SAP betreibt ab 2028 eine souveräne Cloud für das niederländische Verteidigungsministerium

Die niederländischen Streitkräfte übertragen Wartung, Updates und zentrale Teile des Betriebs an einen kommerziellen Anbieter. Wie viel der Vertrag wert ist, hat SAP nicht mitgeteilt. Die sensibelsten Arbeitslasten des Ministeriums bleiben in getrennten Umgebungen.

Was die Niederländer unterschrieben haben

Die Vereinbarung umfasst Aufbau und Betrieb einer souveränen Cloud-Umgebung in den Niederlanden.

Die Umgebung ist Teil einer breiteren Multicloud-Strategie. Sie verbindet souveräne Cloud, private Cloud und getrennte Umgebungen für streng geheime Informationen. Die Verteilung der Arbeitslasten auf mehrere Anbieter soll die Abhängigkeit von einer einzigen Technologie oder einem einzigen Lieferanten verringern. Außerdem sollen kritische Dienste auch bei Störungen weiterlaufen, Cyberangriffe eingeschlossen. Thomas Saueressig, Chief Customer Officer und Mitglied des Vorstands von SAP, sagte, das Ministerium wolle moderne Technologie. Es wolle zugleich die Kontrolle über Sicherheit und Souveränität seiner kritischen Systeme behalten.

Warum Souveränität gekauft und nicht erklärt wird

Bart Van der Biest ist Geschäftsführer von SAP Benelux. Er beschrieb den Vertrag in betrieblichen Begriffen. Bei einer souveränen Cloud gehe es nicht nur darum, wo Daten liegen, sagte er. Entscheidend sei, wer Zugang zu Systemen hat und wer den Cloud-Betrieb führt. Diese Entscheidungen müssten beim Ministerium bleiben, argumentierte er, unabhängig davon, wie sich Technologie oder Geopolitik ändern.

Brüssel schreibt denselben Gedanken in seine Vergaberegeln. Das European Tech Sovereignty Package erschien im Juni 2026. Es enthält den Cloud and AI Development Act. Dieser Gesetzentwurf würde vier Stufen der Souveränitätsabsicherung für öffentliche Auftraggeber einführen, heißt es in einem Bericht der IISE-Einheit von NEC. Frankreich beschränkt sensible Staatsdaten bereits auf Clouds, die nach dem SecNumCloud-Schema von ANSSI zertifiziert sind. Das deutsche BSI veröffentlichte seine C3A-Kriterien am 27. April 2026. Die Kriterien bewerten Rechtszuständigkeit, Betrieb, Lieferkette und Notabschaltung.

Dieselbe Woche, dasselbe Angebot

Der niederländische Vertrag fiel in eine Woche paralleler Ankündigungen. Schulen in sechs deutschen Bundesländern können jetzt von IONOS gehosteten Dateispeicher und Kollaborationswerkzeuge nutzen. Gov Digital vergab den Hosting-Vertrag.

Die Plattform ist in Berlin, Bremen, Hamburg, Hessen, Nordrhein-Westfalen und Rheinland-Pfalz verfügbar. Sie läuft ausschließlich in IONOS-Rechenzentren in Deutschland. IONOS liefert bereits Software an das französische Bildungsministerium. Dieses Ministerium stellt sie 500.000 Nutzern bereit und will sie auf 1.200.000 Beschäftigte ausweiten. Achim Weiß ist Vorstandsvorsitzender von IONOS. Er sagte, die Cloud-Lösung sei in Deutschland entwickelt worden. Sie stehe für Sicherheit, Zuverlässigkeit und digitale Souveränität.

Am 3. November unterzeichneten Bull und Schwarz Digits eine Absichtserklärung. Sie wollen ein Ökosystem für eine unabhängige europäische KI- und Cloud-Infrastruktur aufbauen, wie sie es nannten. Der Plan sieht vor, die BullSequana-AI-Plattform im STACKIT Marketplace anzubieten. Er umfasst außerdem gemeinsam entwickelte Server nach den Standards des Open Compute Project. Finanzielle Einzelheiten wurden nicht genannt. Die Ankündigung enthielt keine Starttermine.

Das Gegenargument: Auch ein lokaler Anbieter bindet

Nicht alle halten einen europäischen Lieferanten für die Antwort. Eine britische Rechnung garantiert keine Ausfallsicherheit, argumentierte THINK Digital Partners am 3. November. Auch ein inländischer Anbieter kann Kunden binden. Er kann die Preise erhöhen, sobald sie nicht mehr wechseln können.

Der Code darunter ist das schwierigere Problem. Zwei kritische Schwachstellen in PHP brachten am 21. Oktober Behördendienste in ganz Europa offline. Eine davon war der niederländische Login DigiD.

Schätzungen zufolge läuft PHP auf 70 Prozent aller Websites. Die Geschäftsführerin der PHP Foundation sagte, das Projekt habe eine Vollzeitkraft. Open Source trägt dasselbe Risiko eines einzigen Anbieters auf der Protokollebene. Die Europäische Kommission führte Matrix zwischen Juli und September 2026 auf den Laptops ihrer Beschäftigten ein. Gehostet wurde es von der Schengen Cloud Alliance, zu der OVHcloud gehört. Element finanziert den größten Teil des Betriebs der Matrix Foundation. Geschäftsführer Matthew Hodgson will, dass Regierungen, die auf dem Protokoll aufbauen, sich daran beteiligen.

Wie es weitergeht

Laut SAP könnte die Vereinbarung als Grundlage für andere berechtigte niederländische Regierungsstellen dienen. Diese Stellen bräuchten vergleichbare Anforderungen an Sicherheit und Souveränität. Ob die vier Absicherungsstufen im CADA-Vorschlag die Verhandlungen überstehen, entscheidet darüber, wie viele von ihnen folgen.