SAFARI

Eine offene Methodik für Beschaffung und Assurance digitaler Souveränität.

SAFARI steht für Sovereignty Assurance Framework for Autonomy, Resilience & Independence. Es ist eine offene Methodik zur Bewertung der digitalen Souveränität von Cloud-Diensten aus Sicht der Kundenorganisation: Welche Kontrolle hat die Organisation tatsächlich und welche Nachweise liegen dafür vor?

Unterstützung bei der Beschaffung

SAFARI hilft, Anforderungen an digitale Souveränität vor einer Ausschreibung oder Vertragsverhandlung konkret festzulegen. Die Organisation wählt für jedes Thema selbst das erforderliche Mindestniveau. Feste Fragen, Nachweisanforderungen und Bewertungsregeln erleichtern den Vergleich von Angeboten und zeigen frühzeitig, wo Informationen, Vereinbarungen oder technische Garantien fehlen.

Das höchste Niveau ist nicht immer erforderlich. Eine Organisation bestimmt das gewünschte Niveau anhand der Nutzung, der Daten und der Risiken des Dienstes. SAFARI enthält empfohlene Mindestniveaus als Ausgangspunkt; begründete Abweichungen sind möglich.

Assurance mit angemessenem Sicherheitsgrad

SAFARI bewertet zwei Aspekte getrennt:

  • das erreichte Souveränitätsniveau von 0 bis 4;
  • die Qualität der Nachweise, ebenfalls von 0 bis 4.

Sowohl das gewünschte Mindestniveau als auch der angestrebte Sicherheitsgrad werden vorab festgelegt. Das Urteil zeigt anschließend, ob dieses Minimum erreicht wurde und ob die Nachweise für kein Urteil, begrenzte Sicherheit oder hinreichende Sicherheit ausreichen. So entspricht der Sicherheitsgrad dem, was die Organisation tatsächlich nachweisen muss.

Verwendete Rahmenwerke

Das European Cloud Sovereignty Framework (ECSF) ist der Ausgangspunkt. SAFARI verwendet die acht Souveränitätsziele und die Niveaus des ECSF, betrachtet sie jedoch aus Kundensicht und behandelt das schwächste Glied als maßgeblich für das Gesamtniveau.

SAFARI verknüpft die Bewertung außerdem mit:

  • ISO 27001:2022 für relevante Maßnahmen;
  • ISAE 3000 für die Struktur des Assurance-Urteils;
  • aktueller Gesetzgebung, darunter DSGVO, Data Act, NIS2, DORA und Cyber Resilience Act;
  • dem vorgeschlagenen Cloud and AI Development Act (CADA), ausschließlich als indikative Prüfung, solange der Vorschlag noch kein geltendes Recht ist.

Die vollständige Methodik, Fragebögen und Bewertungsregeln sind im SAFARI-Repository öffentlich verfügbar.

SAFARI wurde durch De Winter Information Solutions und Vigilis Consultancy ermöglicht.