Der EU Cloud & AI Development Act — kurz CADA — macht aus einer strategischen Debatte eine prüfbare Anforderung: vier aufeinander aufbauende Union Assurance Levels, vom Datenstandort bis zur effektiven Kontrolle über jede Softwarekomponente. Wir bringen Ihre Cloud-Landschaft, Ihre Nachweise und Ihre Verträge auf diese Stufen.
Zahlen aus der Begründung des Cloud & AI Development Act, Kommissionsvorschlag COM(2026) 502 final vom 3. Juni 2026. Der Rechtsakt befindet sich im Gesetzgebungsverfahren — Kriterien und Fristen können sich ändern.
Jahrelang war „souverän“ ein Versprechen in Anbieterpräsentationen. Mit dem Cloud & AI Development Act (CADA) wird daraus eine Liste von Kriterien, die eine Auditorganisation abhaken kann — und eine Bedingung dafür, wer öffentliche Aufträge überhaupt noch bekommt.
CADA verschiebt den Prüfmaßstab: Nicht mehr allein, wo Daten liegen, sondern wer im Ernstfall über sie, über den Betrieb und über die Software verfügen kann. Öffentliche Stellen müssen je Anwendungsfall eine der vier CADA-Stufen bestimmen und dürfen nur noch anerkannte Dienste beschaffen; kritische Einrichtungen im Sinne der NIS2-Richtlinie können dieselbe Logik anwenden. Damit wird Souveränität zu einer Anforderung, die man dokumentieren, auditieren und vertraglich absichern muss — genau dort setzen wir an.
Wer nur über Rechenzentrumsstandorte spricht, deckt ein Drittel des Themas ab. Die anderen zwei entscheiden über die höheren CADA-Stufen.
Wo liegen Kundendaten — und zwar inklusive Metadaten und Telemetrie? Wer kann darauf zugreifen, mit welchen Rechten, und wird dieser Zugriff lückenlos protokolliert? Verschlüsselung zählt erst dann, wenn auch die Schlüsselverwaltung geklärt ist.
Wer betreibt den Dienst tatsächlich? Ab Stufe 2 zählen Personalstandort und Supportwege, ab Stufe 3 die Staatsangehörigkeit des Betriebspersonals und — wo Verschlusssachen berührt sind — die nationale Sicherheitsüberprüfung.
Wer liefert den Code, und wer darf ihn morgen noch verändern? Die höchste Stufe verlangt den Nachweis effektiver Kontrolle über Design, Wartung, Sicherheits-Fixes und Weiterentwicklung jeder relevanten Softwarekomponente.
Jede Stufe des Cloud & AI Development Act enthält die vorherige und verschärft sie. Wählen Sie eine Stufe — die Matrix zeigt, welches Kriterium dort neu hinzukommt.
Ab hier prüft eine unabhängige Auditorganisation. Neu sind Personal und Support ausschließlich aus der Union, ein europäisches Cybersicherheitszertifikat mindestens der Stufe „substanziell“, das Verbot, Betriebsdaten für Drittstaats-KI zu trainieren, sowie eine vollständige SBOM samt Quellcode-Audits für Komponenten aus Drittstaaten.
neu auf dieser Stufegilt unverändert weiter
Datenresidenz ist ein guter Anfang — und deckt genau die unterste CADA-Stufe ab. Diese Gegenüberstellung erspart viele Missverständnisse in Ausschreibungen.
Drei Fragen, eine erste Orientierung. Die verbindliche Zuordnung trifft die Risikobewertung nach Artikel 29 des Cloud & AI Development Act.
Diese Einschätzung ersetzt weder Rechtsberatung noch eine Risikobewertung. Sie zeigt den Korridor, in dem Sie sich voraussichtlich bewegen — den belastbaren Nachweis erarbeiten wir gemeinsam.
Sechs Bausteine entlang des Cloud & AI Development Act — einzeln buchbar, aufeinander abgestimmt und so geschnitten, dass jeder Nachweis mehrfach zählt.
Wir nehmen Ihre Cloud-Landschaft auf und bewerten sie entlang der drei Dimensionen: Datenhoheit, Betriebshoheit, Technologiehoheit. Inklusive der Fragen, die im Anbieterfragebogen selten stehen — Metadatenflüsse, Supportpfade, Eigentümerstruktur.
Ergebnis: Souveränitätsprofil je Workload mit vorläufiger Stufen-Zuordnung
Wir stellen Ihre heutige Situation der Zielstufe gegenüber, quantifizieren die Lücke und priorisieren nach Aufwand, Abhängigkeit und Vertragslaufzeit. Kein Maximalprogramm, sondern eine Reihenfolge, die man tatsächlich abarbeiten kann.
Ergebnis: Priorisierter Maßnahmenplan mit Aufwand, Reihenfolge und Verantwortlichkeiten
Wir bauen die SBOM-Strecke auf, die Level 2 verlangt, kennzeichnen Komponenten aus Drittstaaten, definieren den Umgang mit Quellcode-Audits und dokumentieren Fernwartungs-Funktionen, die abgeschaltet werden müssen.
Ergebnis: Auditfähige Lieferkettendokumentation, die zugleich den CRA bedient
Ein dokumentierter Migrationsplan für den Ausfall eines Lieferanten ist nicht nur Level-2-Kriterium, sondern gelebte Auslagerungssteuerung. Wir schreiben ihn nicht nur — wir testen ihn mit Ihnen.
Ergebnis: Getesteter Exit-Plan statt Absichtserklärung im Anhang
Wir formulieren Souveränitätsanforderungen so, dass sie mit dem Auftragsgegenstand verknüpft, dokumentiert und damit rügefest sind — von der Datenlokalisierung inklusive Telemetrie bis zu Auditrechten und Trennungsklauseln.
Ergebnis: Belastbare Vertragsklauseln und tragfähige Zuschlagskriterien
Wir bereiten Sie auf die Prüfung vor, die kommt: BSI C5 als etabliertes Testat, BSI C3A für die Souveränitätsdimension und die Vorarbeit für ein künftiges europäisches Cloud-Zertifizierungsschema.
Ergebnis: Belegmappe, die einer unabhängigen Drittprüfung standhält
Der Souveränitätsrahmen des Cloud & AI Development Act greift in Regelwerke, die Sie ohnehin erfüllen — und verlangt zu großen Teilen dieselben Nachweise.
Die Zuordnung der Stufen folgt der Sektorenlogik der NIS2-Richtlinie. Wer dort bereits eingeordnet ist, kennt seinen Anwendungsbereich.
Zur LeistungDORARegisterpflichten, Exit-Strategien und Konzentrationsrisiken aus DORA decken einen erheblichen Teil der Souveränitätsnachweise ab.
Zur LeistungCRADie SBOM-Pflicht ist inhaltlich dieselbe, die der Cyber Resilience Act ohnehin bringt. Ein Aufbau, zwei Regelwerke bedient.
Zur LeistungBSI C5Ein C5-Testat liefert einen großen Teil der Belege, die eine Auditorganisation für die Stufen 2 bis 4 sehen will.
Zur LeistungBSI C3ADer C3A-Kriterienkatalog adressiert genau die Kontrollfragen, die der europäische Rahmen künftig verbindlich stellt.
Zur LeistungEU AI ActAus der Ferne gehostete und betriebene KI-Systeme gelten ausdrücklich als Cloud-Dienste — die Stufenlogik greift also auch für Managed-AI.
Zur LeistungSechs Schritte, die sich unabhängig vom Ausgang des CADA-Gesetzgebungsverfahrens rechnen — weil dieselben Belege längst von NIS2, DORA und dem CRA verlangt werden.
Nicht nur „welcher Dienst, welche Region“, sondern: wer besitzt den Anbieter, wo sitzt das Betriebspersonal, welche Unterauftragnehmer stecken im Stack?
Ordnen Sie Ihre Anwendungsfälle probeweise den vier Stufen zu. Die Übung zeigt in wenigen Stunden, für welche Workloads es heute keinen konformen Anbieter gäbe.
Standortlisten, Zugriffsprotokolle, Datenflussdiagramme, SBOM: Die Belege aus Anhang III sind erstaunlich konkret — und in den meisten Organisationen unvollständig.
Datenlokalisierung inklusive Metadaten, Supportwege, Trennung von Drittstaats-Konzernteilen, Auditrechte. Das gehört in die nächste Verhandlungsrunde, nicht in die übernächste.
Ein Plan, der nie geprobt wurde, ist im Audit nicht mehr wert als eine Absichtserklärung. Eine Übung pro Jahr genügt, um den Unterschied zu machen.
Belege bündeln, Verantwortlichkeiten benennen, Prüfpfad dokumentieren — damit die erste Ausschreibung nicht zur Beweisnot wird.
Was Entscheider uns zu CADA und Cloud-Souveränität am häufigsten fragen.
Nein. Die Kommission hat den Vorschlag am 3. Juni 2026 vorgelegt; er durchläuft das ordentliche Gesetzgebungsverfahren. Nach dem Entwurf tritt die Verordnung am zwanzigsten Tag nach Veröffentlichung im Amtsblatt in Kraft und gilt ein Jahr später. Kriterien und Fristen können sich bis dahin ändern — die Vorbereitung darauf ändert sich nicht.
Unmittelbar verpflichtet werden öffentliche Stellen und Unionseinrichtungen. Einrichtungen im Anwendungsbereich der NIS2-Richtlinie dürfen vergleichbare Bewertungen freiwillig durchführen, und die Kommission kann dies für bestimmte hochkritische Sektoren später verbindlich machen. Unabhängig davon setzt der Rahmen einen Marktstandard: Was in Ausschreibungen verlangt wird, landet erfahrungsgemäß auch in privaten Lieferantenfragebögen.
Es hilft erheblich, deckt den Rahmen aber nicht vollständig ab. C5 adressiert Informationssicherheit im Cloud-Betrieb, der Souveränitätsrahmen zusätzlich Eigentum, Kontrolle, Personalstandort und Software-Lieferkette. Für die Dimension Kontrolle ist der C3A-Kriterienkatalog des BSI die nähere Entsprechung.
Ein europäisches Zertifizierungsschema speziell für Cloud-Dienste ist bis heute nicht verabschiedet; die Verhandlungen darüber gelten als blockiert. Der Vorschlag löst das mit einer Übergangsregel: Solange kein Unionsschema existiert, gelten nationale Schemata, und wo auch die fehlen, muss der Anbieter die höchsten Standards nach Unionsrecht nachweisen. Praktisch heißt das: nationale Testate jetzt aufbauen, europäische Anschlussfähigkeit mitdenken.
Für eine mittelgroße Cloud-Landschaft rechnen wir mit zwei bis vier Wochen bis zum Souveränitätsprofil, abhängig davon, wie belastbar Ihre Vertrags- und Betriebsdokumentation bereits ist. Die Gap-Analyse baut unmittelbar darauf auf.
In aller Regel nicht — und schon gar nicht überstürzt. Sinnvoll ist, die eigenen Workloads zu sortieren, die Nachweislage zu verbessern und die Verhandlungsposition für den nächsten Vertragszyklus aufzubauen. Ein Wechsel ist eine Option unter mehreren, nicht der Ausgangspunkt.
Primärquellen zum Cloud & AI Development Act zum Nachlesen — und unsere Wissensseiten zum Thema.
Dreißig Minuten, Ihr echtes Portfolio, eine ehrliche Einschätzung: Wir spiegeln Ihre Cloud-Landschaft gegen die vier Union Assurance Levels des Cloud & AI Development Act und benennen die Lücken, die heute schon schließbar sind.
