Deutschlands Unternehmen sind tief in globale digitale Wertschöpfungsketten eingebunden: 96 Prozent beziehen Technologien oder Services aus dem Ausland, im Mittel schätzen sie ihre Widerstandsfähigkeit bei einem vollständigen Importausfall auf 16 Monate. Für CIOs und CEOs ist diese Zahl kein belastbarer Exit-Plan, sondern ein Anlass, Abhängigkeiten, Wechseloptionen und Notbetrieb messbar zu machen. EU-Regeln zum Cloud-Wechsel, NIS2-Anforderungen und neue Leitlinien zur ICT-Lieferkettensicherheit erhöhen zugleich den Handlungsdruck. [1][2][4][5]

Management Summary

Importabhängigkeit ist Normalzustand: 96 Prozent der Unternehmen beziehen digitale Technologien oder Services aus dem Ausland; besonders häufig Endgeräte, Hardware-Komponenten und Cloud-Dienste. [1]
Der Durchschnitt verdeckt operative Risiken: Die genannten 16 Monate beruhen auf Selbsteinschätzungen und ersetzen weder Business-Impact-Analyse noch getestete Wiederanlauf- und Wechselpläne. [1][3]
Das Kerngeschäft steht im Risiko: Ein Ausfall digitaler Importe würde laut Befragung vor allem Produktion, Vertrieb sowie Logistik und Lieferketten treffen. [1]
Regulierung stärkt Exit und Lieferkettensicherheit: Der EU Data Act erleichtert den Wechsel von Datenverarbeitungsdiensten; NIS2 verankert Risikomanagement und Lieferkettensicherheit stärker in der Unternehmensführung. [2][4]
Resilienz verlangt Architektur und Governance: Multi-Vendor-Strategien, Interoperabilität, Lieferantenbewertungen, eigenes Know-how und regelmäßig getestete Notfallverfahren gehören in eine gemeinsame Agenda von CIO, CEO, Einkauf und Risikomanagement. [3][5][6]

Illustration Absmeier foto ki designer

Bild: Digitale Souveränität verlangt Transparenz über globale Technologie-, Cloud- und Lieferkettenabhängigkeiten.

Die verbreitete Nutzung internationaler Technologien ist zunächst Ausdruck globaler Arbeitsteilung. Kein wettbewerbsfähiges Unternehmen kann sämtliche Hardware, Software, Cloud-Infrastruktur oder Entwicklungsleistungen selbst bereitstellen. Kritisch wird die Vernetzung jedoch dann, wenn der Ausfall einzelner Anbieter, Länder oder Plattformen zentrale Geschäftsprozesse unterbricht und kurzfristig keine technisch, wirtschaftlich oder rechtlich tragfähige Alternative verfügbar ist. Genau an diesem Punkt wird aus Beschaffung eine strategische Abhängigkeit.

Nach den Befragungsergebnissen importieren 96 Prozent der Unternehmen digitale Technologien oder Services. Besonders verbreitet sind ausländische Endgeräte wie Smartphones und Notebooks mit 94 Prozent, Hardware-Komponenten wie Chips, Halbleiter und Sensoren mit 79 Prozent sowie Cloud-Dienste mit 73 Prozent. Software beziehen 68 Prozent aus dem Ausland, Cybersicherheitsanwendungen 62 Prozent und KI-Lösungen 56 Prozent. 45 Prozent nutzen darüber hinaus IT-Beratung oder Programmierleistungen ausländischer Dienstleister.

Die Zahlen verdeutlichen, dass digitale Abhängigkeit nicht auf einzelne Produktgruppen begrenzt ist. Sie umfasst physische Komponenten, Plattformen, Anwendungen, Sicherheitsfunktionen und personengebundene Dienstleistungen. Damit entstehen miteinander verknüpfte Risiken: Ein fehlendes Hardware-Bauteil kann die Bereitstellung verzögern, ein Cloud-Ausfall den Betrieb beeinträchtigen, eine Lizenzänderung Kosten und Architekturentscheidungen beeinflussen und der Wegfall externer Fachkräfte die Wiederherstellung erschweren.

16 Monate sind kein komfortabler Sicherheitspuffer

Im Durchschnitt könnten die befragten Unternehmen einen vollständigen Ausfall digitaler Importe 16 Monate verkraften. Gegenüber dem Vorjahreswert von 14 Monaten deutet dies auf eine leichte Verbesserung hin. Der Mittelwert sollte jedoch nicht als garantierte Überlebensdauer einzelner Unternehmen gelesen werden. Belastbarkeit hängt von der Art der Technologie, vorhandenen Beständen, Vertragslaufzeiten, internen Kompetenzen, Wiederanlaufzeiten und der Austauschbarkeit eingesetzter Systeme ab.

Abhängigkeiten konzentrieren sich auf wenige Technologieräume

Die wichtigsten Bezugsräume sind die EU, die USA und China. 83 Prozent der importierenden Unternehmen nutzen Anbieter aus der EU, 88 Prozent beziehen Technologien oder Leistungen aus den USA und 80 Prozent aus China. Zugleich bewerten 88 Prozent ihre Abhängigkeit von China als stark oder eher stark. Bei den USA liegt dieser Anteil bei 87 Prozent, bei Taiwan bei 49 Prozent. Die Ergebnisse zeigen eine hohe Konzentration auf Märkte, die für Halbleiter, Cloud-Plattformen, Betriebssysteme, Unternehmenssoftware und digitale Endgeräte prägend sind.

Parallel steigt die Risikowahrnehmung. 79 Prozent der Unternehmen bereitet die Abhängigkeit von China Sorgen; 2024 waren es 69 Prozent. Bei den USA nahm der entsprechende Anteil innerhalb von zwei Jahren von 38 auf 73 Prozent zu. Die Bewertung spiegelt nicht nur technische Lieferfähigkeit wider, sondern auch Exportkontrollen, Sanktionen, politische Einflussmöglichkeiten, Rechtsdurchsetzung und die Verfügbarkeit von Alternativen.

Ein Technologieausfall wird schnell zum operativen Krisenfall

Die Folgen eines Importausfalls blieben nicht auf die IT beschränkt. 93 Prozent erwarten Auswirkungen auf Produktion oder Leistungserbringung, 91 Prozent auf Vertrieb und Verkauf und 87 Prozent auf Logistik und Lieferketten. Einkauf und Beschaffung wären bei 79 Prozent betroffen, der Kundenservice bei 78 Prozent und der IT-Betrieb beziehungsweise die technische Infrastruktur bei 69 Prozent. Für die Unternehmensleitung folgt daraus: Digitale Lieferketten gehören in dieselbe Risikokategorie wie Energieversorgung, Finanzierung, Personal und physische Logistik.

Digitale Souveränität bedeutet Wahl- und Handlungsfähigkeit

Digitale Souveränität ist nicht mit vollständiger technologischer Autarkie gleichzusetzen. Für Unternehmen ist vielmehr entscheidend, kritische Leistungen verstehen, kontrollieren, ersetzen oder geordnet beenden zu können. Dazu gehören vertragliche Exit-Rechte, Datenportabilität, dokumentierte Schnittstellen, alternative Betriebsmodelle und ausreichende interne Kompetenz, um Anbieterentscheidungen unabhängig bewerten zu können.

Unternehmen diversifizieren – aber noch nicht konsequent genug

44 Prozent der importierenden Unternehmen setzen verstärkt auf Anbieter aus Deutschland und Europa. 41 Prozent erhöhen Bestände wichtiger Komponenten, 40 Prozent bereiten den Wechsel zentraler Anbieter und Systeme vor. 32 Prozent bauen eigenes technisches Know-how auf, 31 Prozent verteilen kritische Leistungen auf mehrere Lieferanten und 13 Prozent nutzen verstärkt offene Standards. Nur 3 Prozent geben an, noch keine Maßnahmen ergriffen zu haben.

Preis dominiert weiterhin die Lieferantenauswahl

Bei der Auswahl ausländischer Partner bleiben finanzielle Konditionen für 97 Prozent das wichtigste Kriterium, gefolgt vom technologischen Know-how mit 93 Prozent. Sicherheitsaspekte sind ebenfalls relevant: 89 Prozent berücksichtigen IT-Sicherheitsstandards, 82 Prozent die Rechtssicherheit am Standort des Partners und 78 Prozent den Einfluss ausländischer Regierungen. Eine langfristige Geschäftsbeziehung und das Vertrauensverhältnis fließen dagegen nur bei 50 Prozent ein.

Die Gewichtung zeigt einen Zielkonflikt: Kurzfristige Kostenvorteile lassen sich vergleichsweise leicht messen, während Wechselkosten, geopolitische Risiken, Betriebsunterbrechungen und der Verlust strategischer Kontrolle häufig erst später sichtbar werden. CIO und CEO sollten Beschaffungsentscheidungen deshalb nicht nur anhand des Einkaufspreises beurteilen, sondern die Gesamtkosten einer Abhängigkeit über den Lebenszyklus betrachten.

Sieben Handlungsfelder für CIO und CEO

Kritische Abhängigkeiten inventarisieren: Erfassen Sie nicht nur direkte Lieferanten, sondern auch Unterauftragnehmer, Cloud-Regionen, proprietäre Schnittstellen, Lizenzserver, Identitätsdienste und Supportketten.
Geschäftsauswirkungen quantifizieren: Verknüpfen Sie jede kritische Technologie mit Geschäftsprozessen, Umsatzbeiträgen, Wiederanlaufzielen und maximal tolerierbaren Ausfallzeiten.
Exit-Fähigkeit testen: Prüfen Sie regelmäßig Datenexport, Wiederherstellung, Anbieterwechsel und Notbetrieb. Ein vertragliches Exit-Recht ist ohne technische Ausführbarkeit wenig wert.
Architekturen modularisieren: Offene Standards, portable Datenformate, dokumentierte APIs und entkoppelte Komponenten können Wechseloptionen verbessern.
Eigenes Wissen sichern: Kritische Architektur-, Sicherheits- und Betriebskenntnisse sollten nicht vollständig bei Dienstleistern liegen.
Lieferantenportfolios differenzieren: Mehrere Anbieter erhöhen nicht automatisch Resilienz, wenn sie von denselben Plattformen, Chips, Regionen oder Unterauftragnehmern abhängen.
Steuerung auf Vorstandsebene verankern: Digitale Abhängigkeit sollte regelmäßig gemeinsam von IT, Einkauf, Risikomanagement, Recht, Finanzen und Fachbereichen bewertet werden.

Politische Rahmenbedingungen bleiben relevant

97 Prozent der befragten Unternehmen fordern stärkere Investitionen in digitale Schlüsseltechnologien; ebenso viele sehen dringenden Bedarf, Deutschlands digitale Souveränität zu stärken. Genannt werden bessere Bedingungen für Kapital und Wachstum, Investitionen in Halbleiter, KI, Cloud und Rechenzentren, mehr Cybersicherheit, interoperable Systeme, diversifizierte Lieferketten sowie digitale Kompetenzen. Für Unternehmen ersetzen politische Maßnahmen jedoch kein eigenes Risikomanagement. Förderprogramme und europäische Angebote entfalten erst dann Wirkung, wenn Organisationen ihre Anforderungen, Abhängigkeiten und Migrationspfade kennen.

Fazit: Die Bitkom-Daten zeichnen kein Plädoyer gegen internationale Technologiepartnerschaften. Sie zeigen aber, dass digitale Beschaffung unmittelbar über die Handlungsfähigkeit des Kerngeschäfts entscheidet. Für CIOs besteht die Aufgabe darin, technische Abhängigkeiten transparent, testbar und möglichst reversibel zu gestalten. CEOs müssen dafür sorgen, dass Preis, Innovationsgeschwindigkeit und Resilienz gemeinsam bewertet werden. Digitale Souveränität entsteht damit nicht durch Abschottung, sondern durch belastbare Alternativen, eigene Kompetenz und die Fähigkeit, auch unter geopolitischem oder wirtschaftlichem Druck Entscheidungen treffen zu können.

Ausführliche Tipps für CIO und CEO mit Praxisbeispielen

1. Abhängigkeiten nach Geschäftswirkung priorisieren

Eine reine Lieferantenliste reicht nicht aus. Entscheidend ist, welche digitale Leistung welchen Geschäftsprozess ermöglicht und welche Folgen ein Ausfall für Umsatz, Produktion, Kundenservice, Compliance und Reputation hätte. CIO und Fachbereiche sollten deshalb für kritische Cloud-Dienste, Anwendungen, Hardware, Identitätsdienste und externe Spezialkompetenzen eine gemeinsame Abhängigkeitskarte erstellen. Sie verbindet technische Komponenten mit Prozessverantwortlichen, maximal tolerierbarer Ausfallzeit, Wiederanlaufziel und vorhandenen Alternativen.

Praxisbeispiel: Ein Maschinenbauer bewertet sein ERP-System zunächst als größte Abhängigkeit. Die Analyse zeigt jedoch, dass Produktion und Versand vor allem am zentralen Identitätsdienst hängen: Ohne Anmeldung funktionieren ERP, Lagerverwaltung und Fernwartung nicht. Das Unternehmen priorisiert daher ein separates Notfallkonto-Konzept, lokale Zugangsmöglichkeiten für definierte Systeme und einen getesteten Wiederanlauf des Identitätsdienstes.

2. Die 16 Monate nicht als eigenen Planungswert verwenden

Der in der Befragung genannte Durchschnitt ist keine belastbare Kennzahl für das einzelne Unternehmen. Für jede kritische Leistung sollten Recovery Time Objective (RTO), Recovery Point Objective (RPO), maximale tolerierbare Ausfallzeit sowie die tatsächlich verfügbare Überbrückungsdauer bestimmt werden. Dabei sind nicht nur Daten und Systeme zu betrachten, sondern auch Lizenzen, Ersatzteile, Supportverträge, Zertifikate, Personal und manuelle Ersatzverfahren. Tests müssen zeigen, ob die angenommenen Zeiträume erreichbar sind. [1][3]

Praxisbeispiel: Ein Handelsunternehmen geht davon aus, einen Ausfall seiner Bestellplattform zwei Wochen überbrücken zu können. Ein Stresstest ergibt jedoch, dass die manuelle Auftragserfassung bereits nach drei Tagen an Kapazitätsgrenzen stößt und ein externes Signaturzertifikat nach sieben Tagen erneuert werden müsste. Die reale Überbrückungsdauer wird deshalb neu bewertet; zugleich werden ein vereinfachter Notfallprozess und ein zweiter Zertifikatsanbieter vorbereitet.

3. Den Cloud-Exit praktisch erproben

Ein Exit-Plan ist erst belastbar, wenn Daten, Konfigurationen und Betriebswissen tatsächlich übertragen werden können. Unternehmen sollten klären, in welchen Formaten Daten exportiert werden, wie lange ein vollständiger Export dauert, welche Plattformdienste proprietäre Abhängigkeiten erzeugen und welche Unterstützung der Anbieter beim Wechsel leisten muss. Auch Löschung, Nachweisführung, Übergangsfristen, Kosten und die Wiederaufnahme des Betriebs beim Zielanbieter oder in eigener Infrastruktur gehören in den Test. [2]

Praxisbeispiel: Ein Finanzdienstleister exportiert testweise einen abgegrenzten Datenbestand aus einer SaaS-Anwendung. Zwar liegen die Fachdaten vor, Rollenmodelle, Protokolle und automatisierte Workflows fehlen jedoch. Das Unternehmen ergänzt daraufhin die Vertragsanforderungen, dokumentiert Konfigurationen unabhängig vom Anbieter und wiederholt den Test mit einer vollständigen Wiederherstellung in einer isolierten Zielumgebung.

4. Lieferantenrisiken über die erste Ebene hinaus betrachten

Direkte Vertragspartner sind nur ein Teil der digitalen Lieferkette. Kritische Abhängigkeiten können bei Unterauftragnehmern, Cloud-Plattformen, Softwarebibliotheken, Rechenzentrumsbetreibern, Telekommunikationsanbietern oder Hardware-Vorlieferanten liegen. Anbieterbewertungen sollten deshalb Transparenz über wesentliche Unterauftragnehmer, Standorte, gemeinsame Plattformen, Sicherheitsanforderungen und Meldewege verlangen. Besonders relevant sind Konzentrationen, bei denen mehrere vermeintlich unabhängige Anbieter dieselbe technische Basis nutzen. [5][6]

Praxisbeispiel: Ein Krankenhaus bezieht zwei Anwendungen von unterschiedlichen Softwarehäusern. Bei der Lieferkettenanalyse stellt sich heraus, dass beide denselben Hosting-Anbieter und denselben externen Identitätsdienst verwenden. Die Organisation bewertet das gemeinsame Ausfallrisiko neu und fordert für eine Anwendung eine alternative Betriebsregion sowie ein unabhängiges Authentifizierungsverfahren.

5. Multi-Vendor nicht mit Resilienz verwechseln

Mehrere Verträge erhöhen die Widerstandsfähigkeit nur, wenn die Alternativen ausreichend unabhängig und im Ernstfall nutzbar sind. Zu prüfen sind gemeinsame Regionen, Netzanbindungen, Identitätsdienste, Chipsätze, Softwarekomponenten, Supportpartner und Betriebsprozesse. Hinzu kommt die Frage, ob Daten synchron, Berechtigungen aktuell und Beschäftigte im Umgang mit der Ausweichlösung geschult sind. Eine ungetestete Zweitlösung kann zusätzliche Komplexität erzeugen, ohne das Ausfallrisiko wirksam zu reduzieren.

Praxisbeispiel: Ein Logistikunternehmen betreibt Anwendungen bei zwei Cloud-Anbietern, nutzt für beide jedoch denselben zentralen DNS- und Identitätsdienst. In einer Übung ist die Ausweichumgebung technisch verfügbar, aber nicht erreichbar. Das Unternehmen entkoppelt daraufhin die Namensauflösung für kritische Dienste, richtet separate Notfallzugänge ein und definiert einen automatisierten Umschaltprozess.

6. Offene Standards und Portabilität verbindlich beschaffen

Portabilität muss bereits in Ausschreibungen und Verträgen angelegt werden. Dazu gehören dokumentierte Schnittstellen, maschinenlesbare Exportformate, Zugriff auf Konfigurationen und Protokolle, Übergabeunterstützung, Fristen, Kostenobergrenzen und Löschbestätigungen. Technische Teams sollten vor Vertragsabschluss prüfen, ob Daten und Funktionen ohne unverhältnismäßigen Aufwand in eine andere Umgebung übertragen werden können. Offene Standards reduzieren Abhängigkeiten nur dann, wenn sie vollständig implementiert und im Betrieb genutzt werden. [2][5]

Praxisbeispiel: Ein Mittelständler schreibt ein Dokumentenmanagementsystem aus. Neben Funktionsumfang und Preis verlangt er einen vollständigen Datenexport einschließlich Metadaten, Berechtigungen und Aufbewahrungsregeln in dokumentierten Formaten. Im Auswahlverfahren müssen Anbieter einen Beispieldatenbestand exportieren. Ein günstiges Angebot scheidet aus, weil nur PDF-Dateien, nicht aber Metadaten und Workflows übertragbar sind.

7. Notfallverfahren regelmäßig und realistisch üben

Notfallpläne sollten nicht nur gelesen, sondern unter realistischen Bedingungen erprobt werden. Geeignet sind Tabletop-Übungen, technische Wiederherstellungstests, Ausfallübungen und kombinierte Szenarien mit Lieferanten. Die Tests müssen Verantwortlichkeiten, Kommunikationswege, Entscheidungsbefugnisse, manuelle Ersatzverfahren und die technische Wiederanlaufleistung einbeziehen. Ergebnisse werden dokumentiert, priorisiert und in einen kontinuierlichen Verbesserungsprozess überführt. [3]

Praxisbeispiel: Ein Energieunternehmen simuliert den Ausfall eines extern betriebenen Wartungsportals. Während der Übung zeigt sich, dass Ersatzkontakte veraltet sind und Techniker zwar auf lokale Unterlagen zugreifen können, aber keine aktuelle Prioritätenliste besitzen. Das Unternehmen aktualisiert Alarmketten, hinterlegt Offline-Dokumentationen und führt drei Monate später einen Wiederholungstest durch.

8. Vorstandssteuerung mit wenigen belastbaren Kennzahlen etablieren

Digitale Abhängigkeiten benötigen eine regelmäßige, entscheidungsorientierte Berichterstattung. Geeignete Kennzahlen sind etwa der Anteil kritischer Dienste ohne getestete Alternative, die Konzentration auf Anbieter oder Regionen, die gemessene Exit-Dauer, die Quote erfolgreich wiederhergestellter Systeme, überfällige Lieferantenmaßnahmen und die verbleibende Notbetriebsdauer. Das Reporting sollte technische Risiken mit finanziellen und operativen Auswirkungen verbinden und klare Entscheidungen zu Budget, Risikotoleranz und Verantwortlichkeit ermöglichen. NIS2 betont die Verantwortung der Leitungsebene für das Cybersicherheitsrisikomanagement. [4]

Praxisbeispiel: Ein Konzern berichtet bislang nur die Verfügbarkeit seiner IT-Systeme. Der Vorstand ergänzt ein quartalsweises Souveränitäts-Dashboard: Fünf kritische Dienste besitzen keine getestete Alternative, zwei Verträge enthalten unklare Exit-Kosten und bei einem Cloud-Dienst dauert der Datenexport länger als die tolerierbare Ausfallzeit. Auf dieser Grundlage werden Budget und Termine für drei konkrete Risikomaßnahmen beschlossen.

FAQ

1. Was bedeutet die Angabe von 16 Monaten?

Sie bezeichnet den Durchschnitt der Selbsteinschätzungen von 602 befragten Unternehmen dazu, wie lange sie einen vollständigen Ausfall digitaler Importe verkraften könnten. Die Angabe ist kein Ergebnis eines technischen Stresstests und nicht nach einzelnen Technologien, Branchen oder Unternehmensgrößen aufgeschlüsselt. [1]

2. Welche Digitalimporte sind besonders verbreitet?

Nach der Bitkom-Befragung beziehen 94 Prozent digitale Endgeräte aus dem Ausland, 79 Prozent Hardware-Komponenten wie Chips oder Sensoren und 73 Prozent Cloud-Dienste. Es folgen Software, Cybersicherheitsanwendungen, KI-Lösungen und ausländische IT-Dienstleistungen. [1]

3. Warum ist digitale Abhängigkeit eine CEO-Aufgabe?

Weil ein Ausfall nicht nur die IT betrifft. Die Befragten erwarten vor allem Folgen für Produktion oder Leistungserbringung, Vertrieb, Logistik, Beschaffung und Kundenservice. Entscheidungen über Risikotoleranz, Investitionen und strategische Lieferanten gehören daher auf Leitungsebene. [1][4]

4. Ist digitale Souveränität mit technologischer Autarkie gleichzusetzen?

Nein. Im Unternehmenskontext bedeutet Souveränität vor allem Wahl- und Handlungsfähigkeit: kritische Leistungen verstehen, kontrollieren, ersetzen oder geordnet beenden zu können. Internationale Arbeitsteilung bleibt möglich, einseitige und nicht beherrschte Abhängigkeiten sollen jedoch reduziert werden. [1]

5. Was ändert der EU Data Act beim Cloud-Wechsel?

Der Data Act ist seit dem 12. September 2025 anwendbar. Er soll Wechselhindernisse bei Datenverarbeitungsdiensten abbauen und den Transfer von Daten sowie den Wechsel zwischen Cloud-Anbietern oder zur eigenen Infrastruktur erleichtern. Für Unternehmen werden Vertragsprüfung, Datenportabilität und technische Migrationsfähigkeit dadurch wichtiger. [2]

6. Welche Bedeutung hat NIS2 für Lieferantenabhängigkeiten?

NIS2 erweitert den Kreis regulierter Einrichtungen und verlangt angemessene Maßnahmen zum Cybersicherheitsrisikomanagement. Dazu gehören auch Strategien und Maßnahmen zur Sicherheit der Lieferkette; zugleich rückt die Verantwortung der Leitungsebene stärker in den Vordergrund. [4]

7. Reicht eine Multi-Cloud- oder Multi-Vendor-Strategie aus?

Nicht automatisch. Resilienz entsteht nur, wenn Alternativen technisch, organisatorisch und wirtschaftlich unabhängig genug sind. Gemeinsame Identitätsdienste, Regionen, Softwarekomponenten oder Vorlieferanten können vermeintliche Redundanz aufheben. Die EU-Toolbox empfiehlt Multi-Vendor-Ansätze ausdrücklich im Zusammenhang mit strukturiertem Lieferketten-Risikomanagement. [5]

8. Welche Rolle spielen Tests und Übungen?

Sie zeigen, ob Notfallpläne, Datenwiederherstellung, Ersatzverfahren und Verantwortlichkeiten praktisch funktionieren. Der BSI-Prozess umfasst deshalb neben Initiierung und Konzeption auch Umsetzung, Notfallbewältigung, Tests, Übungen und kontinuierliche Verbesserung. [3]

9. Welche Kennzahlen sollten Vorstand und Geschäftsführung erhalten?

Sinnvoll sind unter anderem der Anteil kritischer Dienste ohne getestete Alternative, Konzentration nach Anbieter und Region, Exit-Dauer, Datenexportfähigkeit, RTO und RPO, offene Lieferantenrisiken, Ablauf kritischer Verträge sowie Ergebnisse aus Wiederanlauf- und Wechseltests.

10. Wie lässt sich mit begrenztem Budget beginnen?

Startpunkt ist eine risikobasierte Top-Liste der geschäftskritischen Technologien und Lieferanten. Für diese werden Abhängigkeiten, Ausfallwirkung, vorhandene Alternativen und vertragliche Wechselmöglichkeiten erfasst. Anschließend sollten die größten Lücken durch Tests, Vertragsnachbesserungen, Architekturmaßnahmen und Wissensaufbau priorisiert geschlossen werden. [3][6]

Quellen

[1] https://www.bitkom.org/Presse/Presseinformation/16-Monate-koennten-Deutschlands-Unternehmen-ohne-Digitalimporte-ueberleben

[2] https://digital-strategy.ec.europa.eu/en/policies/data-act

[3] https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/Zertifizierte-Informationssicherheit/IT-Grundschutzschulung/Online-Kurs-Notfallmanagement/1_Einfuehrung/5_Notfallmanagementprozess/NfMProzess_node.html

[4] https://digital-strategy.ec.europa.eu/en/policies/nis2-directive

[5] https://digital-strategy.ec.europa.eu/en/library/toolbox-improve-ict-supply-chain-security

[6] https://www.enisa.europa.eu/publications/good-practices-for-supply-chain-cybersecurity

Management Summary, FAQ und Bild wurden mit Hilfe von KI erstellt

1647 Artikel zu „digitale Souveränität“

Infrastruktur | IT-Security | Lösungen | News | Services | Tipps

Resilienz erfordert Commitments: Digitale Souveränität here we come!

20. Oktober 2026

Digitale Souveränität bedeutet nicht technologische Abschottung, sondern belastbare Handlungsfähigkeit. Eileen Walther, General Manager DACH von Northwave Cyber Security, erklärt, warum Transparenz über Abhängigkeiten, europäische Alternativen und echte Wechseloptionen für Unternehmen zur strategischen Pflicht werden – und weshalb der günstigste Anbieter langfristig zum teuersten Lock-in werden kann. Management Summary Souveränität ist keine Autarkie: Entscheidend ist, kritische…