Die kurze Antwort
Am 3. Juni 2026 hat die Europäische Kommission den Cloud and AI Development Act (CADA) vorgeschlagen – das Flaggschiff ihres Pakets für technologische Souveränität. Der Vorschlag würde den Rechenzentrumsausbau in der EU beschleunigen – mit dem Ziel, die Kapazität in fünf bis sieben Jahren zu verdreifachen – und einen einheitlichen EU-weiten Rahmen einführen, der Cloud- und KI-Dienste über vier Souveränitäts-Vertrauensstufen bewertet. Flankiert wird er von einem Chips Act 2.0 und einer EU-Open-Source-Strategie.
CADA ist ein Vorschlag, noch kein Gesetz: Er muss noch das Europäische Parlament und den Rat passieren. Die Richtung ist aber eindeutig. Für Softwareteams, die nach DACH und Europa verkaufen, wird Cloud-Souveränität – wo Daten liegen, wer die Infrastruktur betreibt und wessen Recht darauf zugreift – vom Nice-to-have zum formalen Beschaffungskriterium. Die Arbeit daran beginnt jetzt, solange sie günstig ist.
Was das Souveränitätspaket konkret enthält
Die Kommission versteht das Paket als Antwort auf Europas Abhängigkeit von Nicht-EU-Cloud, -Chips und -KI. CNBC gab den politischen Ton mit einem Zitat aus Brüssel wieder: Man wolle sicherstellen, dass „niemand einen Kill-Switch" über Europas kritische digitale Infrastruktur besitzt. Jenseits der Rhetorik zählen für Entwicklerteams drei konkrete Arbeitsstränge:
- Cloud and AI Development Act (CADA). Ein Rahmen zur Förderung europäischer Cloud- und KI-Kapazität und zur Definition, wie der öffentliche Sektor die Souveränität der eingekauften Dienste bewerten soll.
- Chips Act 2.0. Ein Halbleiterprogramm der zweiten Generation, das die Abhängigkeit von Drittländern bei Chipdesign und -fertigung verringern soll – inklusive der erklärten Absicht, eine fortschrittliche Foundry innerhalb der Union zu priorisieren.
- EU-Open-Source-Strategie. Eine Strategie zur Förderung europäischer Open-Source-Lösungen und -Entwickler und zur Einbindung von Open-Source-Communitys in die EU-Standardisierung.
Der rote Faden ist Kontrolle: Europa will mehr vom Stack – Silizium, Rechenzentren, Modelle und die Software darüber – unabhängig von einem einzelnen ausländischen Anbieter betreiben können. Das ist eine industriepolitische Ambition, landet aber bei Entwicklerteams als konkrete Frage danach, wo Workloads laufen und wer sie anfassen kann.
Was ist CADA, und was würde sich ändern?
CADA (förmlich COM(2026) 502) legt drei Ziele fest. Erstens: Forschung, Entwicklung und Innovation bei fortschrittlichen und nachhaltigen Cloud- und KI-Technologien fördern. Zweitens: den Rechenzentrumsausbau in der EU beschleunigen, mit dem ausdrücklichen Ziel, die Kapazität in fünf bis sieben Jahren zu verdreifachen. Drittens – und das ist der Teil, der Kaufentscheidungen umkrempelt – einen einheitlichen EU-weiten Bewertungsrahmen für Cloud- und KI-Souveränität einzuführen.
Heute bedeutet „souveräne Cloud" in Frankreich, Deutschland und den Niederlanden Unterschiedliches, jeweils mit eigenen Labels und Kriterien. CADAs Anspruch ist ein gemeinsamer Maßstab über den Binnenmarkt hinweg. Für einen Anbieter ist das eigentlich eine gute Nachricht: ein Rahmen statt eines Flickenteppichs. Der Haken: Der Maßstab misst Dinge, die viele US-SaaS-Produkte nie offenlegen mussten – die rechtliche Zuständigkeit über ihre Daten und die Nationalität des Betreibers ihrer Infrastruktur.
Gilt CADA für US-Anbieter?
Nicht als Verbot und nicht als direkte Pflicht wie die KI-Verordnung. CADA ist Beschaffungs- und Industriepolitik. Es verändert die Kriterien, nach denen öffentliche Stellen der EU – und in ihrem Sog auch regulierte private Käufer in FinTech, Gesundheit und öffentlicher Verwaltung – Cloud- und KI-Dienste auswählen. Souveränität kommt zusätzlich zu Preis und Funktionen als bewertete Dimension hinzu.
Der praktische Effekt für einen US-Anbieter ist also wettbewerblich, nicht verbietend. Muss ein europäisches Krankenhausnetz oder eine Bank eine bestimmte Vertrauensstufe erreichen, besteht ein Anbieter mit nachweisbarer EU-Datenresidenz, EU-basiertem Betrieb und Schutz vor extraterritorialem Rechtszugriff die Hürde; einer ohne wird schon vor der Demo aussortiert. Der unbequeme Subtext für US-Anbieter ist die Reichweite von Gesetzen wie dem CLOUD Act: EU-Käufer fragen zunehmend, ob eine ausländische Regierung Zugriff auf ihre Daten erzwingen könnte – und eine überzeugende Antwort hat jetzt kommerziellen Wert.
Was das für den DACH-Markt bedeutet
Für DACH-Käufer ist Datensouveränität keine neue Idee, sondern eine Verschärfung bestehender Erwartungen. Behörden in Deutschland, Österreich und der Schweiz, Banken unter Aufsicht von BaFin, FMA oder FINMA und Gesundheitsträger fragen schon heute nach Verarbeitungsort, Betreiber und Rechtsraum. CADA hebt diese Fragen von der nationalen auf die EU-Ebene und macht die Antwort vergleichbar. Für Anbieter heißt das: Wer seine Souveränitätsposition sauber an DSGVO und BSI C5 andockt, muss sie nicht in jedem Land neu erklären.
Die vier Souveränitäts-Vertrauensstufen
CADA definiert Cloud- und KI-Souveränität über vier Vertrauensstufen, die öffentliche Stellen anhand ihrer eigenen Risikobewertung anwenden. Der Vorschlag beschreibt sie als Leiter: Höhere Stufen verlangen stärkere Garantien dafür, wo Daten gespeichert und verarbeitet werden, wer die Infrastruktur betreibt und kontrolliert und wie abgeschirmt der Dienst gegen Nicht-EU-Rechtsprechung ist. Niedrige Stufen passen zu risikoarmen Workloads; die oberste Stufe zielt auf sensible Regierungs- und Kritis-Daten.
Die genauen technischen Kriterien werden geschärft, während der Vorschlag das Gesetzgebungsverfahren durchläuft – behandeln Sie die Stufen also als Richtung, nicht als fertige Checkliste. Die Designabsicht ist jedoch klar und lohnt es, verinnerlicht zu werden: Ein Käufer kann sagen „dieser Workload braucht Stufe 3", und ein Anbieter kann antworten „so erfüllen wir Stufe 3" – auf eine Weise, die über alle 27 Mitgliedstaaten vergleichbar ist.
| Dimension, die die Stufen prüfen | Was ein Käufer wirklich fragt |
|---|---|
| Datenstandort | Werden Daten in der EU gespeichert und verarbeitet, einschließlich Backups und Logs? |
| Betriebskontrolle | Wer betreibt die Infrastruktur im Tagesgeschäft, und unter wessen Unternehmenskontrolle? |
| Rechtsraum-Abschirmung | Kann eine Nicht-EU-Regierung Zugriff auf diese Daten oder den Dienst erzwingen? |
| Technische Autonomie | Läuft der Dienst weiter, wenn sich ein ausländischer Zulieferer zurückzieht? |
Chips Act 2.0 und die Open-Source-Strategie
Zwei Begleitstücke runden das Paket ab. Chips Act 2.0 ist ein erneuertes Halbleiterprogramm für die Schicht unter allem anderen: Es adressiert Europas Abhängigkeit von Drittländern bei Chipdesign und -fertigung, und die Kommission signalisierte, den Bau einer fortschrittlichen Foundry innerhalb der Union zu priorisieren. Für die meisten Softwareteams ist das eher Hintergrundwetter als eine To-do – aber eine Erinnerung, dass Rechenleistung und damit GPU-Verfügbarkeit und -Preise für EU-KI-Workloads jetzt auf politischer Ebene strategisch verhandelt werden.
Die EU-Open-Source-Strategie ist für Entwickler näher dran. Sie fördert europäische Open-Source-Lösungen und -Entwickler und bindet Open-Source-Communitys in die EU-Standardisierung ein. Baut Ihr Produkt auf Open-Source-Komponenten oder tragen Sie Upstream bei, erwarten Sie, dass Open Source als Souveränitätsvorteil gilt – eine Abhängigkeit, die Europa prüfen und kontrollieren kann – statt als Risiko. Dieses Framing spielt Ihnen in die Hände, wenn Sie einen Stack positionieren, der transparent und portabel ist statt an einen proprietären Anbieter gebunden.
Was es für Softwareteams bedeutet
Streift man die Geopolitik ab, ist CADA eine Forcing Function für Architektur. Die Frage, die es jedem EU-Käufer stellt – „wo liegen meine Daten, und wer kann sie erreichen?" – beantworten viele US-SaaS-Produkte heute mit einem impliziten „irgendwo in us-east-1". Diese Antwort wird künftig Aufträge kosten.
Gut fahren die Teams, die Datenresidenz als erstklassige Produktfähigkeit behandeln, nicht als Support-Ticket-Ausnahme. Konkret heißt das: eine Deployment-Option in EU-Regionen mit EU-Speicherung und -Verarbeitung, ein Betrieb, den Sie ehrlich beschreiben können, und minimale grenzüberschreitende Datenflüsse. Workloads in EU-Regionen zu verlagern oder aufzubauen ist der Großteil der Arbeit – genau die Art von Aufgabe, die unser Cloud-Migrationsteam für US-/EU-Produkte umreißt. Regulierte Branchen spüren es zuerst: Ein FinTech- oder HealthTech-Käufer macht die Vertrauensstufe zur harten Voraussetzung, lange bevor eine risikoarme Consumer-App es tut.
Es gibt auch eine Chance, die man benennen sollte. Ein gemeinsamer EU-weiter Souveränitätsrahmen ist leichter zu bespielen als ein zersplitterter Satz nationaler Schemata. Wer die Residenz- und Dokumentationsgeschichte einmal sauber und passend zum CADA-Rahmen aufbaut, kann sie über den gesamten Binnenmarkt wiederverwenden, statt „souveräne Cloud" Land für Land neu zu verhandeln. Frühbeweger machen aus einer Compliance-Kostenstelle einen Differenzierer.
Die Engineering- und Go-to-Market-Checkliste
Hier die umsetzbare Version. Führen Sie sie jetzt als Scoping-Übung durch, solange CADA noch ein Vorschlag ist und Sie nicht unter Vertragsdruck stehen.
- Datenresidenz und Rechtsraum kartieren. Erfassen Sie für jeden Datensatz, wo er gespeichert und verarbeitet wird (inklusive Backups, Logs und Analytics), welche Einheit diese Infrastruktur betreibt und unter welchem Recht sie steht. Diese eine Karte beantwortet die meisten Souveränitätsfragen.
- Einen Deployment-Pfad in EU-Regionen aufsetzen. Auch wenn Sie ihn noch nicht anbieten, sollten Sie wissen, was er erfordert: EU-Speicherung und -Verarbeitung, EU-ansässige Verschlüsselungsschlüssel und ein Datenflussdiagramm ohne überraschende US-Umwege.
- Control Plane von Data Plane trennen. Käufer akzeptieren globale Orchestrierung, wehren sich aber dagegen, dass Kundendaten die Region verlassen. Gestalten Sie es so, dass personenbezogene und sensible Daten in der EU bleiben können, auch wenn das Management-Tooling es nicht tut.
- Die Souveränitätsposition dokumentieren. Erstellen Sie ein kurzes, ehrliches Dokument, das ein europäisches Beschaffungsteam einer Vertrauensstufe zuordnen kann: Residenz, Betreiber, Rechtsraum, Subprozessoren und Fortführung bei Zulieferer-Rückzug.
- Subprozessoren und Zulieferer prüfen. Ihre Souveränität ist nur so stark wie Ihre schwächste Abhängigkeit. Listen Sie jeden Dritten auf, der Kundendaten berührt, und wo er sitzt.
- Open Source als Vorteil behandeln. Wo Sie auf Open Source bauen oder beitragen, sagen Sie es – es liest sich als Portabilität und Prüfbarkeit und deckt sich mit der EU-Strategie.
- Verantwortlichen benennen und bei Verabschiedung nachziehen. CADA wird sich im Gesetzgebungsverfahren ändern. Benennen Sie jemanden, der es verfolgt und die Vertrauensstufen-Kriterien verfestigt, bevor sie vertraglich werden.
Nichts davon ist Rechtsberatung, und Ihre genauen Pflichten hängen vom endgültigen CADA-Text und davon ab, an welche Käufer Sie verkaufen. Das strategische Signal ist aber klar: Europa macht Cloud-Souveränität zum bewerteten Einkaufskriterium, und die Teile, die gewöhnliche Softwareteams treffen – Datenresidenz, EU-Regionen-Betrieb und eine ehrliche Rechtsraumgeschichte – sind heute schon baubar. Bauen Sie sie.
Häufig gestellte Fragen
Was ist der EU Cloud and AI Development Act (CADA)?
CADA ist ein Legislativvorschlag, den die Europäische Kommission am 3. Juni 2026 im Rahmen ihres Pakets für technologische Souveränität vorgelegt hat. Er soll Cloud- und KI-Forschung fördern, den Rechenzentrumsausbau in der EU beschleunigen (Ziel: Verdreifachung der Kapazität in fünf bis sieben Jahren) und einen einheitlichen EU-weiten Rahmen einführen, der die Souveränität von Cloud- und KI-Diensten über vier Vertrauensstufen bewertet. Stand Juli 2026 ist er ein Vorschlag, noch kein Gesetz.
Gilt CADA für US-Cloud- und Softwareanbieter?
Indirekt, aber spürbar. CADA verbietet US-Anbieter nicht. Es verändert, wie öffentliche Stellen der EU und mit der Zeit regulierte Käufer Cloud- und KI-Dienste bewerten, indem eine Souveränitätsprüfung zu Preis und Funktionen hinzukommt. Ein US-Anbieter, der EU-Datenresidenz, EU-basierten Betrieb und Schutz vor ausländischem Rechtszugriff nachweist, schneidet besser ab und bleibt für mehr europäische Aufträge qualifiziert.
Was sind die vier Souveränitäts-Vertrauensstufen?
CADA definiert einen einheitlichen EU-weiten Rahmen mit vier Vertrauensstufen, die öffentliche Stellen anhand ihrer eigenen Risikobewertung anwenden. Höhere Stufen entsprechen stärkeren Garantien dafür, wo Daten gespeichert und verarbeitet werden, wer die Infrastruktur betreibt und wie stark sie gegen Nicht-EU-Rechtsprechung abgeschirmt ist. Die genauen Kriterien werden im Gesetzgebungsverfahren präzisiert.
Wann tritt CADA in Kraft?
Es gibt noch kein Datum. CADA wurde am 3. Juni 2026 vorgeschlagen und muss noch vom Europäischen Parlament und vom Rat verhandelt und angenommen werden, bevor es gilt. Das Kapazitätsziel ist ein politisches Ziel, keine Compliance-Frist. Behandeln Sie 2026 als Planungsfenster, nicht als Stichtag.
Was ist der Unterschied zwischen CADA und der KI-Verordnung?
Sie lösen unterschiedliche Probleme. Die KI-Verordnung (AI Act) regelt, wie KI-Systeme gebaut und genutzt werden dürfen, und ist bereits teilweise durchsetzbar. CADA ist Industrie- und Beschaffungspolitik: Es fördert europäische Cloud- und KI-Infrastruktur und legt Souveränitätskriterien für deren Einkauf fest. Ein Produkt kann voll AI-Act-konform sein und trotzdem auf CADAs Souveränitätsskala niedrig abschneiden – oder umgekehrt.
Was sollte ein SaaS-Anbieter im DACH-Markt tun?
Beginnen Sie mit einer Datenresidenz- und Rechtsraumkarte Ihres Stacks: wo jeder Datensatz liegt, wer darauf zugreift und unter welchem Recht. Bieten Sie ein Deployment in EU-Regionen mit EU-basiertem Betrieb an, minimieren Sie grenzüberschreitende Datenflüsse und dokumentieren Sie Ihre Souveränitätsposition passend zu BSI C5 und DSGVO, damit europäische Käufer Sie einer Vertrauensstufe zuordnen können. Das jetzt zu tun ist weit günstiger als eine spätere Nachrüstung unter Vertragsdruck.
Quellen
Europäische Kommission — Paket für technologische Souveränität (Pressemitteilung IP/26/1187), 3. Juni 2026
Europäische Kommission — Cloud and AI Development Act (Shaping Europe's digital future)
CNBC — Europe unveils tech sovereignty package amid U.S. tech reliance concerns, 3. Juni 2026