Vier Level. Eine Hierarchie des Vertrauens.

Keine prüfbare Transparenz. Strukturell ungeeignet für souveränitätskritische Workloads.

L0 bedeutet, dass keine der Bewertungsdomänen die für Souveränität notwendige Transparenz erreicht. Eigentum, Jurisdiktion, Subunternehmer und technische Architektur sind weder dokumentiert noch unabhängig prüfbar. Operative Hebel liegen außerhalb der Reichweite des Kunden — ein Eingriff ist im Konfliktfall nicht möglich.

Typisches Profil: nicht-zertifizierte Massendienste, Dark-SaaS, Schatten-IT, Werkzeuge mit unklarer Anbieterstruktur. Auch zertifizierte Dienste können in L0 fallen, wenn sie zwar Sicherheits-, aber keine Souveränitätsdokumentation vorhalten.

Anwendungsfälle: keine. L0 ist explizit ein Befund, kein Empfehlungslevel — es markiert das Vorhandensein eines strukturellen Souveränitätsrisikos.

Strukturell verständlich, aber noch ohne operative Eingriffsfähigkeit des Kunden.

L1 markiert das Fundament der Souveränitätsbewertung. Eigentum, Jurisdiktion, Subunternehmer, Architektur und Lieferkette sind vollständig dokumentiert und unabhängig prüfbar. Der Kunde kann verstehen, was er einsetzt — kann aber operativ noch nicht selbst eingreifen oder zentrale Hebel selbst steuern.

Typisches Profil: zertifizierte Hyperscaler-Dienste mit hoher technischer Reife, aber ohne strukturelle EU-Hoheit; etablierte SaaS-Anbieter mit ausführlicher Dokumentation; reife europäische Dienste in der Aufbauphase ihrer Souveränitätsfunktionen.

Anwendungsfälle: nicht-kritische Workloads, Marketing, allgemeine Office-Anwendungen, Kollaboration für nicht schutzbedürftige Inhalte.

Der Kunde steuert zentrale operative Hebel selbst — Schlüssel, Zugriffe, Datenstandort, Exit.

L2 verlangt nachweisbare operative Kontrolle. Schlüsselhoheit (z. B. HYOK), kundenseitiger Zugriffsentzug, durchsetzbarer Datenstandort und ein dokumentierter Exit-Pfad mit nachgewiesener Migrationsfähigkeit sind die Mindestanforderungen. Der Kunde kann strategisch handeln — nicht nur dokumentieren.

Typisches Profil: souveräne EU-Dienste mit klarer Architektur, europäische Anbieter mit Open-Source-Stack, regulierte Public-Cloud-Angebote mit echtem External Key Management und nachgewiesener Migrationsreferenz.

Anwendungsfälle: NIS2- und DORA-pflichtige Funktionen, elektronische Patientenakte, sektor-kritische Workloads, Public-Sector-Standardanwendungen.

Strukturelle Unabhängigkeit von einzelnen Anbietern und außereuropäischen Jurisdiktionen.

L3 markiert die strukturelle Souveränität. Der Dienst kann ohne Kontroll- oder Kontinuitätsverlust gewechselt werden; technische und rechtliche Lieferkette sind diversifiziert und EU-belastbar. Souveränität ist nicht mehr nur eine Eigenschaft des Anbieters, sondern eine Eigenschaft des gesamten Stacks und seiner Alternativen.

Typisches Profil: vollständig auf Open Source basierende Multi-Cloud-Architekturen, KRITIS-taugliche Spezialanbieter mit eigenem Stack, staatlich getragene digitale Infrastrukturen mit dokumentierter Diversifikation.

Anwendungsfälle: KRITIS, sicherheitsrelevante Verwaltung, militärnahe Anwendungen, höchste Souveränitätsschutzziele.

Die folgenden empfohlenen Mindestlevel sind indikativ — die verbindliche Festlegung erfolgt sektorspezifisch über Schutzziele und Mindestlevel pro Domäne (siehe Aggregationsprinzip).