework eingeführte "Sovereignty Score", der Cloud-Souveränität bewertbar, aber auch abstufbar macht. CISPE zieht einen Vergleich zu Bio-Lebensmitteln: "Ein Cloud-Service ist entweder souverän oder nicht – genauso wie Lebensmittel entweder bio sind oder nicht. Es kann kein 75 Prozent bio geben, und es sollte auch kein 75 Prozent souverän geben." Das Punktesystem vermische unerreichbare Ziele wie vollständige EU-Kontrolle über jede Hardware-Komponente mit vagen Konzepten wie "Absicherungen gegen Kontrollwechsel".

Besonders brisant: CISPE befürchtet, dass europäische Cloud-Anbieter unter diesem System schlechter abschneiden werden als US-Hyperscaler. Der Verband vermutet dahinter gar System – das Framework könnte den Status quo unter dem Deckmantel der Souveränität bewahren. Die implizite Botschaft laute: Wer europäische Eigentums- und Kontrollauflagen nicht erfüllen kann, könne die Punktzahl durch Investitionen oder Teilnahme an EU-Programmen ausgleichen.

Die Alternative: Gaia-X Level 3

Als Alternative verweist CISPE auf das bestehende Label Gaia-X Level 3 – komplett immun von externen Einflüssen und zu 100 Prozent unter europäischer Kontrolle. Darüber hinaus entwickelt CISPE eigene Labels, die klar zwischen "Sovereign Cloud" und "Operationally Resilient Cloud" unterscheiden sollen. Ersteres basieren auf Gaia-X Level 3; letzteres bietet Kunden in globalen Lieferketten überprüfbare Kontrollniveaus über ihre Daten, auch außerhalb Europas.

CISPE betont in dem Statement die kritische Bedeutung klarer Souveränitätsdefinitionen in einer "zunehmend KI-getriebenen Wirtschaft". Öffentliche wie private Kunden müssten eindeutig einschätzen können, welches Kontrollniveau sie beim Anvertrauen ihrer Daten an Cloud-Services erhalten – oder zu akzeptieren bereit sind. Das aktuelle EU Cloud Sovereignty Framework liefere diese Klarheit nicht.

(fo)