Jahrelang musste, wer in Portugal über digitale Souveränität schrieb, im Konjunktiv schreiben. Man sprach darüber, was der Staat tun sollte, was wünschenswert wäre, was andere Länder bereits taten.
Das änderte sich im Mai 2026. Der Beschluss des Ministerrats Nr. 102/2026, veröffentlicht am 27. desselben Monats, genehmigte den Nationalen Plan für eine souveräne Cloud. Zum ersten Mal gibt es ein offizielles Dokument, das die technologische Abhängigkeit des Staates als Risiko anerkennt und einen Weg aufzeigt, sie zu verringern.
Das ist eine gute Nachricht. Doch zwischen dem Plan und der Realität vor Ort klafft eine Lücke, die es ehrlich zu vermessen lohnt, vor allem mit Blick auf den Teil der öffentlichen Verwaltung, der am stärksten exponiert und am schlechtesten ausgestattet ist: die Kommunen.
Was der Plan vorsieht
Der Nationale Plan für eine souveräne Cloud stützt sich auf drei Dimensionen: die Klassifizierung der Geschäftsprozesse, Daten und Systeme der öffentlichen Verwaltung; die Festlegung von Anforderungen an Souveränität, Sicherheit und Resilienz für jede Stufe; und die schrittweise Einführung souveräner digitaler Infrastruktur.
Die Logik ist stimmig und verdient Anerkennung, denn sie bricht mit fünfzehn Jahren Einheitsbehandlung. Nicht alle Daten des Staates brauchen denselben Schutzgrad, und zum ersten Mal wird formell anerkannt, dass es eine Kritikalitätsstufe gibt, die Infrastruktur unter verstärkter staatlicher Kontrolle erfordert.
Die operativen Elemente sind ebenso konkret:
- Die Überwachung liegt in der Verantwortung der Agentur für die technologische Reform des Staates, in Abstimmung mit dem Nationalen Zentrum für Cybersicherheit.
- Für die Infrastruktur verantwortlich ist IP Telecom, mit einem für 2027 geplanten souveränen Rechenzentrum und der für 2030 angestrebten Fertigstellung der Struktur.
- Alle Einrichtungen der öffentlichen Verwaltung müssen ihre Prozesse erfasst und klassifiziert haben, und zwar bis zum 30. Juni 2027.
- Es gibt einen ungewöhnlichen finanziellen Anreiz: Die Hälfte des durch die Migration eingesparten Geldes verbleibt bei der jeweiligen Einrichtung.
- Bis 2028 sollen mindestens 10 % der IT-Fachkräfte der öffentlichen Verwaltung in digitaler Souveränität geschult sein, bis 2030 zudem mehr als tausend leitende Führungskräfte.
Es ist ein ernsthafter Plan. Das Problem ist nicht, was er sagt. Das Problem ist, wie lange er dauern wird, und wer in der Zwischenzeit ungeschützt bleibt.
Vor Ort: 308 Kommunen, eine Angriffsfläche
Das jüngste Bild der portugiesischen Kommunen ist nicht beruhigend.
Im Cybersicherheitsbericht 2024 des Nationalen Zentrums für Cybersicherheit werden die Stadt- und Gemeindeverwaltungen als bevorzugtes Ziel benannt, mit einem Anstieg der Vorfälle um 9,4 Prozentpunkte seit 2021. Ein Viertel der Kommunen meldete in jenem Jahr erkannte Vorfälle. Landesweit verzeichnete CERT.PT einen Anstieg der Vorfälle um 36 % gegenüber dem Vorjahr.
Eine wissenschaftliche Studie, die die Websites aller 308 Kommunen analysierte, kam zu dem Schluss, dass trotz Verbesserungen erhebliche Schwachstellen bestehen bleiben, von denen einige, so die Forschenden, keinen besonders versierten Angreifer erfordern würden. Der nationale Durchschnittswert beim Cybersicherheitsindikator lag bei 0,660 auf einer Skala von null bis eins.
Eine weitere Zahl hilft, die Art des Problems zu verstehen: Auf Schadsoftware zum Diebstahl von Zugangsdaten entfielen im dritten Quartal 2025 mehr als 80 % der erfassten Malware-Aktivität. Und die häufigste Art von Vorfall ist nach wie vor Phishing, mit Kampagnen, die zunehmend die öffentliche Verwaltung selbst imitieren.
Fügt man all das zusammen, wird das Bild deutlich. Der dominierende Einstiegspunkt ist keine exotische Serverschwachstelle. Es ist eine E-Mail, die jemand öffnet.
Die Asymmetrie, die kein Plan beheben kann
Die portugiesische Zentralverwaltung hat IT-Teams, eigene Budgets und die Möglichkeit, Personal einzustellen. Die Daten des Berichts selbst zeigen es: 63 % der Zentralverwaltung nutzen mindestens zwei Authentifizierungsfaktoren, ein höherer Anteil als bei portugiesischen Unternehmen.
Eine Kommune mit zwanzigtausend Einwohnern ist eine andere Realität. Oft sind dort ein oder zwei Personen für die gesamte IT zuständig, einschließlich Nutzersupport, kommunalem Portal, Dokumentenmanagementsystemen, Stadtplanung, Wasser, Gebühren und Genehmigungen. Cybersicherheit konkurriert mit all dem um dieselbe Zeit und dasselbe Budget.
Es ist kein Mangel an Willen. Es ist Arithmetik. Und deshalb sind Initiativen wie die nationale Cybersicherheitsübung für Kommunalverwaltungen wichtig, an der mehr als 270 Kommunen und rund tausend Teilnehmende in Ransomware- und Phishing-Szenarien beteiligt waren: nicht, weil sie Technologie trainieren, sondern weil sie Entscheidungsfindung trainieren, in Organisationen, in denen es kein ständiges Krisenteam gibt.
Der Nationale Plan für eine souveräne Cloud richtet sich an die öffentliche Verwaltung als Ganzes. Er löst für sich genommen nicht die Kapazitätslücke zwischen einem Ministerium und einer kleinen Kommune im Landesinneren.
Die Lücke, die niemand ignorieren kann
Es lohnt sich, die Daten genau zu lesen. Klassifizierung der Prozesse bis Mitte 2027. Souveränes Rechenzentrum geplant für 2027. Fertigstellung der Struktur angestrebt für 2030.
Das sind vernünftige Fristen für eine Transformation dieser Größenordnung. Sie bedeuten aber, dass die Kommunikation zwischen Staat und Bürgern in den nächsten Jahren weiter über die Infrastruktur laufen wird, die heute existiert. Und diese Infrastruktur beruht in vielen Kommunen auf Diensten, die bei Anbietern eingekauft wurden, die dem Recht von Drittstaaten unterliegen.
Die praktische Frage für alle, die heute eine Kommune oder einen öffentlichen Dienst führen, lautet nicht „Was wird sich 2030 ändern“. Sie lautet „Was kann ich beim nächsten Vertrag entscheiden, den ich unterschreibe“.
Drei Entscheidungen, die nicht vom Warten abhängen
Erstens: Behandeln Sie die anwendbare Rechtsordnung als Anforderung, nicht als Zünglein an der Waage. Dafür braucht es keine neue Gesetzgebung. Leistungsbeschreibungen können schon heute verlangen, dass der Anbieter ausschließlich portugiesischem und europäischem Recht unterliegt und dass keine Übermittlungen in Drittstaaten stattfinden. Das ist eine Zeile Text.
Zweitens: Beginnen Sie bei der E-Mail. Dort kommen die Angriffe herein, dort liegen die sensibelsten Informationen aus der Beziehung zu den Bürgern, und es ist das System, das sich am leichtesten wechseln lässt, weil es auf offenen Protokollen aufbaut. Dort haben Deutschland und Frankreich angefangen, und das nicht zufällig.
Drittens: Verlangen Sie Nachweise statt Versprechen. Ein Anbieter sollte einfache Fragen schriftlich und ohne Zögern beantworten können: wo die Daten liegen, welchem Recht das betreibende Unternehmen unterliegt, wie lange Protokolle aufbewahrt werden und was bei Vertragsende geschieht.
Keine dieser drei Entscheidungen erfordert zusätzliches Budget, Gesetzesänderungen oder das Warten auf nationale Infrastruktur. Sie erfordern nur, zum Zeitpunkt der Vergabe die richtigen Fragen zu stellen.
Worum es wirklich geht
Für die meisten Menschen ist die Kommune das nächstgelegene Gesicht des Staates. Dort kümmert man sich um eine Genehmigung, meldet einen Vorfall, beantragt Sozialleistungen, klärt ein Problem mit dem Wasseranschluss. Die Informationen, die durch diese Kommunikation fließen, sind oft sensibler als das, was durch ein Ministerium geht.
Portugal hat mit der Genehmigung eines nationalen Plans einen wichtigen Schritt getan. Doch digitale Souveränität wird nicht nur im Ministerrat entschieden. Sie wird vor allem in den Tausenden Vergabeverfahren entschieden, die öffentliche Einrichtungen jedes Jahr einleiten, lange bevor irgendeine nationale Infrastruktur bereitsteht.
Der Plan legt das Ziel fest. Jeder bis dahin unterzeichnete Vertrag legt den Weg fest.