Die EU definiert vier Cloud-Souveränitätsstufen mit dem CADA-Vorschlag

Die Europäische Kommission hat am 3. Juni 2026 das Paket für technologische Souveränität vorgestellt, eine Reihe von Initiativen, die entwickelt wurden, um die digitale Autonomie des Kontinents zu stärken. Dieses Paket umfasst zwei wichtige legislative Vorschläge: die Chip-Verordnung 2.0 und das Gesetz zur Entwicklung von Cloud Computing und künstlicher Intelligenz (CADA). Die Initiative zielt darauf ab, die digitale Souveränität von einem politischen Konzept in einen verbindlichen regulatorischen Rahmen zu verwandeln, der die Bedingungen bestimmt, unter denen Cloud-Dienste als souverän gelten können.

Die Dringlichkeit dieser Regulierung reagiert auf eine besorgniserregende Marktwirklichkeit: Drei große nicht-europäische Anbieter konzentrieren mehr als 70 % des europäischen Marktes für Cloud-Dienste. Unterdessen ist der Marktanteil der EU-Betreiber von 29 % im Jahr 2017 auf 15 % im Jahr 2022 gesunken und seitdem stagniert. Das CADA versucht, diesen Trend umzukehren, ohne Europa vom globalen Technologie-Ökosystem zu isolieren, indem es klare Kriterien für akzeptable technologische Abhängigkeiten festlegt.

Der CADA-Vorschlag führt erstmals eine Klassifizierung in vier Garantieebenen ein, um zu bestimmen, inwieweit ein Cloud-Dienst als souverän betrachtet werden kann. Diese Schichtung ermöglicht es dem öffentlichen Sektor und Unternehmen, den Grad der Kontrolle über ihre Daten, Infrastrukturen und technologischen Werkzeuge zu bewerten. Das System unterscheidet zwischen Diensten, die unter voller europäischer Jurisdiktion operieren, und solchen, die, obwohl sie in der EU anwesend sind, kritische Abhängigkeiten von ausländischen Anbietern aufrechterhalten.

Die rechtliche Dimension ist der grundlegende Pfeiler dieser Klassifizierung. Ein souveräner Dienst muss sich ausschließlich dem europäischen Recht unterwerfen und die Anwendung extraterritorialer Gesetze wie des US CLOUD Act vermeiden. Dieses US-Gesetz könnte es den Behörden dieses Landes ermöglichen, auf in Europa gespeicherte Daten zuzugreifen, ein Risiko, das die europäische Regulierung durch Anforderungen an die Datenresidenz und unabhängige operative Kontrolle zu mildern sucht.

Während die EU auf eine strenge Regulierung zusteuert, haben die US-Hyperscaler mit Anpassungsstrategien reagiert. AWS hat seinen European Sovereign Cloud als eine physisch und logisch getrennte Infrastruktur gestartet, wobei alle Komponenten innerhalb der EU liegen. Die erste Region dieser souveränen Cloud befindet sich im Bundesland Brandenburg, Deutschland, und ist so konzipiert, dass sie die strengsten Souveränitätsanforderungen erfüllt, die von europäischen Kunden gestellt werden.

Microsoft hat mit seinem Microsoft Sovereign Cloud, das im Juni 2025 angekündigt wurde, eine ähnliche Trajektorie eingeschlagen. Das Unternehmen bietet End-to-End-KI-Datenverarbeitung in Europa als Teil der EU-Datenfrontier an und erweitert die Inlandsverarbeitung für Dienste wie Microsoft 365 Copilot. Diese Initiativen zeigen, dass globale Anbieter unter strengen Souveränitätsrahmen operieren können, ohne auf ihre Präsenz auf dem europäischen Markt zu verzichten.

Für europäische Organisationen bedeutet das CADA eine tiefgreifende Überprüfung der Deployment-Architektur. Unternehmen müssen nicht nur den physischen Standort der Daten, sondern auch die anwendbare Rechtsjurisdiktion, die operative Unabhängigkeit des Anbieters und die zugrunde liegenden technologischen Abhängigkeiten bewerten. Der öffentliche Sektor wird als Erster betroffen sein, da das Gesetz spezifische Bedingungen für die Beschaffung von Cloud-Diensten durch Verwaltungen festlegt.

Analysten warnen, dass der Übergang schrittweise erfolgen wird. Fernando Pereiro, Direktor für Analyse bei Gartner, betont, dass "die Richtung richtig ist, aber die Umsetzung langsam sein wird". Das CADA lässt einen weiten Spielraum, damit US-Anbieter weiterhin den europäischen öffentlichen Sektor bedienen können, sofern sie die entsprechenden Garantieebenen einhalten. Dies ermöglicht es Unternehmen, ihre Multi-Cloud-Strategien beizubehalten, während sie sich schrittweise an die neuen regulatorischen Anforderungen anpassen.

Die europäische Strategie sucht, das Bedürfnis nach Autonomie mit der Realität eines globalisierten Marktes in Einklang zu bringen. Der Europäische Allianz für Industrielle Daten, Edge und Cloud arbeitet parallel daran, die Entwicklung von Spitzentechnologien und Cloud der nächsten Generation zu fördern, indem sie Unternehmen, Mitgliedstaaten und Experten zusammenbringt, um strategische Investitions-Roadmaps zu definieren. Diese Allianz ergänzt die CADA-Regulierung, indem sie lokale Innovation und Interoperabilität fördert.

Die Ziele des EU-Digitalen Jahrzehnts legen fest, dass bis 2030 75 % der europäischen Unternehmen Spitzentechnologien in der Cloud nutzen sollten. Derzeit nutzen nur 45,2 % der Unternehmen Cloud-Dienste, wobei die Adoption je nach Größe der Organisation erheblich variiert. Das CADA und die damit verbundenen Maßnahmen zielen darauf ab, diese Adoptionslücke zu schließen, während gleichzeitig eine europäische Industriebasis aufgebaut wird, die in der Lage ist, mit globalen Hyperscalern zu konkurrieren.