Domäne · D6
Governance
„Wie ist Souveränität als Steuerungsaufgabe in der Organisation des Anbieters und des Kunden verankert?"
1. Strategische Bedeutung§
Souveränität ist keine Eigenschaft einer einzelnen Komponente, sondern Ergebnis kontinuierlicher Steuerung. Die Governance-Domäne bewertet, ob Souveränität als Management-Aufgabe institutionalisiert ist — beim Anbieter wie beim Kunden.
Ohne klare Verantwortlichkeit, ohne Risikomanagement und ohne periodische Reviews bleibt jeder technische Reifegrad eine Momentaufnahme. D6 macht aus Souveränität eine dauerhafte Eigenschaft.
D6 wirkt querliegend zu D1–D5: Sie verlangt, dass die in den anderen Domänen erreichte Reife organisatorisch gehalten und weiterentwickelt wird.
2. Kernkriterien§
- Verantwortlichkeit auf Leitungsebene
Schriftlich benannte Person auf Vorstands- oder Geschäftsführungsebene mit Verantwortung für digitale Souveränität.
- Souveränitäts-Risikomanagement
Aufnahme souveränitätsspezifischer Risiken in das ISMS / unternehmensweite Risikoregister; periodische Bewertung.
- Eskalations- und Entscheidungswege
Definierte Prozesse für den Konfliktfall — etwa bei behördlichen Anfragen aus Drittstaaten, Eigentümerwechsel oder Lieferkettenstörungen.
- Management-Review und Audit-Pflege
Mindestens jährliche Management-Reviews der EDSO-relevanten Kontrollen; dokumentierte Maßnahmenverfolgung.
- Transparenzberichte
Veröffentlichte Berichte zu staatlichen Anfragen, Sub-Auftragsverhältnissen und wesentlichen Änderungen.
- Schulung und Awareness
Regelmäßige Schulungen für Schlüsselrollen zu Souveränitätsrisiken und Eskalationsverfahren.
3. Prüffragen (Auszug)§
- Wer in der Leitungsebene des Anbieters trägt die schriftliche Verantwortung für digitale Souveränität?
- Sind souveränitätsspezifische Risiken Bestandteil des ISMS und werden sie periodisch bewertet?
- Welche Eskalationswege greifen bei behördlichen Drittstaaten-Anfragen — und sind sie geübt?
- Wann fand das letzte Management-Review der EDSO-Kontrollen statt, und welche Maßnahmen wurden abgeleitet?
- Existiert ein Transparenzbericht, und welche Daten enthält er?
4. Akzeptierte Evidenz§
- Vorstands-/Geschäftsführungsbeschluss zur Souveränitätsverantwortung
- Risikoregister mit souveränitätsspezifischen Einträgen
- Protokolle der Management-Reviews der letzten 24 Monate
- Veröffentlichte Transparenzberichte
- Schulungsnachweise für Schlüsselrollen
5. Level-Schwellen in dieser Domäne§
| Level | Mindestanforderung in D6 |
|---|---|
| L0 | Souveränitäts-Verantwortlichkeit benannt; einfache Governance-Dokumentation. |
| L2 | Souveränitäts-Governance dokumentiert; Verantwortlichkeiten und Eskalationswege definiert. |
| L3 | Souveränität im ISMS verankert; periodische Management-Reviews; auditierte Eskalation; Transparenzbericht. |
| L4 | Souveränität Board-Level gesteuert; jährliche Stresstests der Eskalationswege; Vorstandsverantwortung schriftlich verankert. |
6. Anschluss an bestehende Standards§
| Standard | Was abgedeckt ist | Wo EDSO darüber hinausgeht |
|---|---|---|
| ISO/IEC 27001 | ISMS-Governance abgedeckt | Souveränitätsspezifische Risiken nicht gefordert |
| NIS2 | Verantwortlichkeit der Geschäftsleitung gefordert | Souveränitätsdimension nicht ausgeprägt |
| DORA | Governance des IKT-Risikorahmens | Strukturelle Souveränität nicht explizit |
7. Typische Audit-Befunde§
- Souveränitäts-Verantwortlichkeit nur in der Stabsstelle, nicht in der Geschäftsleitung
- Risikoregister enthält keine souveränitätsspezifischen Einträge
- Eskalationswege für Drittstaaten-Anfragen dokumentiert, aber nie geübt
- Kein Transparenzbericht trotz wiederholter Ankündigung