Status: Empfehlungsentwurf für ein neues Schweizer Gesetz — kein geltendes Recht. Der Entwurf richtet sich an die politische Debatte und an eine künftige Vernehmlassung; siehe Parlamentarischer Fahrplan.
Art. 15 Souveränitäts-Kriterium als Pflicht-Kriterium im BöB; Art. 16 Offenlegungspflicht Anbieter; Art. 17 Souveränitäts-Risikobericht ab CHF 50'000; Art. 18 OSS-Alternative-Prüfung; Art. 19 Veröffentlichungspflicht Risiko-Berichte; Art. 20 Beschaffungsregister.
Art. 15: Bei IT-Beschaffungen über CHF 50'000 (Bund) / 100'000 (Kantone) ist «Souveränität» ein Pflicht-Zuschlagskriterium gemäss BöB Art. 29.
Art. 16: Anbieter müssen offenlegen, ob sie selbst oder ein Konzern-Tochterunternehmen unter CLOUD Act, FISA 702 oder vergleichbarem Recht fallen; Anzahl Behörden-Anfragen letzten 3 Jahre (soweit Recht erlaubt).
Art. 17: Souveränitäts-Risikobericht — strukturiert nach Datenklassen, Verarbeitungsrechtsraum, technischen Schutzmassnahmen, Restrisiko.
Art. 18: Vor Beschaffung eines proprietären Produkts ist eine OSS-Alternative zu prüfen und zu dokumentieren.
Art. 19: Risiko-Berichte sind öffentlich (Schwärzung Geschäftsgeheimnisse zulässig).
Art. 20: Beschaffungsregister mit Anbieter, Datenklasse, Risiko-Rating.
Die Modifikation des BöB ist juristisch herausfordernd, weil sie eine bestehende Ausschreibungs-Praxis ändert. Die Wirkung wäre erheblich: Microsoft 365 und AWS müssten in jeder Ausschreibung dokumentiert begründet werden.
Beschaffungsregeln sind das hebelwirksamste Instrument — sie ändern Verhalten ohne unmittelbare Sanktionen. Wo Souveränität ein offizielles Kriterium ist, verändert sich automatisch der Markt.
Diese Bestimmung ist Teil des BGDS-Empfehlungsentwurfs (Sektion 6) — kein geltendes Recht.