DIGITALE

Abhängigkeiten erkennen · Vendor Lock-in begrenzen · Vertragsrealität · Strategischer Vorteil

Vorbemerkung

Diese Leitfadenreihe ist aus einer spezifischen Perspektive heraus geschrieben: der einer General Counsel / Senior Vice President, die über viele Jahre in leitender Inhouse-Funktion in regulierten Unternehmen gearbeitet hat – in der Schweiz und in der EU. Die Autorin verfügt über eine juristische und betriebswirtschaftliche Ausbildung in der Schweiz und in Deutschland sowie über langjährige operative Erfahrung als interne Rechts- und Compliance-Verantwortliche in internationalen Konzernen und KMU-Umfeldern.

Diese Kombination – juristische Tiefe, operatives Management-Know-how und direkte Erfahrung mit den Realitäten von Lieferketten, Vertragsverhandlungen und Aufsichtsbehörden – ist der Grund, warum die Texte so geschrieben sind, wie sie sind: nicht als formale Gesetzeskommentare, sondern als Arbeitsinstrumente. Sie richten sich gleichzeitig an Führungskräfte, die schnell einordnen müssen, was eine Regulierung für ihr Unternehmen bedeutet, und an Fachabteilungen, die wissen müssen, was operativ zu tun ist.

Der interdisziplinäre Ansatz ist bewusst: Digitale Regulierung berührt gleichzeitig IT, Recht, Procurement, Geschäftsführung, HR und Lieferkette. Eine Perspektive, die nur eine dieser Dimensionen kennt, liefert unvollständige Antworten. Die Leitfäden versuchen, alle relevanten Dimensionen gleichzeitig zu adressieren – mit dem Bewusstsein, dass in der Praxis selten ein Team allein zuständig ist und die wirklichen Herausforderungen meistens an den Schnittstellen entstehen.

Die Perspektive «Schweizer KMU im EU-Kontext» ist nicht zufällig. Sie spiegelt langjährige Arbeit an der Schnittstelle zwischen Schweizer Geschäftspraxis und europäischem Regulierungsrahmen: die Erfahrung, was es konkret bedeutet, wenn ein EU-Kundenvertrag plötzlich DORA-Klauseln enthält, wenn ein Procurement-Fragebogen AI-Act-Anforderungen stellt oder wenn ein Lieferant keine NIS2-konformen Sicherheitsnachweise liefern kann. Diese Leitfäden sind aus genau diesen Situationen heraus entstanden – nicht aus dem Lesen von Gesetzestexten, sondern aus der Erfahrung ihrer Auswirkungen.

Vorwort: Warum digitale Souveränität kein Luxusthema ist

Digitale Souveränität klingt nach einem strategischen Konzept für Großunternehmen. In der Praxis ist sie für Schweizer KMU eine operative Frage, die jeden Tag beantwortet wird – meist unbewusst, durch das Fehlen von Exit-Strategien, die Abhängigkeit von einem einzigen Cloud-Anbieter oder die fehlende Dokumentation kritischer Systeme.

Dieser Leitfaden ist kein Plädoyer für digitale Autarkie. Es ist ein operatives Instrument, das Ihnen hilft, bewusste Entscheidungen über Abhängigkeiten zu treffen – und die richtigen Vertragsklauseln, um diese Entscheidungen abzusichern.

1. Was digitale Souveränität für ein KMU wirklich bedeutet

Vier Dimensionen – und was jede im Alltag konkret heißt.

1.1 Die vier Dimensionen – operativ übersetzt

2. Abhängigkeiten erkennen und bewerten

Bevor Sie Maßnahmen ergreifen, müssen Sie wissen, wo Sie stehen. Das ist die wichtigste Stunde Ihrer digitalen Souveränitätsarbeit.

2.1 Die Abhängigkeitsmatrix

Erstellen Sie für jeden kritischen Anbieter eine Zeile in dieser Matrix. 'Kritisch' bedeutet: wenn dieser Anbieter morgen wegfällt, hat das unmittelbare Auswirkungen auf Ihren Betrieb.

Lock-in-Indikatoren: Proprietäres Datenformat · Keine Export-API · Wechselgebühren > 3 Monatsumsatz · Keine gleichwertigen Alternativen · Kundendaten nur beim Anbieter

2.2 Die häufigsten Lock-in-Fallen

3. Maßnahmen nach Priorität

Digitale Souveränität ist kein einmaliges Projekt. Es ist eine kontinuierliche Governance-Aufgabe. Aber es gibt Sofortmaßnahmen mit hohem Wirkungsgrad.

3.1 Vertragliche Maßnahmen – das unterschätzte Werkzeug

Die wirksamste Maßnahme für digitale Souveränität kostet nichts außer Verhandlungszeit: die richtigen Vertragsklauseln.

Datenportabilität

Exit-Unterstützung

Subdienstleister-Transparenz

3.2 Technische Maßnahmen – pragmatisch priorisiert

3.3 Organisatorische Maßnahmen

Technologie-Entscheidungs-Protokoll: Jede Einführung eines neuen kritischen Anbieters erfordert eine dokumentierte Abhängigkeitsbewertung. Nicht mehr als 3 Fragen: Datenportabilität? Exit-Kosten? Alternative verfügbar?

Jährliche Abhängigkeitsüberprüfung: Einmal jährlich die Abhängigkeitsmatrix aktualisieren. Hat sich das Lock-in-Risiko verändert? Gibt es neue Alternativen?

Kompetenzdiversifizierung: Mindestens zwei Mitarbeitende mit Kenntnissen über jedes kritische System. Single-Point-of-Failure bei Kompetenz ist genauso riskant wie bei Technologie.

Lieferantenbewertung: Neue kritische Anbieter auf Souveränitätskriterien bewerten: Datenportabilität, offene Standards, Marktposition, Finanzkraft.

4. Digitale Souveränität und Regulierung: Was zusammenhängt

Digitale Souveränität ist kein separates Compliance-Thema. Die EU-Digitalregulierung codifiziert viele Souveränitätsprinzipien – und Compliance mit diesen Regimen schafft gleichzeitig Souveränität.

5. Digitale Souveränität für Schweizer Unternehmen

Schweizer KMU haben in der Souveränitätsdebatte eine besondere Position: Sie sind nicht Teil des EU-Binnenmarkts, aber wirtschaftlich eng integriert. Das schafft spezifische Chancen und Risiken.

5.1 Die Schweizer Souveränitätschance

Schweizer Datenhaltung ist ein kommerzielles Differenzierungsmerkmal – besonders für regulierte Sektoren.

Rechtssicherheit: Schweizer Recht gilt als stabil und verlässlich. EU-Kunden aus regulierten Sektoren schätzen Schweizer Gerichtsbarkeit.

Datenlokalisierung: Für Finanz- und Gesundheitsdaten ist Schweizer Datenhaltung oft explizit gewünscht oder gefordert.

Neutralität: Schweiz als neutrales Land ist für manche Kunden ein geopolitisches Souveränitätsargument.

Regulierungsstabilität: Schweizer Regulierung ändert sich langsamer als EU-Recht. Das gibt Planungssicherheit.

5.2 Die Schweizer Souveränitätsrisiken

US-Cloud-Abhängigkeit: Die meisten Schweizer KMU nutzen US-amerikanische Cloud-Dienste (AWS, Azure, Google). Diese unterliegen dem CLOUD Act – US-Behörden können unter Umständen Zugang verlangen.

Vendor-Concentration: Zu starke Konzentration auf einzelne Anbieter erhöht geopolitische Risiken. Exportbeschränkungen, Sanktionen oder politische Spannungen können Dienste unterbrechen.

Schweizer KMU ohne EU-Footprint: Wer keine EU-Niederlassung hat, verliert möglicherweise Zugang zu EU-Förderprogrammen für souveräne Cloud-Infrastruktur.

5.3 Praktische Empfehlungen für Schweizer KMU

6. Die fünf häufigsten Fehler

Fehler 1: Souveränität als IT-Thema behandeln

Digitale Souveränität wird an die IT-Abteilung delegiert. Die Geschäftsleitung sieht sich nicht als zuständig. Das führt dazu, dass strategische Abhängigkeitsentscheidungen ohne Managementperspektive getroffen werden – und das Unternehmen merkt es erst, wenn es zu spät ist.

Fehler 2: Niedrige Preise als Souveränitätsargument

'Wir bleiben bei Anbieter X, weil Wechseln teuer ist.' Das ist ein Lock-in-Symptom, nicht ein strategisches Argument. Die echten Kosten eines Lock-ins – Preismacht des Anbieters nach Bindung, Schwierigkeiten bei regulatorischen Anforderungen, Ausfallrisiko – werden selten vollständig berechnet.

Fehler 3: Exit-Strategien nicht dokumentieren

'Wir könnten wechseln, wenn wir wollten.' Ohne dokumentierten Exit-Plan ist das eine Annahme, keine Strategie. Im Krisenfall – Anbieterausfall, Preiserhöhung, regulatorische Anforderung – bleibt keine Zeit für die Planung.

Fehler 4: SBOM als Compliance-Checkbox

Software Bill of Materials wird zunehmend von Kunden und Regulatoren verlangt. Viele KMU erstellen eine SBOM für ein Audit und vergessen sie danach. Eine veraltete SBOM ist irreführend und kann bei Sicherheitsvorfällen zum Problem werden.

Fehler 5: Souveränität als Gegenmodell zu Cloud

'Souveränität bedeutet, alles On-Premise zu betreiben.' Das ist ein Missverständnis. Digitale Souveränität bedeutet bewusste Entscheidungen über Abhängigkeiten – nicht die Ablehnung von Cloud-Diensten. Ein gut verhandelter Cloud-Vertrag mit Portabilitätsgarantien ist souveräner als ein schlecht dokumentiertes On-Premise-System.

7. Der praktische Fahrplan – sechs Schritte

Kontakt & weitere Informationen