NIS2 rückt digitale Souveränität ins Zentrum der Cloud-Strategie

Skalierbarkeit, globale Verfügbarkeit und ein großes Serviceportfolio bestimmten lange die Wahl eines Cloud-Anbieters. Inzwischen rücken andere Kriterien nach vorn: Wie transparent ist die Infrastruktur? Welche Abhängigkeiten entstehen? Wie schnell lassen sich Vorfälle beherrschen? Und wie belastbar bleiben geschäftskritische Prozesse bei Störungen? Mit der zweiten EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS2) werden solche Fragen zunehmend zur Managementaufgabe.

Automatisierter Traffic verändert die Bedrohungslage

Wie stark automatisierte Aktivitäten inzwischen das Internet prägen, zeigt der „2026 Edge Security Report“ von bunny.net. Das Unternehmen analysierte zwischen Januar und Mai 2026 nach eigenen Angaben mehr als 42,4 Milliarden Anfragen auf seiner Edge-Infrastruktur. Fast fünf Milliarden davon wurden durch Sicherheitsmechanismen abgewehrt oder überprüft, mehr als 17,6 Millionen Angreifer-IP-Adressen bereits auf Netzwerkebene blockiert.

Rund jede fünfte Anfrage stammt dem Bericht zufolge von automatisierten Systemen. HTTP-Clients und API-Werkzeuge wie curl, Requests oder Go HTTP Clients verursachen allein 19 Prozent des Traffics. Gleichzeitig erzeugen KI-Crawler inzwischen mehr Datenverkehr als klassische Suchmaschinen-Bots.

Hinzu kommen hochgradig verteilte Angriffe. Ein dokumentierter Distributed-Denial-of-Service-Angriff (DDoS) auf Anwendungsebene erreichte 16,5 Millionen Requests pro Sekunde aus 392.000 IP-Adressen. Solche Muster können lokal arbeitende Rate-Limits umgehen und erfordern über Regionen hinweg synchronisierte Abwehrmechanismen.

NIS2 erweitert den Blick auf die Lieferkette

NIS2 verlangt von betroffenen Unternehmen nicht nur technische Schutzmaßnahmen. Auch Governance, Risikomanagement, Business Continuity und die Sicherheit von Lieferketten spielen eine zentrale Rolle. Damit geraten externe Infrastruktur- und Cloud-Dienstleister stärker in den Fokus.

Komplexe Architekturen aus mehreren Clouds, Sicherheitslösungen und Netzwerkdiensten erschweren jedoch Transparenz und Incident Response. Mit jeder zusätzlichen Plattform wächst auch der Aufwand, Zuständigkeiten, Abhängigkeiten und Risiken nachvollziehbar zu dokumentieren.

Abhängigkeit von einzelnen Anbietern begrenzen

Hyperscaler bleiben für viele Unternehmen unverzichtbar. Eine starke Konzentration auf einzelne Anbieter kann jedoch operative Risiken schaffen – etwa bei Ausfällen, Änderungen von Preismodellen oder eingeschränkten Migrationsmöglichkeiten.

Digitale Souveränität umfasst deshalb mehr als Datenschutz oder den Standort von Rechenzentren:

• Transparenz über kritische Abhängigkeiten
• Kontrolle über Sicherheits- und Betriebsprozesse
• Wahlfreiheit bei Infrastrukturentscheidungen
• Resilienz gegenüber Ausfällen einzelner Anbieter
• Nachvollziehbarkeit von Kosten und Verantwortlichkeiten

Diversifizierung statt vollständiger Unabhängigkeit

Eine mögliche Antwort sind stärker verteilte Infrastrukturmodelle. Multi-Cloud-Ansätze, Edge-Plattformen und spezialisierte Anbieter können verhindern, dass zentrale Geschäftsprozesse vollständig von einer einzelnen Plattform abhängen.

Dabei bedeutet digitale Souveränität nicht zwangsläufig den Abschied vom Hyperscaler. Entscheidend ist vielmehr die Fähigkeit, Dienste austauschen, Risiken verteilen und kritische Prozesse auch bei Störungen weiterführen zu können. Unter NIS2 wird diese operative Wahlfreiheit zunehmend zu einem Bestandteil belastbarer IT-Strategien.

Dejan Grofelnik Pelzel, Gründer und CEO von bunny.net