Angesichts zunehmender technologischer Abhängigkeiten wird die digitale Souveränität für Organisationen zu einer zentralen Frage von Kontrolle, Resilienz und Geschäftskontinuität. Bertrand Merlier, Solution Architect und KI-Experte bei Sopra Steria Schweiz, erläutert die wichtigsten Herausforderungen und Handlungshebel.
Frage: Digitale Souveränität: Rein politisches Thema oder Notwendigkeit für jede Organisation?
Bertrand Merlier: Die digitale Souveränität hat sich heute zu einer zentralen strategischen Herausforderung entwickelt. Grund dafür ist ein geopolitisches Umfeld, das von zunehmenden Spannungen und einem verschärften Wettbewerb um Daten, Infrastrukturen und kritische Technologien geprägt ist. Sowohl in Europa als auch in der Schweiz wirft die Abhängigkeit vieler Akteure von ausländischen Anbietern Fragen hinsichtlich Kontrolle, Sicherheit und Resilienz auf. Angesichts dieser Herausforderungen müssen Organisationen einen Ausgleich zwischen Innovation, regulatorischer Konformität und Risikomanagement finden.
Die öffentlichen Behörden haben das Thema aufgegriffen. Im Dezember 2025 erklärte der Bundesrat die digitale Souveränität zu einer Priorität der Strategie «Digitale Schweiz 2026» und legte Leitlinien für die Bundesverwaltung fest sowie die Fortführung des Swiss Government Cloud-Projekts. Anlässlich der Swiss Cyber Security Days im Februar 2026 formulierte Bundeskanzler Viktor Rossi den Gedanken wie folgt: „Souverän ist, wer seine Abhängigkeiten kennt.“ Nicht jener, der sich isoliert, sondern jener, der sich Handlungsoptionen schafft und Abhängigkeiten dort reduziert, wo es sinnvoll ist.
Frage: Der Begriff digitale Souveränität hat sich offensichtlich im öffentlichen Diskurs etabliert. Gilt das Thema über politische und strategische Entscheidungen hinaus für alle Organisationen?
Bertrand Merlier: Die Definition des Bundeskanzlers entspricht weitgehend unserer Sichtweise bei Sopra Steria. Digitale Souveränität ist weder für alle Organisationen eine absolute Notwendigkeit, noch ist derselbe Souveränitätsgrad für jede Organisation erforderlich. Die Frage zu stellen, ist jedoch unverzichtbar.
Das Ziel ist klar: die Fähigkeit zu bewahren, dort unabhängig zu handeln, wo es erforderlich ist, strategisch wichtige Elemente zu schützen und nicht nur an Souveränität, sondern auch an digitale Resilienz zu denken.
Ein wichtiger Punkt muss geklärt werden, da häufig Verwirrung besteht: Souveränität und Resilienz sind zwei unterschiedliche Konzepte. Die Souveränität betrifft die Kontrolle: Wer entscheidet? Wer betreibt die Systeme? Welchem Recht unterliegen sie? Die Resilienz betrifft die Kontinuität, also die Fähigkeit, Störungen zu bewältigen und den Betrieb wiederherzustellen. Beide Aspekte stärken sich oft gegenseitig, können jedoch auch im Widerspruch stehen. Wird beispielsweise ein Dienst intern übernommen, ohne dass die notwendigen Kompetenzen vorhanden sind, oder wird auf eine durch einen Drittanbieter gewährleistete Redundanz verzichtet, erhöht dies zwar die Kontrolle und damit die Souveränität, kann jedoch die Resilienz und die Betriebskontinuität schwächen.
Souveränität und Resilienz müssen daher gemeinsam betrachtet und gegeneinander abgewogen werden.
Die Antworten und Entscheidungen sind somit für jede öffentliche oder private Organisation unterschiedlich, da sie auf einer Vielzahl strategischer, operativer, rechtlicher und politischer Rahmenbedingungen beruhen.
Frage: Digitale Souveränität ist also ein vielschichtiges Thema. Wie kann sich eine Organisation diesem Thema konkret nähern?
Bertrand Merlier: Hinter dem Begriff der Souveränität verbergen sich vier komplementäre Dimensionen. Jede von ihnen einzeln zu analysieren ist notwendig, um die Herausforderungen zu verstehen, Risiken zu bewerten und Prioritäten zu definieren.
Strategische Souveränität
Die strategische Souveränität beschreibt die Fähigkeit einer Organisation, die Ressourcen zu kontrollieren, die für die Wahrung ihrer Entscheidungs- und Handlungsautonomie notwendig sind.
Der zentrale Ausgangspunkt besteht darin, festzulegen, was Souveränität für die eigene Organisation bedeutet, welche Risiken in der aktuellen Situation bestehen und inwieweit diese akzeptabel sind oder durch geeignete Maßnahmen reduziert werden müssen.
Ein typisches Beispiel ist eine öffentliche Organisation, deren Auftrag eine permanente Verfügbarkeit ihrer Dienstleistungen für die Bevölkerung verlangt. Sie muss sicherstellen, dass diese Dienstleistungen unabhängig von den geschäftlichen Entscheidungen eines Anbieters, dem rechtlichen Umfeld, in dem dieser tätig ist, oder externen politischen Entscheidungen weiterhin betrieben und angepasst werden können.
Datensouveränität
Datensouveränität steht im Zentrum der digitalen Herausforderungen. Sie beruht auf der Kontrolle über Prozesse der Datenerhebung, Speicherung, des Zugriffs und der Nutzung.
Bestimmte Dienstleistungen können von externen Anbietern betrieben werden. Dies ist eine legitime Entscheidung, sofern klar bekannt ist, welche Verantwortlichkeiten ausgelagert werden.
Die zentrale Frage lautet: Wo befinden sich die sensibelsten Daten und wer legt die Regeln für Zugriff, Weitergabe und Nutzung fest?
Bei Personalakten von Mitarbeitenden oder medizinischen Daten von Bürgerinnen und Bürgern muss beispielsweise analysiert werden, wer die Benutzerkonten verwaltet, wer die Verschlüsselungsschlüssel besitzt und welchem rechtlichen Rahmen der Dienstleister unterliegt, sei es schweizerischem oder ausländischem Recht.
Technische Souveränität
Die technische Souveränität beschreibt die Fähigkeit einer Organisation, die Kontrolle über ihre digitalen Infrastrukturen, Plattformen und Anwendungen zu behalten.
Sie beruht ebenso auf der Fähigkeit, Anbieter, Technologien oder Betriebsumgebungen ohne übermäßige Abhängigkeiten wechseln zu können und damit die eigene Handlungsfreiheit zu bewahren.
Die Analyse dieses Bereichs erfordert eine umfassende Bestandsaufnahme: alle Komponenten, interne Kompetenzen, ausgelagerte Leistungen, Verträge, anwendbare Rechtsrahmen und Ausstiegsmöglichkeiten müssen identifiziert werden.
Ein häufiges Beispiel ist eine geschäftskritische Anwendung, die eine wesentliche Tätigkeit unterstützt, jedoch von einem einzigen Anbieter betrieben wird, auf proprietären Datenformaten basiert und keinen Zugriff auf technische Protokolle ermöglicht. In einem solchen Fall muss bewertet werden, ob das bestehende Souveränitätsniveau den Anforderungen der Organisation entspricht.
Operative Souveränität
Die operative Souveränität bezeichnet die Fähigkeit einer Organisation, die Kontinuität, Kontrolle und Effizienz von als wesentlich eingestuften Aktivitäten aufrechtzuerhalten, unabhängig von Lieferanten, Partnern oder Technologieanbietern. Dies gilt auch in Situationen technologischer Abhängigkeit oder externer Störungen.
Ein Unternehmen, das Cloud-Dienste nutzt, kann beispielsweise operative Souveränität bewahren, wenn es intern über die erforderlichen Kompetenzen und Schlüsselrollen verfügt, um diese Dienste zu verwalten, über Notfallverfahren für den Weiterbetrieb im Falle von Ausfällen verfügt und die Möglichkeit behält, diese Dienste bei Bedarf zu ersetzen.
Frage: Die zu analysierenden Themen sind vielfältig und die Entscheidungen oft komplex. Wie lässt sich ein sinnvoller und wirksamer Ansatz aufbauen?
Bertrand Merlier: Ein solches Vorhaben entsteht nicht über Nacht. Es handelt sich um ein echtes Transformationsprojekt, das von der ersten Analyse bis zur Umsetzung der gewählten Maßnahmen begleitet werden muss.
Entscheidend ist, Prioritäten festzulegen und langfristig die Kontrolle über die eigenen Entscheidungen zu behalten.
Sopra Steria empfiehlt hierfür einen dreistufigen Ansatz.
Prioritäten definieren
Zunächst gilt es, eine klare Sicht auf die strategisch wichtigsten Prozesse, Daten und Systeme sowie auf die Bereiche zu gewinnen, in denen Autonomie unerlässlich ist.
Ein hilfreiches Ergebnis dieser Phase ist ein Verzeichnis kritischer Vermögenswerte, das sowohl von den Fachbereichen als auch von der IT validiert wird.
Risiken und Abhängigkeiten bewerten
Anschließend müssen jene Faktoren identifiziert werden, die Compliance, Betrieb oder Autonomie gefährden könnten. Ebenso wichtig ist es zu verstehen, wo die Abhängigkeiten liegen: bei Technologien, Lieferanten, Datenbeständen oder Drittanbieter-Ökosystemen.
Eine Matrix, die Abhängigkeiten, geschäftliche Auswirkungen und die Zeit bis zu einer möglichen Substitution kombiniert, macht Prioritäten sichtbar und unterstützt eine objektive Abwägung zwischen Kontrolle und Kontinuität.
Eine Roadmap erstellen
Die geplanten Maßnahmen werden anschließend entsprechend ihrer Dringlichkeit priorisiert, wobei langfristige regulatorische Anforderungen berücksichtigt werden.
Eine verständliche Roadmap unterscheidet klar zwischen vertragsbezogenen Maßnahmen, architektonischen Weiterentwicklungen und umfassenden Transformationen.
In dieser Phase kann ein externer Blickwinkel wertvolle Vergleichsmöglichkeiten bieten und die Umsetzung beschleunigen.
Dieser Ansatz muss durch eine klare Governance begleitet werden, welche Verantwortlichkeiten definiert und die langfristige Steuerung des Projekts sicherstellt.
Frage: Welche Rolle spielt die Künstliche Intelligenz?
Bertrand Merlier: Künstliche Intelligenz betrifft alle vier zuvor genannten Dimensionen, oft in höherem Tempo und teilweise im Umgang mit den sensibelsten Daten.
Die zentrale Frage lautet: Wie groß ist unsere Kontrolle über die Entscheidungslogik, die rechtliche Konformität und die Infrastruktur, auf der die KI-Anwendungen betrieben werden?
Die Einführung eines klaren Rahmens für die Nutzung von KI zu einem Zeitpunkt, an dem die Anwendungen noch begrenzt sind, verhindert die Entstehung neuer Abhängigkeiten innerhalb weniger Monate, nachdem andere erfolgreich reduziert wurden.
Aus genau diesem Grund haben wir AI Backbone entwickelt, unsere KI-Plattform, die geschäftliche Anwendungsfälle vom jeweiligen Modellanbieter entkoppelt. Ein entwickelter Anwendungsfall bleibt somit nutzbar, selbst wenn sich das zugrunde liegende Modell verändert oder ersetzt wird.
Dies ist das Prinzip der Reversibilität, angewendet auf die dynamischste Ebene des Informationssystems.
Frage: Sollten Organisationen in der Schweiz warten, bis sich das öffentliche souveräne Angebot weiterentwickelt hat, oder können sie bereits heute handeln?
Bertrand Merlier: Unsere Empfehlung ist eindeutig: Der Prozess kann und sollte bereits heute beginnen, in dem Umfang, der für die jeweilige Organisation angemessen ist.
Kein externes Programm kann die individuelle Analyse ersetzen, die jede Organisation selbst durchführen muss. Eine gute Governance wird externe Entwicklungen und neue Möglichkeiten im Laufe des Prozesses kontinuierlich integrieren.
Tatsächlich entwickelt sich das souveräne Angebot in Europa und in der Schweiz sehr dynamisch. Die Swiss Government Cloud, die für öffentliche Verwaltungen vorgesehen ist, wird ab 2027 erste operative Dienste bereitstellen und ist bereits bis 2032 geplant.
Auf europäischer Ebene strukturieren zahlreiche Initiativen das Ökosystem, darunter Gaia-X, Digital Europe und die European Sovereign Tech Industry Alliance (ESTIA). Sopra Steria beteiligt sich dabei als führender Akteur in den Bereichen Cybersicherheit, Verteidigung, Datenmanagement und vertrauenswürdige KI.
Zum Schluss eine positive Erkenntnis: Alles, was die Souveränität und Resilienz einer Organisation stärkt, nämlich offene Standards, bewährte Reversibilitätsmechanismen, aktuelle Dokumentationen und modulare Architekturen, sind gleichzeitig die Voraussetzungen für Modernisierung.
Digitale Souveränität ist kein Schutzaufwand, sondern eine Chance. Sie schafft die Grundlage für Agilität, Innovationsfähigkeit und letztlich für nachhaltigen Erfolg.