Im Herbst 2023 hat eine Arbeitsgruppe des Wissenschaftsrates ein Papier mit Empfehlungen zur Souveränität und Sicherheit der Wissenschaft im digitalen Raum veröffentlicht. Da das Thema Digitale Souveränität schon seit einiger Zeit auf der Agenda der bayerischen Hochschul-CIOs bzw. des Digitalverbundes steht, kommt es genau richtig. Im Frühjahr 2023 haben wir darüber in einer gemeinsamen Sitzung mit den Universitäts-CIO aus Baden-Württemberg diskutiert und wollen ein gemeinsames Positionspapier veröffentlichen.
Bis dahin hier ein paar subjektive Eindrücke aus dem WR-Papier:
Es ist etwas schwierig, in dem Papier eine genaue Definition von "digitaler Souveränität" zu finden, auf die sich die Ausführungen stützen.
Die Empfehlungen sind eigentlich bekannt, die ersten beiden davon sind sehr konkret und zielen auf die einzelne Hochschule: (1) installiere eine:n CIO auf Leitungsebene der Hochschule, um die Steuerung zentral in die Hand zu nehmen und (2) unterstütze Cybersicherheit mit eine:r Cybersicherheitsbeauftragten, Konzepten und Notfallplänen.
Die (3) Empfehlung zum Aufbau hochschulübergreifender Infrastrukturen erfordert Absprachen im Bundesland. Das ist z.B. in NRW, Bayern schon gelungen. Man muss dabei beachten, dass die Empfehlung über das technische Wissenschaftsnetz, z.B. BelWue, weit hinausgeht; es geht um Kompetenzzentren z.B. für IT-Recht, IT-Sicherheit oder IT-Beschaffung, oder für Forschungsdatenmanagement. Dies erfordert ein hohes Maß an Absprachen, Kommunikation und Vertrauen zwischen den Hochschulen. Noch anspruchsvoller, wenn es hochschultyp-übergreifend geschehen soll.
Die (4) Empfehlung zur Gestaltung digitaler Angebote unter Pluralität und Offenheit finde ich etwas schwieriger. Einige Beteiligte lesen bei Offenheit immer gleich "Open Source". Ziel dieser Empfehlung ist es aber, Abhängigkeiten zu reduzieren. Wann immer ich ein digitales Produkt lange benutze, werde ich Abhängigkeiten in meiner Hochschule produzieren, was einen Umstieg, egal wohin, schwierig macht und damit meine Steuerungs- und Entscheidungsmöglichkeiten als CIO einschränkt. Das hat weniger mit der Lizenzform zu tun als mit fehlenden Schnittstellen und Standardisierungen. Wenn ich die in der dritten Empfehlung postulierten Infrastrukturen nutzen möchte (z.B. NFDI oder EOSC), dann muss es Schnittstellen geben und diese müssen kontinuierlich gewartet werden. Manchmal ist es mir hier lieber, ich kann einem konkreten Softwareanbieter mit einer Wartungsanfrage auf die Füße treten.
Am Ende von (4) findet sich noch ein separater Absatz, dass "Knowhow und Innovationspotenzial der Wissenschaft für die Entwicklung digitaler Angebote gezielt genutzt und gefördert werden" sollte. Das ist eigentlich ein Aufruf zur Eigenentwicklung. Wie ich im Beitrag über Schatten-IT schon geschrieben habe, sehe ich da Licht und Schatten -- Licht, wenn sich neue IT-Lösungen z.B. als Startup aus einer Universität heraus verbreiten und sehr erfolgreich werden, wie bei UNIwise oder Uninow. Schatten, wenn eine hoffnungsvolle IT-Lösung mangels Wartung langsam verhungert, wie bei UnivIS. Hier gibt es sehr viel Potenzial -- leider auch, um Budget zu versenken.
Bei der letzten Empfehlung, (5) die Gestaltung des digitalen Raumes als Daueraufgabe von Wissenschaftseinrichtungen, sind wir wieder beisammen. Zu viele IT-Projekte beginnen mit befristetem Personal, aber ein späterer dauerhafter IT-Support erfordert Dauerstellen. Stattdessen wird meist ein Projektportfoliomanagement über Jahre mit Stellen-Tetris abgepuffert. Das muss sich definitiv ändern. Wenn man (3) und (5) kombiniert, wird aber schnell klar, dass es eine Budgetkonkurrenz geben wird -- gibt man das Geld an die Hochschulen oder an die Infrastrukturen? "Beides notwendig!", sagt die IT-Sicherheit. "Infrastruktur kann übernehmen", sagen IT-Recht und IT-Beschaffung. "Die zentrale Stelle benötigt lokale Strukturen, um sie zu unterstützen" sagt das Forschungsdatenmanagement. Wo das Ministerium Budget hingeben sollte, sollte eine strategische, offene und konstruktive Diskussion in der Infrastrukturgruppe von (3) ergeben.