Kostenloses Whitepaper
Digitale Souveränität: was NIS2 daran ändert.
Warum ein Server in Frankfurt noch keine Souveränität ist und was seit dem NIS2-Umsetzungsgesetz nachweisbar sein muss. Acht Seiten von Andreas Hankel, CTO onehundred, für IT-Entscheider, CTOs und Cloud-Verantwortliche.
Andreas Hankel
CTO onehundred · Ex-CTO idealo · CIO des Jahres 2014
„Souveränität wird meist als Standortfrage verhandelt: Wo stehen die Server? In der Praxis entscheidet sie sich daran, wer Zugriff nehmen kann, wer die Plattform betreibt und ob man die eigene Architektur ohne fremde Zustimmung ändern kann. Seit NIS2 muss man genau das belegen können, nicht nur behaupten.“
- Ex-CTO idealo: Fast neun Jahre, 2016 bis 2025.
- CIO des Jahres 2014: Kategorie Mittelstand, verliehen von IDG, CIO-Magazin und Computerwoche. Als VP Technology bei ImmobilienScout24 hat er den Serverbetrieb zurück ins Unternehmen geholt, eine eigene Private Cloud gebaut und die Virtualisierungsplattform gewechselt, bei laufendem Betrieb.
- Über 30 Jahre in der IT: Seit 1990, davon 18 Jahre Fiducia IT, danach ImmobilienScout24 und idealo.
„Was entstanden ist, ist vorbildlich und weist den Weg für die Gestaltung von Systemen der Zukunft.“
Manfred Broy, Jury CIO des Jahres 2014
Whitepaper anfordern
Sie bekommen das PDF per E-Mail an Ihre Firmenadresse.
Die Lage
Rund 29.500 statt 4.500 Unternehmen: warum Souveränität jetzt nachweispflichtig ist.
Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist. Gefordert sind keine Absichtserklärungen, sondern dokumentierte technische Maßnahmen. Die Zahlen dazu sind belegt, nicht behauptet.
29.500
Unternehmen in Deutschland fallen unter die BSI-Aufsicht, vorher etwa 4.500. Die Registrierungsfrist lief am 6. März 2026 ab, die Nachfrist am 31. Juli 2026.
Quelle: BSI, IDW, BDO
Bis 10 Mio. €
Bußgeld, oder 2 % des weltweiten Jahresumsatzes. Wer die Maßnahmen nicht umgesetzt hat, ist seit dem 31. Juli 2026 im sanktionsfähigen Zustand.
Quelle: BSI
23,1 Mrd. USD
Europäische Sovereign-Cloud-Investitionen (IaaS) im Jahr 2027 laut Gartner-Prognose, nach 6,7 Mrd. USD 2025: eine Verdreifachung in zwei Jahren. Der Markt bewegt sich, nicht nur die Regulierung.
Quelle: Gartner, zitiert im Whitepaper 01
Was drinsteht
Ist Ihre Souveränität ein Nachweis oder nur eine Absicht?
Das Whitepaper behandelt drei Thesen: warum Data Residency und Data Sovereignty zwei verschiedene Fragen sind, wie NIS2 Souveränität von der Absicht zum Nachweis verschiebt und warum sie sich im Betrieb entscheidet, nicht im Projekt. Zu jeder These stehen drei Fragen, mit denen Sie den eigenen Stand in wenigen Minuten einordnen.
01
Data Residency und Data Sovereignty sind zwei verschiedene Fragen
Der US CLOUD Act erlaubt US-Behörden unter bestimmten Voraussetzungen Zugriff auf Daten bei US-Unternehmen – unabhängig davon, ob der Server in Frankfurt, Dublin oder Virginia steht. „Data Residency“ beantwortet die Frage nach dem Speicherort, „Data Sovereignty“ die nach der Rechtshoheit. Wer beides gleichsetzt, hat bei einer rechtlichen Prüfung eine Lücke, die sich nicht kurzfristig schließen lässt.
02
NIS2 verschiebt Souveränität von der Absicht zum Nachweis
Der entscheidende Unterschied zu früheren Regelwerken: Gefordert sind nicht Absichtserklärungen, sondern dokumentierte technische Maßnahmen – von der Zugriffskontrolle bis zum getesteten Wiederanlauf. Wer Souveränität bisher als Architekturpräferenz geführt hat, muss sie jetzt belegen können.
03
Souveränität entscheidet sich im Betrieb, nicht im Projekt
Eine souveräne Architektur zu bauen ist ein abgrenzbares Projekt. Sie souverän zu halten ist eine Daueraufgabe: Patches, Zugriffsrechte, Lieferantenwechsel, neue Workloads. Wo Aufbau und Betrieb bei verschiedenen Parteien liegen, verschiebt sich die Verantwortung mit jedem Übergang – und mit ihr die Frage, wer im Zweifel Zugriff hat.
Weitere Kapitel
- Technische Vertiefung: Souveränität auf allen drei Layern
- Nutzen und Wirtschaftlichkeit
- Was passiert, wenn Sie nichts tun
- Was onehundred hier übernimmt
- Häufig gestellte Fragen
- Fazit: Wo stehen Sie?
- Quellen
Was onehundred übernimmt
Consulting, Transition, Operation.
onehundred deckt den gesamten Lebenszyklus digitaler Souveränität ab: Infrastruktur, Plattform und Software auf Basis offener Standards. Ein Partner statt eines Flickenteppichs aus Beratungshaus, Systemintegrator und Betreiber.
Consulting
Standortbestimmung, Stack-Bewertung entlang aller drei Layer, Souveränitäts-Roadmap
Transition
Schrittweise Migration in eine offene, souveräne Architektur
Operation
Laufender souveräner Betrieb (24/7) inklusive Nachweisdokumentation
Klar außerhalb: die rechtliche Betroffenheitsprüfung nach NIS2, ISMS-Aufbau, Governance- und Meldeprozesse. Das ist Rechts- und Managementberatung. onehundred verantwortet die technische Umsetzung und arbeitet für den regulatorischen Teil mit spezialisierten Partnern – wir sagen Ihnen im Erstgespräch offen, wo diese Grenze liegt.
Nachgefragt
Häufig gestellte Fragen.
Wir haben die Registrierungsfrist am 6. März 2026 verpasst – ist es zu spät?
Übernimmt onehundred auch die rechtliche NIS2-Bewertung?
Müssen wir unsere gesamte Infrastruktur auf einmal umstellen?
Bedeutet digitale Souveränität, dass wir aus der Cloud raus müssen?
Fazit
Wo stehen Sie?
Souveränität lässt sich nicht kaufen, sondern nur bauen und halten. Die drei Thesen zeigen dieselbe Bewegung: von der Standortfrage zur Rechtsfrage, von der Absicht zum Nachweis, vom Projekt zum Betrieb. Die neun Fragen im Whitepaper zeigen Ihnen, an welcher dieser drei Stellen bei Ihnen der größte Handlungsdruck liegt.
- Von der Standortfrage zur Rechtsfrage
- Von der Absicht zum Nachweis
- Vom Projekt zum Betrieb
Warum jetzt
Seit dem 31. Juli 2026 gibt es keine Übergangsphase mehr. Jede Woche ohne dokumentierte Maßnahmen ist eine Woche im sanktionsfähigen Zustand.