Made in Europe ist keine Sicherheitsgarantie

Unsere Einordnung

Der Artikel spricht diverse Punkte an, die der ITE seit seiner Gründung vertritt: Made in Europe ist ein wichtiges Signal, aber kein Beleg für IT-Sicherheit. Herkunft sagt zunächst nur, wo ein Produkt entwickelt oder gefertigt wurde, nicht aber, wie transparent die Lieferkette ist, wie ein Anbieter mit Schwachstellen umgeht oder wie offen er seine Architektur macht. Wer Souveränität allein an der Herkunft eines Anbieters festmacht, verwechselt damit einen Ausgangspunkt mit einem Ergebnis.

Statt Souveränität über ein reines Herkunftssiegel zu behaupten, arbeitet der Verein an einem IT-Gütesiegel IT aus Europa, das sich derzeit in der Betaphase befindet und Kriterien wie Herkunft, Sicherheitsstandards und tatsächliche Wertschöpfung in einen überprüfbaren Rahmen überführt. Eine wichtige Grundlage der Bewertung sind hier die offiziellen SDGs (Sustainable Development Goals) der Vereinten Nationen. Der eigentliche Mehrwert liegt dabei nicht im Siegel selbst, sondern in der ITE-Mitgliedschaft: einem Netzwerk, in dem Anbieter ihre Transparenz, ihre Lieferketten und ihre Sicherheitspraxis im Austausch mit anderen Mitgliedern und Beschaffungsstellen belastbar machen können.

Die im Artikel beschriebenen Instrumente, z. B. eine gepflegte Software Bill of Materials, durchdachte Multi-Vendor-Strategien und ein realistischer Umgang mit Legacy-Systemen im OT-Umfeld (Operational Technology), sind aus ITE-Sicht keine Alternative zu europäischer Wertschöpfung, sondern eine notwendige Ergänzung. Wer als europäischer Anbieter auf Sichtbarkeit und Vergabevorteile setzt, muss diese Transparenzanforderungen ohnehin erfüllen, ob durch den Cyber Resilience Act, NIS2 oder künftige Beschaffungskriterien…

Eine Einschränkung bleibt: Die Aussage im Artikel, ein vollständig souveräner europäischer Software-Stack sei kein realistisches Ziel. Das mag für viele Komponenten zutreffen, etwa bei global verteilten Open-Source-Lieferketten. Daraus folgt jedoch nicht, dass reduzierte Abhängigkeiten als Ziel aufgegeben werden sollten. Es geht nicht um vollständige Autarkie, sondern darum, Abhängigkeiten zu kennen, zu bewerten und dort gezielt zu reduzieren, wo es wirtschaftlich und sicherheitstechnisch sinnvoll ist. Bewusste Entscheidungen erfordern allerdings auch ein Wissen um das, was tatsächlich machbar ist. Dieselbe Überlegung gilt für Hardware, und zwar nicht nur für Server in Rechenzentren, KI-Cluster oder Cloud-Infrastruktur, sondern ebenso für die tägliche Datenverarbeitung am Arbeitsplatz, von Notebooks und Workstations bis zu Thin Clients, die im laufenden Betrieb mit Servern kommunizieren. ITE-Mitglieder wie u. a. Kontron Europe GmbH oder EXTRA Computer GmbH zeigen, dass sich europäische Fertigung und nachvollziehbare Lieferketten in der Praxis verbinden lassen. Auch hier zählt nicht die vollständige Eigenproduktion jeder Komponente, sondern die bewusste Entscheidung, wo europäische Wertschöpfung und Kontrolle tatsächlich einen Unterschied machen.

Für Unternehmen und öffentliche Beschaffungsstellen bedeutet das: Herkunft kann ein Kriterium unter mehreren sein, sie ersetzt aber keine Sicherheitsarchitektur. Genau diese Kombination aus europäischer Wertschöpfung und überprüfbarer Transparenz ist der Maßstab, an dem gemessen werden sollte.