Der „Cloud and AI Development Act“ (CADA) ist ein am 3. Juni 2026 im Rahmen des Pakets zur technologischen Souveränität veröffentlichter Vorschlag für eine europäische Verordnung. Er gilt unmittelbar in allen 27 Mitgliedstaaten und betrifft alle öffentlichen Stellen und Institutionen der Union, die Cloud-Dienste nutzen.
Ziel ist es, europäische Cloud- und KI-Kapazitäten auszubauen, die Einrichtung von Rechenzentren zu beschleunigen, dem öffentlichen Sektor eine zertifizierte souveräne Cloud zur Verfügung zu stellen und kritische digitale Abhängigkeiten zu verringern.
Voraussichtliches Inkrafttreten: zweites Quartal 2029.
Die europäischen öffentlichen Ausschreibungen enthielten keinerlei rechtlich durchsetzbare Kriterien zur digitalen Souveränität. Die CADA vollzieht einen tiefgreifenden Kurswechsel: Die öffentliche Auftragsvergabe bezieht nun die digitale Souveränität als eigenständiges Auswahlkriterium mit ein. Die Logik des offenen Marktes weicht einer bewussten Industriepolitik, die die Nachfrage strukturell auf europäische Akteure ausrichtet.
| STUFE | WAS SICH KONKRET ÄNDERT |
|---|---|
| Stufe 1 Selbstbewertung, EU-Konformitätserklärung, ohne externes Audit. | Mindestanforderungen für jede öffentliche Beschaffung von Cloud-Diensten. Der Anbieter muss in der Europäischen Union ansässig sein, die Daten seiner Kunden dort speichern und Rechenschaft über seine Auftragsverarbeiter ablegen. Ein Anbieter aus einem Land außerhalb Europas könnte unter bestimmten Voraussetzungen die Anforderungen der Stufe 1 erfüllen. |
| Stufe 2 Obligatorische unabhängige Prüfung. | Ein Anbieter unter ausländischer Kontrolle wird zugelassen, wenn er nachweisen kann, dass keine Auswirkungen auf die Sicherheit, die Kontinuität und die operative Autonomie bestehen. EUCS-Zertifizierung der Stufe «substantiel» oder nach einem nationalen Schema (einschließlich SecNumCloud). Die Daten dürfen nicht zum Trainieren von KI-Modellen unter ausländischer Gerichtsbarkeit verwendet werden. |
| Stufe 3 Unabhängige Prüfung. Eine Prüfung außerhalb Europas ist ausgeschlossen, wobei begrenzte Ausnahmen gelten. | Bedienstete mit Unionsbürgerschaft. Mögliche Ausnahmen: Anerkennung von Drittstaaten durch die Kommission oder Fehlen eines konformen Angebots für den öffentlichen Auftraggeber. |
| Stufe 4 Unabhängige Prüfung. Jegliche Einflussnahme von außerhalb Europas ist ausgeschlossen, ohne jegliche Ausnahme. | Es werden keine Anbieter zugelassen, die ausländischen extraterritorialen Rechtsvorschriften unterliegen, auch nicht über eine europäische Tochtergesellschaft. Eine EUCS-Zertifizierung der Stufe «hoch» sowie die vollständige Kontrolle über die gesamte Softwarekette sind erforderlich. |
Das Anerkennungsverfahren (Art. 17) wird von der zuständigen nationalen Behörde innerhalb von 60 Tagen durchgeführt, wobei die anderen Mitgliedstaaten Einspruch erheben können; bei Uneinigkeit entscheidet die Kommission durch einen verbindlichen Beschluss. Innerhalb eines Jahres nach Inkrafttreten erstellt jeder Mitgliedstaat eine Bestandsaufnahme seiner Cloud-Nutzungen und legt das für jede Nutzung erforderliche Sicherheitsniveau fest. Betreiber in kritischen Sektoren im Sinne von NIS2 können freiwillig Folgenabschätzungen durchführen, die mit denen öffentlicher Stellen vergleichbar sind – wobei die Kommission diese Maßnahme durch einen delegierten Rechtsakt verbindlich vorschreiben kann.
Der Kern des Vorschlags macht keinen Hehl aus seiner französischen Inspiration – man findet darin die Logik des SREN-Gesetzes, die Architektur der SecNumCloud und die Doktrin zur digitalen Souveränität wieder, für die sich Frankreich seit mehreren Jahren einsetzt. Es ist nicht mehr Aufgabe der europäischen Anbieter, ihren Platz in Ausschreibungen zu rechtfertigen, sondern Aufgabe der nicht-europäischen Anbieter, ihre Vereinbarkeit mit den Anforderungen der Souveränität nachzuweisen. Es bleibt abzuwarten, wie die Durchführungsbestimmungen und Ausnahmeregelungen zu den Artikeln 18 und 30 ausgestaltet werden: Dort wird sich die tatsächliche Tragweite des Textes zeigen.
2026-2028 : Trilog zwischen dem Europäischen Parlament und dem Rat
6 Monate später : Festlegung von Beschleunigungszonen für Rechenzentren durch jeden Mitgliedstaat
1 Jahr später : Umsetzung der Verordnung und Verabschiedung der nationalen Strategien für Cloud und KI
4 Jahre später : Erster Bewertungsbericht der Kommission, anschließend alle fünf Jahre eine Überprüfung