Innovation
Forschung, Entwicklung & Innovation in Cloud- und KI-Technologien.
Was der EU-Vorschlag für Cloud-Souveränität für Architektur, Anbieterwahl und öffentliche Beschaffung bedeutet — und wie Sie sich heute belastbar vorbereiten.
Mit dem Cloud and AI Development Act (CADA) will die EU-Kommission ihre Abhängigkeit von wenigen Nicht-EU-Hyperscalern strukturell reduzieren und Cloud-Souveränität vom Marketing-Begriff zum messbaren Vergabe- und Architekturkriterium machen. Im Kern steht ein einheitliches EU-Souveränitätsrahmenwerk mit vier Assurance-Leveln, das den Zugang zu Aufträgen der öffentlichen Hand an gestufte Sicherheits-, Resilienz- und Souveränitätsanforderungen knüpft. Wichtig vorab: Der CADA ist Stand Juni 2026 ein Kommissionsvorschlag vom 3. Juni 2026 — noch kein geltendes Recht. Wir ordnen ein, was sich abzeichnet, ohne Pflichten oder Fristen zu erfinden, die der finale Gesetzestext erst noch festlegt.
Status (Stand Juni 2026): Stand Juni 2026: Der CADA ist ein Vorschlag der EU-Kommission vom 3. Juni 2026 (Verordnungs-Vorschlag COM(2026) 502 im Rahmen des 'Tech Sovereignty Package', Verfahren 2026/0138(COD)), noch kein geltendes Recht. Rechtsgrundlage ist Art. 114 AEUV (Binnenmarkt). Er steht am Anfang des ordentlichen Gesetzgebungsverfahrens; Parlament und Rat verhandeln, anschließend folgt der Trilog. Inhalte, Stufen-Definitionen und Fristen können sich noch ändern. Analysten rechnen mit einer Einigung frühestens gegen Ende 2027 — das ist eine Schätzung, kein offizielles Datum für Inkrafttreten oder Veröffentlichung im Amtsblatt. Wir halten diese Seite mit dem Verfahren aktuell.
Überblick
Der CADA ist Teil des 'Tech Sovereignty Package' und des AI Continent Action Plan der Kommission und baut auf dem Competitiveness Compass sowie dem Draghi-Bericht (2024) auf. Hintergrund sind reale Abhängigkeiten: Laut Analysen und dem EPRS-Briefing stellen wenige US-Hyperscaler einen Großteil des EU-Cloud-Markts, während der Anteil EU-basierter Anbieter über die Jahre gesunken ist. Der Vorschlag ruht auf drei Säulen: (1) Forschung, Entwicklung & Innovation in Cloud- und KI-Technologien, (2) Capacity — der beschleunigte Ausbau von Rechenzentren mit dem Ziel, die EU-Rechenzentrumskapazität in fünf bis sieben Jahren mindestens zu verdreifachen, und (3) Autonomy — ein EU-weites Souveränitäts-Bewertungsrahmenwerk plus Hebel der öffentlichen Beschaffung. Für die meisten Unternehmen ist die dritte Säule die relevanteste.
Forschung, Entwicklung & Innovation in Cloud- und KI-Technologien.
Beschleunigter Rechenzentrums-Ausbau — Ziel: EU-Kapazität in 5–7 Jahren mindestens verdreifachen.
EU-weites Souveränitäts-Bewertungsrahmenwerk plus Hebel der öffentlichen Beschaffung.
Cloud Sovereignty Framework
Herzstück und zugleich umstrittenstes Element ist ein einheitlicher Souveränitätsrahmen mit vier 'Union assurance levels'. Die Tendenz laut Kommission und Analysen (Stand Juni 2026, Wortlaut noch nicht final): Level 1 — Verarbeitung und Speicherung der Daten in EU-Infrastruktur, Self-Assessment, State-of-the-art-Cybersicherheit. Level 2 — Unabhängigkeit von Drittstaaten-Jurisdiktion plus Transparenz der Software-Lieferkette und unabhängiges Audit. Level 3 — EU-Eigentum und -Kontrolle, teils mit Anforderungen an die Staatsangehörigkeit des Personals. Level 4 — volle Transparenz und Kontrolle über die Lieferkette ohne jegliche Drittstaaten-Einflussnahme. Wir nennen bewusst keine erfundenen Artikelnummern: Die genauen, rechtsverbindlichen Anforderungen je Stufe sind bis zur finalen Annahme nicht stabil.
Mindestniveau für öffentliche Aufträge (mit engen Ausnahmen).
Adressiert den Kern: extraterritorialer Zugriff (z. B. US CLOUD Act).
Für sensiblere Bereiche der öffentlichen Hand vorgesehen.
Striktestes Level — laut Schätzungen nur ein kleiner Bruchteil der Aufträge.
Hinweis: Die Stufen-Definitionen geben die Tendenz nach Kommission und Analysen wieder (Stand Juni 2026). Der rechtsverbindliche Wortlaut je Stufe ist bis zur finalen Annahme nicht stabil.
Warum Datenresidenz nicht genügt
Das zentrale Risiko, das der CADA adressiert, ist die extraterritoriale Gesetzgebung — am direktesten der US CLOUD Act. Plakativ: Ein Anbieter kann Rechenzentren in Frankfurt betreiben und trotzdem per Anordnung eines Drittstaats zur Datenherausgabe verpflichtet sein. Reine Datenresidenz (Level 1) gilt deshalb als nicht ausreichend; die schärferen Anforderungen ab Level 2 zielen auf Jurisdiktion, Eigentum und Lieferkette. Daneben werden 'Kill-Switch'-Szenarien diskutiert, also die erzwungene Abschaltung von Diensten. Wichtig für glaubwürdige Einordnung: Souveränität ist praktisch nicht absolut — auch innerhalb der EU bestehen Zugriffsbefugnisse, und der Vorschlag sieht Ausnahmen vor.
Daten in der EU — aber…
Ein Anbieter kann Rechenzentren in Frankfurt betreiben und dennoch per Anordnung eines Drittstaats (z. B. US CLOUD Act) zur Datenherausgabe verpflichtet sein.
Zielsetzung des CADA
Die schärferen Stufen adressieren Jurisdiktion, Eigentum und Lieferkette — und diskutieren „Kill-Switch"-Szenarien. Absolut ist Souveränität dabei nie; auch in der EU bestehen Zugriffsbefugnisse.
Anwendungsbereich
Primärer Anwendungsbereich ist Stand Juni 2026 der öffentliche Sektor: Cloud-Anbieter, die die öffentliche Hand beliefern, sollen (mit engen Ausnahmen) mindestens Level 1 erfüllen; höhere Stufen sind für sensiblere Bereiche vorgesehen, deren Tätigkeit der Wahrung der öffentlichen Ordnung dient. Nach Kommissions-Schätzungen aus Sekundärquellen entfällt die große Mehrheit öffentlicher Aufträge auf die niedrigste Stufe, nur ein kleiner Bruchteil auf das strikteste Level 4 — diese Verteilung ist am offiziellen Impact Assessment gegenzuprüfen. Private Unternehmen sind zunächst vor allem indirekt betroffen: über öffentliche Aufträge, kritische Infrastruktur und Lieferketten. Diskutiert wird zudem eine mögliche Ausweitung auf NIS2-regulierte Sektoren per delegiertem Rechtsakt — ob und wann das kommt, ist offen.
Einordnung
Der CADA ist kein neues Silo, sondern eine zusätzliche Souveränitäts- und Beschaffungs-Schicht über einem Stack, den Sie zum Teil schon kennen. Vereinfacht: NIS2 verlangt die Sicherheitskontrollen, ein künftiges EUCS-Schema zertifiziert sie, der CADA macht die Zertifizierung zum Tor für öffentliche Aufträge, der Data Act sichert Anbieterwechsel und Portabilität (Switching mit kurzer Übergangsfrist), und DORA verschärft das Bild für den Finanzsektor (IKT-Drittparteien- und Konzentrationsrisiko). Neu am CADA ist nicht 'mehr Cybersecurity', sondern die Dimension Jurisdiktion und Kontrolle. Damit holt er die Souveränitätskriterien zurück, die zuvor aus dem EUCS-Zertifizierungsschema politisch herausverhandelt worden waren. DSGVO bleibt für personenbezogene Daten maßgeblich — der CADA ersetzt nichts davon.
Verfahren & Zeitplan
Belegbare Meilensteine — Daten ab Vorschlag sind Schätzungen, kein offizielles Inkrafttreten.
Öffentliche Konsultation / Call for Evidence der Kommission als Grundlage des Impact Assessments (Quellen nennen unterschiedliche Endzeitpunkte; Frühjahr/Sommer 2025).
Der EU Data Act gilt — flankierende Regulierung u. a. zu Cloud-Switching und Portabilität, auf die der CADA aufbaut.
Die EU-Kommission nimmt den CADA-Vorschlag an (Verordnungs-Vorschlag COM(2026) 502, Verfahren 2026/0138(COD)) — Teil des 'Tech Sovereignty Package' / AI Continent Action Plan. Rechtsgrundlage: Art. 114 AEUV (Binnenmarkt).
Beginn des ordentlichen Gesetzgebungsverfahrens: Parlament und Rat prüfen den Vorschlag und schlagen Änderungen vor; danach folgt der Trilog.
Von Analysten geschätztes Zielfenster für eine Einigung — ausdrücklich keine offizielle Frist und kein Datum für Inkrafttreten oder Amtsblatt-Veröffentlichung.
Handlungsempfehlung
Auch wenn der CADA noch nicht in Kraft ist: Seine Logik wird bereits zum Beschaffungsmaßstab. Sinnvoll ist ein Sovereignty-Assessment des Cloud- und KI-Bestands, ein Mapping der Workloads auf die vier (vorläufigen) CADA-Stufen, das Aufdecken von Lücken in Verträgen (Drittstaaten-Zugriff, Audit-Rechte, Exit) und das Zusammenführen von NIS2-, DORA-, AI-Act- und Data-Act-Anforderungen in eine gemeinsame Cloud-Security-Governance. Souveränität wird damit zur Architektur- und Beschaffungsentscheidung. Kontinuierliches Posture-Monitoring (CNAPP/CSPM), belastbares Logging und ein einsatzfähiges Compromise Assessment sind die praktischen Hebel, um Datenresidenz, Fehlkonfigurationen und Lieferketten-Risiken überhaupt nachweisbar zu machen — ohne Overclaiming, denn der CADA-Text nennt keine konkreten Tools.
Wie VamiSec unterstützt
Wir stellen keine „CADA-Compliance" für noch nicht geltendes Recht in Aussicht — wir machen Ihre Cloud heute prüffähig, souveränitäts-bewusst und resilient.
Wir bewerten Ihr Cloud- und KI-Portfolio entlang der sich abzeichnenden CADA-Stufen, ordnen souveränitäts-sensible Workloads der passenden Architektur zu und decken Lücken in Verträgen auf — Drittstaaten-Zugriff, Audit-Rechte, Exit-Fähigkeit.
Mit CNAPP- und CSPM-Monitoring machen wir Datenresidenz, Fehlkonfigurationen und Lieferketten-Risiken kontinuierlich sichtbar — die Faktenbasis für jede Souveränitäts- und Beschaffungsbewertung. VamiSec ist deutschsprachiger Wiz Reseller-, Implementation- und MSSP-Partner.
Wir gestalten und migrieren Cloud-Landschaften Multi-Cloud-fähig und souveränitätsbewusst — und verbinden CADA-Vorbereitung mit Data-Act-konformer Portabilität und einer belastbaren Exit-Strategie.
Forensik und Soforthilfe für kompromittierte Cloud-Tenants und SaaS-Identitäten — inklusive Logging & Monitoring als Voraussetzung, um Assurance-Anforderungen technisch nachweisen zu können.
FAQ
Nein. Stand Juni 2026 ist der CADA ein Vorschlag der EU-Kommission vom 3. Juni 2026 (COM(2026) 502). Er durchläuft das ordentliche Gesetzgebungsverfahren (Parlament und Rat, anschließend Trilog). Verbindliche Pflichten und konkrete Fristen entstehen erst nach Annahme des finalen Textes; Details können sich noch ändern.
Primärer Anwendungsbereich ist der öffentliche Sektor: Anbieter für die öffentliche Hand sollen mindestens Level 1 erfüllen. Private Unternehmen sind zunächst vor allem indirekt betroffen — über öffentliche Aufträge, kritische Infrastruktur und Lieferketten. Eine mögliche Ausweitung auf NIS2-Sektoren wird diskutiert, ist aber noch nicht entschieden.
Für die niedrigste Stufe (Level 1) ist EU-Datenresidenz die Grundanforderung. Sie schützt aber nicht vor extraterritorialem Zugriff, etwa nach dem US CLOUD Act. Höhere Stufen verlangen daher zusätzlich Unabhängigkeit von Drittstaaten-Jurisdiktion, EU-Eigentum und Lieferketten-Transparenz.
Der CADA ergänzt diese Regelwerke um eine Souveränitäts- und Beschaffungs-Schicht. NIS2 und DORA adressieren Sicherheits- und Drittparteienrisiken, der AI Act KI-Risiken; der CADA fügt die Dimension Jurisdiktion und Kontrolle hinzu und nutzt Zertifizierung als Tor für öffentliche Aufträge. Die DSGVO bleibt für personenbezogene Daten unverändert maßgeblich.
Ein Sovereignty-Assessment Ihres Cloud-Bestands, ein Mapping der Workloads auf die vorläufigen CADA-Stufen, das Prüfen von Verträgen auf Drittstaaten-Zugriff, Audit-Rechte und Exit sowie kontinuierliches CNAPP-/CSPM-Monitoring schaffen die Faktenbasis — unabhängig vom finalen CADA-Text. Genau hier setzt VamiSec an.
Quellen
Wir halten diese Seite mit dem Gesetzgebungsverfahren aktuell.
In einem 30-minütigen Erstgespräch ordnen wir Ihre Architektur und Anbieterstrategie entlang der sich abzeichnenden Souveränitäts-Level ein — konkret und ohne Hype.
Termin vereinbaren →