Digitale Souveränität: 96 Prozent der CISOs nutzen US-Dienste für kritische IT

Europäische Sicherheitsverantwortliche setzen bei geschäftskritischen IT-Diensten fast flächendeckend auf Anbieter aus den USA. Wie silicon.de am 24. Oktober 2026 unter Berufung auf den „Digital Sovereignty Report 2026“ des Sicherheitsunternehmens xorlab berichtete, nutzen 96 Prozent von 100 befragten Chief Information Security Officers (CISOs) in Europa mindestens einen US-Dienstleister für essenzielle Systeme.

Obwohl 39 Prozent der befragten Sicherheitschefs angaben, US-Anbieter eigentlich lieber vermeiden zu wollen – in Deutschland liegt dieser Anteil bei 23 Prozent –, schließt kein einziger der Befragten diese Dienstleister formal aus.

Gleichzeitig offenbart die Untersuchung erhebliche Transparenzlücken: Lediglich 34 Prozent der CISOs können für alle fünf ihrer kritischsten Dienstleister mit Sicherheit sagen, an welchen Standorten die Daten tatsächlich verarbeitet werden.

Digitale Souveränität rückt in den Vorstandsfokus

Trotz der bestehenden Marktrealitäten gewinnt das Thema Eigenständigkeit in den Unternehmen an Bedeutung. Laut der xorlab-Erhebung arbeiten 46 Prozent der europäischen CISOs mit hoher Priorität an Konzepten für mehr digitale Souveränität; in Deutschland liegt dieser Wert mit 54 Prozent noch höher. Zudem stuften 84 Prozent der Teilnehmer einen einfachen Anbieterwechsel als wichtig ein.

Die strategische Verankerung des Themas nimmt ebenfalls zu: 54 Prozent der befragten CISOs verorten die Verantwortung für digitale Souveränität auf der Vorstandsebene. Unter den deutschen Befragten teilen sogar 69 Prozent diese Auffassung.

Wer sich mit der Cloud-Nutzung und den damit verbundenen Dokumentationspflichten befasst, unterschätzt oft das Risiko lückenhafter Aufzeichnungen. Diese kostenlose Excel-Vorlage hilft Ihnen, Ihr Verarbeitungsverzeichnis gemäß Art. 30 DSGVO rechtssicher und zeitsparend zu erstellen. Kostenlose Muster-Vorlage und Schritt-für-Schritt-Anleitung jetzt gratis herunterladen

Rechtliche Risiken und Kontrollfragen der Datenhaltung

Die Diskussion über digitale Unabhängigkeit wird durch rechtliche Unsicherheiten verschärft. Wie ey.com am 23. Oktober 2026 berichtete, mache ein reiner Serverstandort in Deutschland Daten – wie etwa Patientendaten – nicht automatisch souverän.

Nach Einschätzung von Rechtsexperten des Beratungsunternehmens EY können US-Gesetze wie der CLOUD Act oder FISA 702 auch Datenzugriffe in Deutschland erfassen. Der bestehende Normenkonflikt mit Artikel 48 der Datenschutz-Grundverordnung (DSGVO) lasse sich auf rein vertraglicher Basis nicht vollständig lösen.

Die rechtssichere Dokumentation komplexer Datenflüsse stellt viele Unternehmen vor große Herausforderungen, insbesondere bei der Prüfung von Sicherheitsmaßnahmen. Dieser kostenlose Leitfaden zeigt die häufig übersehenen Pflichtfelder im Verarbeitungsverzeichnis auf, die bei einer behördlichen Prüfung sofort auffallen. Experten-Anleitung zum Verarbeitungsverzeichnis kostenlos anfordern

Zudem warnten 25 europäische Cloud-Unternehmenschefs in einem offenen Brief an die Europäische Kommission vor sogenanntem Souveränitäts-Washing. Auch Technologieexperten betonen, dass bloße Datenresidenz keine echte Unabhängigkeit schaffe. Vielmehr seien Kontrollpfade, Entwicklerwerkzeuge, Identitätsanbieter und Orchestrierungssysteme ausschlaggebend, um IT-Infrastrukturen bei Bedarf austauschen zu können.

Europäische Initiativen zur Stärkung der Unabhängigkeit

Auf politischer Ebene versucht die Europäische Union, den bestehenden Abhängigkeiten mit regulatorischen und strategischen Initiativen zu begegnen. Das Cloud Sovereignty Framework der EU-Kommission überprüft Anbieter anhand von 48 Kriterien in den Bereichen Recht, Daten, Betrieb und Lieferkette.

EU-Kommissions-Vizepräsidentin Henna Virkkunen hatte bereits im Juni bei der Vorstellung von Plänen zur Technologie-Souveränität davor gewarnt, dass einzelne Akteure einseitige Kontrollmöglichkeiten über kritische Systeme behalten könnten.

Während Behörden und Großunternehmen zunehmend nach Wegen suchen, kritische Software und Kommunikationsplattformen enger an europäische Standards zu binden, zeigt die Erhebung von xorlab, dass die betriebliche Realität vieler Organisationen auf absehbare Zeit weiterhin von etablierten US-Diensten bestimmt bleibt.