In Frankreich gehostete Unternehmensdaten: Warum dies für NIS2 und die DSGVO von entscheidender Bedeutung ist

· 11 Minuten Lesezeit
11 min read
Eziwan-Team
Eziwan-Team
IoT-Infrastruktur

Die Frage nach dem Standort von Industriedaten hat sich im Zeitraum 2025–2026 von einer technischen Debatte zu einem wichtigen regulatorischen Thema entwickelt. Angesichts der schrittweisen Umsetzung von NIS2, der neuen DSGVO-Sanktionen für Datenübermittlungen außerhalb der EU und des wachsenden Bewusstseins für die mit dem US-amerikanischen CLOUD Act verbundenen Risiken müssen französische Industrieunternehmen unbedingt wissen, wo ihre OT/IoT-Überwachungsdaten gehostet werden.

In diesem Artikel wird untersucht, warum das Hosting in Frankreich für viele Industrieunternehmen zu einem unverzichtbaren Auswahlkriterium geworden ist und was dies konkret für Ihre Wahl einer IIoT-Lösung bedeutet.

Was sind „Industriedaten“ und warum ist ihr Standort von Bedeutung?​

Die von Ihren IoT-Gateways, Steuerungen, Sensoren und SCADA-Systemen generierten Industriedaten decken ein breites Spektrum ab:

  • Prozessdaten: Temperaturen, Drücke, Durchflussmengen, Füllstände – die physikalischen Messwerte Ihrer Produktion
  • Betriebsdaten: Alarmzustände, Maschinenereignisse, Wartungsprotokolle
  • Netzwerktopologiedaten: IP-Adressen, Installationspläne, Firmware-Versionen der Geräte
  • Zugriffsdaten: Wer hat sich wann, von wo aus bei welchem Gerät angemeldet?

Zusammengenommen ergeben diese Daten eine detaillierte Übersicht über Ihre industrielle Infrastruktur: ihre Produktionskapazität, ihre Schwachstellen und ihre Ausfallmuster. Wenn sie in die falschen Hände geraten – bei Wettbewerbern, feindlich gesinnten staatlichen Akteuren oder Cyberkriminellen –, können die Folgen schwerwiegend sein.

Die Frage lautet also nicht: „Sind meine Daten sensibel?“, sondern: „Wer hat Zugriff darauf und unter welcher Rechtsordnung?“

Das Problem mit dem US-amerikanischen CLOUD Act​

Seit 2018 verpflichtet der Clarifying Lawful Overseas Use of Data Act (CLOUD Act) US-amerikanische Unternehmen dazu, den US-Bundesbehörden die von ihnen gehosteten Daten zur Verfügung zu stellen – selbst wenn diese Daten physisch in Europa gespeichert sind.

Konkret bedeutet dies: Wenn Sie AWS, Microsoft Azure oder Google Cloud nutzen, können Ihre Unternehmensdaten vom FBI oder der NSA abgegriffen werden, selbst wenn sich Ihre Server in Paris oder Frankfurt befinden, ohne dass Sie zwangsläufig darüber informiert werden und ohne dass Ihnen wirksame europäische Rechtsmittel zur Verfügung stehen.

Bei Industriedaten gibt dieses Risiko besonders Anlass zur Sorge:

  • Industriespionage: Ihre Produktionsparameter, Taktzeiten und Rezepturen könnten von amerikanischen Wettbewerbern genutzt werden
  • Kritische Infrastruktur: Für OIV (Betreiber von lebenswichtiger Bedeutung) kann die Weitergabe von Überwachungsdaten ein Risiko für die nationale Sicherheit darstellen
  • Wirtschaftsspionage: Die tatsächliche Produktionskapazität eines Werks, seine Lieferanten, seine Logistikabläufe – all dies kann für staatliche Akteure von Interesse sein

Sowohl die Europäische Kommission als auch die ANSSI haben empfohlen, bei sensiblen Daten Anbieter zu meiden, die dem CLOUD Act unterliegen. NIS2 verstärkt diese Empfehlung zu einer faktischen Verpflichtung für kritische Einrichtungen.

Was NIS2 zur Datenlokalisierung sagt​

NIS2 schreibt nicht ausdrücklich vor, dass alle Daten in Frankreich oder in der EU gehostet werden müssen. Einige seiner Anforderungen führen jedoch indirekt dazu:

1. Steuerung der digitalen Lieferkette​

Artikel 21 der NIS2 schreibt ein Risikomanagement für die Lieferkette vor, das auch Cloud-Dienstleister einschließt. Dies beinhaltet eine formelle Bewertung jedes Cloud-Anbieters: Wo hat er seinen Sitz? Unter welcher Gerichtsbarkeit können seine Daten beschlagnahmt werden? Über welche Sicherheitszertifizierungen verfügt er?

Für kritische Einrichtungen (EE) – zu denen zahlreiche Unternehmen aus den Bereichen Energie, Wasser, Verkehr, Gesundheitswesen und digitale Infrastruktur gehören – muss diese Bewertung dokumentiert und im Falle eines ANSSI-Audits vertretbar sein.

2. Meldung von Vorfällen und Verfügbarkeit von Beweismaterial​

NIS2 schreibt sehr kurze Meldefristen vor: 24 Stunden für die Erstmeldung, 72 Stunden für den Vorfallsbericht. Um diese Fristen einzuhalten, benötigen Sie sofortigen Zugriff auf Audit-Protokolle, Verbindungsprotokolle und Überwachungsdaten. Wenn diese Daten bei einem US-amerikanischen Dienstleister gehostet werden, der rechtlichen Verfahren unterliegt, besteht die Gefahr, dass Sie nicht rechtzeitig darauf zugreifen können.

3. Geschäftskontinuität und Widerstandsfähigkeit​

NIS2 schreibt einen Plan zur Aufrechterhaltung des Betriebs vor, der auch die Ausfallsicherheit der Informationssysteme umfasst. Ein Cloud-Anbieter, dessen Betriebsfähigkeit durch eine US-amerikanische gerichtliche Anordnung (Unterlassungsverfügung, Einfrieren von Vermögenswerten) beeinträchtigt werden könnte, stellt für kritische Einrichtungen ein inakzeptables Risiko für die Aufrechterhaltung des Betriebs dar.

4. Sanktionen​

Für kritische Einrichtungen können die NIS2-Sanktionen bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes betragen. Auch die Führungskräfte haften persönlich. Vor diesem Hintergrund ist die Entscheidung für ein „günstiges, aber riskantes“ Hosting wirtschaftlich nicht mehr sinnvoll.

Die DSGVO und Industriedaten​

Die DSGVO gilt für personenbezogene Daten – dazu können auch Betriebsdaten gehören, sofern sie die Identifizierung einer natürlichen Person ermöglichen. Typische Beispiele:

  • Fernzugriffsdaten: Wer hat sich bei welcher Steuerung angemeldet (namentliche Kennung)
  • Produktionsprotokolle: Produktivitätsdaten nach Bediener/Maschine (sofern einer bestimmten Person zugeordnet)
  • Wartungsdaten: Wer hat welche Wartungsmaßnahme durchgeführt (namentlich genannter Techniker)
  • Alarme mit Zuordnung: Welche Person hat welchen Alarm quittiert

Für diese Daten verbietet die DSGVO jegliche Übermittlung außerhalb des Europäischen Wirtschaftsraums ohne angemessene Schutzmaßnahmen (Standardvertragsklauseln, verbindliche Unternehmensregeln usw.). Seit der Ungültigkeitserklärung des Privacy Shield im Jahr 2020 (Urteil „Schrems II“) sind Übermittlungen in die Vereinigten Staaten rechtlich besonders heikel.

„Hosting in Frankreich“ beseitigt jegliche Unklarheiten: Die Daten verbleiben im EWR, unterliegen der DSGVO und es muss kein Datenübertragungsmechanismus begründet werden.

Zertifizierungen, die für die französische Industrie von Bedeutung sind​

Nicht alle französischen Hosting-Anbieter sind gleich. Achten Sie bei einer kritischen industriellen IoT-Infrastruktur auf folgende Zertifizierungen:

ISO 27001​

Die führende Zertifizierung für Informationssicherheit. Unverzichtbar. Erfordert ein dokumentiertes Informationssicherheits-Managementsystem (ISMS), das jährlich geprüft wird.

HDS (Anbieter von Gesundheitsdaten)​

Obligatorisch für Gesundheitsdaten (Pharmabranche, Krankenhäuser, Medizinprodukte). ANSSI/MiPih-Referenzrahmen.

SecNumCloud​

Das ANSSI-Gütesiegel für vertrauenswürdige Cloud-Dienste. Höchste Sicherheitsstufe für die französische Cloud. Empfohlen für OIVs und NIS2-kritische Einrichtungen. Aktuelle Anbieter: OVHcloud, Outscale (Dassault Systèmes), Oodrive.

Von der ANSSI qualifizierter CSP (Cloud Service Provider)​

Liste der qualifizierten Anbieter für sensible Informationssysteme.

Achtung: Einige Anbieter werben mit „Hosting in Frankreich“, sind jedoch Tochtergesellschaften amerikanischer Unternehmen, die dem CLOUD Act unterliegen. Verlangen Sie eine Bescheinigung, dass der Anbieter keinem extraterritorialen Gesetz unterliegt, das den Zugriff auf Ihre Daten ohne Benachrichtigung ermöglicht.

Konkrete Fälle: Welche Industrieunternehmen sind betroffen?​

Systemrelevante Akteure (OIV)​

Die 12 OIV-Sektoren in Frankreich (Energie, Wasser, Verkehr, Lebensmittel, Finanzen, Gesundheit usw.) unterliegen seit dem Militärprogrammgesetz (LPM) von 2013 spezifischen Verpflichtungen im Bereich der Cybersicherheit. Für sie ist die Speicherung von Überwachungsdaten in zertifizierten französischen Rechenzentren keine Option – es handelt sich um eine vertragliche Auflage der ANSSI.

Wesentliche und wichtige Stellen gemäß NIS2​

Mit NIS2 erweitert sich der Geltungsbereich erheblich:

  • Alle Unternehmen mit mehr als 250 Beschäftigten in den erfassten Branchen
  • Kritische Zulieferer der Verteidigungsindustrie
  • Betreiber lokaler Wasser- und Energienetze (auch mittelgroße)
  • Pharmaunternehmen und Hersteller von Medizinprodukten

Industrielle KMU, die an sensible Kunden exportieren​

Ein KMU, das als Zulieferer für Airbus, Dassault Aviation oder ein Pharmaunternehmen tätig ist, kann vertraglich verpflichtet sein, seine Daten unter Bedingungen zu speichern, die den Anforderungen des Auftraggebers entsprechen. Große Industriekonzerne nehmen solche Klauseln zunehmend in ihre Ausschreibungen für Lieferanten auf.

Wie Sie Ihre aktuelle IoT-Lösung bewerten können​

Hier sind 5 Fragen, die Sie Ihrem aktuellen oder zukünftigen IIoT-Anbieter stellen sollten:

1. Wo werden meine Daten physisch gespeichert? Verlangen Sie eine genaue Adresse des Rechenzentrums, nicht nur „in Europa“. Ein Speicherort „in Europa“ kann Irland (Amazon), die Niederlande (Microsoft) oder Finnland (Google) bedeuten – alle unterliegen dem CLOUD Act.

2. Unterliegt die Muttergesellschaft dem CLOUD Act? Wenn Ihr Dienstleister eine Tochtergesellschaft eines US-amerikanischen Unternehmens ist, unterliegt er dem CLOUD Act, unabhängig vom Standort seiner Server.

3. Über welche Sicherheitszertifizierungen verfügen Sie? Mindestens ISO 27001. SecNumCloud, wenn Sie eine OIV oder eine systemrelevante Einrichtung gemäß NIS2 sind.

4. Haben Sie eine DSGVO-konforme Datenverarbeitungsvereinbarung (DPA) unterzeichnet? Dies ist obligatorisch, sobald personenbezogene Daten verarbeitet werden (was bei Zugriffsprotokollen häufig der Fall ist).

5. Können Sie mir einen aktuellen Penetrationstestbericht zur Verfügung stellen? Seriöse Anbieter veröffentlichen Zusammenfassungen ihrer Penetrationstests oder stellen diese unter einer Geheimhaltungsvereinbarung zur Verfügung.

Eziwans Standpunkt​

Die Eziwan-Plattform wird ausschließlich in Frankreich bei nach ISO 27001 zertifizierten Dienstleistern gehostet. Wir sind ein französisches Unternehmen (SAS nach französischem Recht) und unterliegen keinen extraterritorialen Gesetzen, die den Zugriff auf Ihre Daten ohne Ihre Einwilligung und ohne eine französische gerichtliche Entscheidung erlauben.

Unsere konkreten Verpflichtungen:

  • Daten werden in Frankreich gehostet: ISO 27001-zertifiziertes Rechenzentrum auf französischem Staatsgebiet
  • Unternehmen nach französischem Recht: keine Offenlegungspflicht nach ausländischem Recht
  • DSG-BDSG: Auf Anfrage kann ein DSGVO-konformer Auftragsverarbeitungsvertrag unterzeichnet werden
  • NIS2-Auditprotokoll: Alle Zugriffe auf Daten und Geräte werden protokolliert und stehen für ANSSI-Audits zur Verfügung
  • End-to-End-Verschlüsselung: Daten werden sowohl bei der Übertragung (TLS 1.3) als auch im Ruhezustand (AES-256) verschlüsselt

Für NIS2-kritische Einrichtungen und OIVs können wir ein vollständiges Dossier bereitstellen, das die Sicherheitsrichtlinie, Zertifizierungen und vertragliche SLAs enthält, die den regulatorischen Anforderungen entsprechen.

Fazit: Die digitale Souveränität der Industrie ist kein optionales Thema mehr​

Im Jahr 2026 ist die Frage „Wo werden meine Industriedaten gespeichert?“ genauso wichtig geworden wie „Sind meine Anlagen redundant?“ oder „Habe ich ein Backup meiner SPS-Konfigurationen?“.

Die Risiken sind real und dokumentiert:

  • Regulatorische Risiken: NIS2-Sanktionen von bis zu 10 Mio. € für kritische Einrichtungen
  • Rechtliche: Unzulässige Datenübermittlungen gemäß DSGVO, die zu Bußgeldern der CNIL führen können
  • Operative: Nichtverfügbarkeit von Daten im Falle eines Rechtsstreits mit einem ausländischen Dienstleister
  • Wettbewerbsbezogene: Mögliche Weitergabe von Produktionsdaten an ausländische Akteure

Die gute Nachricht: In Frankreich gibt es leistungsstarke und erschwingliche Lösungen für souveränes Hosting. Man muss sich nicht mehr zwischen Sicherheit und Komfort entscheiden – moderne, in Frankreich gehostete IIoT-Plattformen bieten dieselben Funktionen wie ihre amerikanischen Pendants, und zwar mit der Garantie digitaler Souveränität.

Checkliste: Bewertung der Souveränität Ihrer gesamten IoT-Kette​

Der Standort des Rechenzentrums allein reicht nicht aus: Industriedaten durchlaufen eine ganze Kette, die Glied für Glied bewertet werden muss.

KomponenteZu klärende FrageZu beachtender Punkt
SIM-Karte / NetzbetreiberWo werden die mobilen Daten übertragen (APN)?Ein öffentlicher APN leitet die Daten über das offene Internet weiter; ein privater APN hält den Datenfluss innerhalb des Netzbetreibernetzes
Gateway / RouterWerden die Firmware und ihre Telemetriedaten an eine Drittanbieter-Cloud weitergeleitet?Einige asiatische Hersteller schreiben ihre eigene Verwaltungs-Cloud vor
ÜbertragungFindet eine End-to-End-Verschlüsselung statt (VPN, TLS)?Ein Tunnel, der bei einem Zwischenanbieter endet, schafft eine Abhörstelle
Cloud-PlattformWer ist der endgültige Hosting-Anbieter und welches Recht gilt?Eine französische Schnittstelle auf AWS unterliegt weiterhin dem CLOUD Act
BackupsWo werden die Daten repliziert?Backups werden manchmal in eine andere Rechtsordnung übertragen
SupportVon wo aus greifen die Support-Teams auf die Daten zu?Offshore-Support = de facto Zugriff von außerhalb Europas

Dieses umfassende Audit dauert einen halben Tag und beugt unangenehmen Überraschungen bei einem Sicherheitsfragebogen für Kunden oder einer NIS2-Prüfung vor.

FAQ – Hosting von Industriedaten in Frankreich​

Unterliegen alle industriellen IoT-Daten der DSGVO?

Die DSGVO gilt für personenbezogene Daten – typischerweise Standortdaten, die mit identifizierbaren Fahrzeugen in Verbindung stehen, namentlich zuordenbare Zugriffsdaten oder Produktionsdaten, die mit identifizierbaren Bedienern in Verbindung stehen. Reine Prozessdaten (Temperaturen, Drücke, Durchflussmengen einer anonymisierten Leitung) sind keine personenbezogenen Daten. VPN-Zugriffsprotokolle (mit den Identitäten der Techniker) und Geolokalisierungsdaten mobiler Anlagen sind jedoch sehr wohl personenbezogene Daten, die der DSGVO unterliegen.

Gilt der US-amerikanische CLOUD Act auch für einen in Europa ansässigen Cloud-Anbieter?

Ja, wenn es sich bei diesem Dienstleister um eine Tochtergesellschaft oder ein Unternehmen handelt, das dem US-Recht unterliegt (Hauptsitz in den USA, Notierung an der NYSE/Nasdaq, US-amerikanischer Konzern). AWS Europe (Frankfurt), Azure Europe und Google Cloud EU sind allesamt Unternehmen, die über ihre US-amerikanische Muttergesellschaft dem CLOUD Act unterliegen. Nur Hosting-Anbieter, die ausschließlich französischem oder europäischem Recht unterliegen (OVHcloud, Scaleway, 3DS Outscale, Outscale), fallen nicht in den Geltungsbereich des CLOUD Act.

Schreibt NIS2 ausdrücklich vor, dass das Hosting in Frankreich oder in der EU erfolgen muss?

NIS2 schreibt keinen bestimmten Standort für das Hosting vor, verlangt jedoch „geeignete technische und organisatorische Maßnahmen“, darunter die Sicherheit der Lieferkette und den Datenschutz. Für OIV (Betreiber von kritischer Bedeutung), die dem LPM unterliegen, schreibt das SGDSN häufig das Hosting auf SecNumCloud-zertifizierten Infrastrukturen vor – was de facto nicht-europäische Clouds für die sensibelsten Daten ausschließt.

Was ist die SecNumCloud-Zertifizierung und wer erhält sie?

SecNumCloud ist das Referenzsystem der ANSSI für „vertrauenswürdige“ Cloud-Anbieter. Qualifizierte Anbieter müssen unter anderem die Immunität gegenüber außereuropäischem Recht (kein CLOUD Act), die Speicherung der Daten in Frankreich sowie geprüfte Sicherheitsstandards gewährleisten. Ende 2025 zählen OVHcloud, Outscale (3DS) und einige weitere Anbieter zu den qualifizierten SecNumCloud-Anbietern.

Kann ein Industrieunternehmen seinem Endkunden vorschreiben, seine Daten in Frankreich zu speichern?

Ja, über Vertragsklauseln (SLA, DPA – Data Processing Agreement). In industriellen B2B-Verträgen, insbesondere in regulierten Branchen (Verteidigung, Energie, Wasser), ist es üblich, das Hosting in Frankreich oder in der EU vertraglich vorzuschreiben. Diese Klauseln können durch jährliche Audits überprüft werden.

Weitere Ressourcen​

Zugehörige Eziwan-Lösungen​