Mit dem Cloud and AI Development Act (CADA) hat die Europäische Kommission einen zentralen Baustein ihres Souveränitätspakets vorgestellt. Kritische Anmerkungen und Forderungen von CISPE...
Executive Summary
Erstmals definiert die EU verbindliche Kriterien dafür, wann Cloud- und KI-Dienste als souverän gelten können. Aus Sicht von CISPE ist dies (Zitat) "ein wichtiger Schritt für Europas digitale und wirtschaftliche Resilienz."
CISPE begrüßt denn auch besonders die Einführung robuster Souveränitätsanforderungen für die höheren Assurance Levels. Gleichzeitig sieht der Verband allerdings mehrere Kritikpunkte, die im weiteren Gesetzgebungsverfahren nachgebessert werden sollten:
- Öffentliche Auftraggeber werden nicht verpflichtet, europäische Cloud-Alternativen überhaupt zu prüfen, bevor sie Dienste außereuropäischer Anbieter beschaffen.
- Die Einstufungen „Level 1“ und „Level 2“ werden als souverän bezeichnet, obwohl die Anforderungen nach Ansicht von CISPE hierfür nicht ausreichen.
- Die Bewertung der Souveränität erfolgt offenbar auf Unternehmensebene statt auf Ebene einzelner Dienste, was die Transparenz für Kunden erschwert.
- Mehrere Regelungen könnten es ermöglichen, dass ausländisch kontrollierte Dienste über europäische Zwischenhändler die Souveränitätsanforderungen faktisch umgehen.
Zur vollständigen Stellungnahme von CISPE zu CADA (unkommentierter Originaltext):
„Die Ankündigung des Cloud and AI Development Act, CADA am 27. Mai 2026 als Teil des EU-Souveränitätspakets, ist ein Schritt nach vorn für Europas strategische Autonomie. Dennoch bleiben Herausforderungen bestehen. Mit seiner Einstufung auf Assurance Level 3 und höher hält die Kommission ihr Versprechen und liefert einige starke Definitionen von Souveränität, die mit dem CISPE-Rahmenwerk für souveräne und resiliente Cloud-Dienste übereinstimmen.
Der Text zielt eindeutig auf politische und sicherheitspolitische Anliegen ab und könnte – sofern er gut umgesetzt wird – dazu beitragen, die kommerzielle Dominanz etablierter ausländischer Cloud- und KI-Anbieter herauszufordern. Es bestehen jedoch weiterhin grundlegende Schwächen und erhebliche Versäumnisse im Bereich der öffentlichen Beschaffung, die die Macht von Bequemlichkeit und institutioneller Trägheit bei der Umsetzung unterschätzen. Dazu gehören:
Keine Verpflichtung, bei der Beschaffung von Public-Cloud-Diensten überhaupt europäische Alternativen zu prüfen.
Verwirrung und potenzieller Missbrauch der Souveränitätsstufen 1 und 2.
Bewertung der Souveränität auf Unternehmensebene statt auf Ebene einzelner Dienste.
Einige Klauseln in den Anhängen gefährden die gesamte Definition von Souveränität.
Im Bereich der öffentlichen Beschaffung verlangt das Gesetz nicht einmal, europäische Alternativen zu prüfen
CADA schafft grundsätzlich die richtige Architektur für Cloud-Souveränität, verfehlt jedoch bei der öffentlichen Beschaffung sein Ziel. Es verlangt nicht einmal von einer öffentlichen Stelle zu prüfen, ob ein europäischer Dienst verfügbar ist, bevor Steuergelder an einen Anbieter fließen, der von außerhalb Europas kontrolliert wird – geschweige denn, einen solchen europäischen Anbieter auszuwählen.
Eine Pflicht zur Prüfung ist keine Pflicht zur Bevorzugung. Sie könnte daher kaum als Handelshemmnis angesehen werden, sondern stellt lediglich eine grundlegende Sorgfaltspflicht beim Einsatz öffentlicher Gelder dar.
Wir sehen ein erhebliches Risiko, dass entsprechende Bewertungen zu einer bloßen „Abhakübung“ werden, die es IT-Abteilungen ermöglicht, aus Bequemlichkeit weiterhin nicht-souveräne Dienste einzukaufen.
Die Stufen 1 und 2 dürfen nicht als „souverän“ bezeichnet werden
Während die Definition der Souveränitätsstufe 3 robust ist, sind die Definitionen für die Stufen 2 und 1 verwirrend und wenig nachvollziehbar. Es scheint, dass nahezu jeder Anbieter diese Anforderungen erfüllen kann. Dies führt zu Verwirrung und eröffnet die Möglichkeit gezielt irreführender Kennzeichnungen.
Dienste der Stufen 1 und 2 sollten im Rahmen der Kommissionsregelung in keiner Weise als „souverän“ bezeichnet, klassifiziert oder vermarktet werden. Andernfalls wird der Markt – sowohl auf Seiten öffentlicher als auch privater Kunden – weiterhin verwirrt und weitere Versuche des sogenannten „Sovereignty Washing“ werden begünstigt.
CADA erkennt Anbieter an, listet jedoch Dienste auf, die nie einzeln geprüft wurden
Das CISPE-Rahmenwerk bewertet Souveränität und Resilienz auf Ebene einzelner Dienste. Nach unserer Auffassung ist dies die einzige legitime Möglichkeit, Käufern klare Informationen darüber zu liefern, was sie tatsächlich erwerben.
Der Text der Kommission lässt offen, ob Unternehmen oder konkrete Dienste geprüft werden sollen. Zudem gibt es keine Vorgaben, die detaillierten Ergebnisse solcher Prüfungen öffentlich zugänglich zu machen.
CISPE ist der Auffassung, dass Prüfungen auf Dienstebene sowie die transparente Offenlegung von Kontrollen, Kennzahlen und Bewertungsergebnissen die einzige glaubwürdige Grundlage für fundierte Kundenentscheidungen darstellen. Unabhängig geprüfte Branchenrahmenwerke wie das von CISPE, die die Anforderungen der Kommission erfüllen oder übertreffen, sollten von den Mitgliedstaaten ebenfalls anerkannt und gefördert werden.
Schlupflöcher schließen, die zur Umgehung der Regeln genutzt werden könnten
Der Gesetzestext und seine Anhänge sind detailliert und insgesamt gut ausgearbeitet. Es ist offensichtlich, dass die Kommission auf viele Anliegen des europäischen Cloud-Sektors gehört und reagiert hat. Aufgrund der Komplexität bestehen jedoch zahlreiche potenzielle Schlupflöcher, die aus unserer Sicht geschlossen werden sollten.
Das Gesetz enthält eine strukturelle Lücke, die es einem Vermittler ermöglichen könnte, einen von außerhalb Europas kontrollierten Dienst als Dienst der Stufe 2, 3 oder 4 erscheinen zu lassen. Erfolgt der Vertrieb über einen europäischen Aggregator, der den direkten Vertrag hält und selbst die Anforderungen erfüllt, kann ein ausländisch kontrollierter Subunternehmer, der keinen direkten Zugang zu sensiblen Daten hat, seine Dienste und Produkte als Teil eines anerkannten Angebots der Stufe 2, 3 oder 4 weiterverkaufen.
Da dieser Subunternehmer außerhalb der Anforderungen zur europäischen Niederlassung und zum Ausschluss von Drittstaatenkontrolle steht, könnten solche Konstruktionen die Definitionen der Souveränitätsstufen erheblich untergraben. Die entsprechenden Klauseln, die im zweiten Absatz von Anhang II für jede Stufe enthalten sind, schaffen nach Ansicht von CISPE eine gefährliche Hintertür, die die gesamte Definition von Souveränität aushöhlen könnte.
CISPE sieht außerdem die Gefahr einer ungleichen Belastung der Mitgliedstaaten. Jedes EU-Land kann einen Anbieter als „souverän“ einstufen, durchsetzen kann diese Entscheidung jedoch nur der Mitgliedstaat, in dem sich die europäische Hauptniederlassung des Anbieters befindet. Dadurch könnten einige wenige Länder unverhältnismäßig stark mit Überwachungs- und Durchsetzungsaufgaben belastet werden. Andere Staaten sowie einzelne Anbieter sollten ebenfalls die Möglichkeit haben, entsprechende Einstufungen anzufechten, um wettbewerbsverzerrende Markteffekte zu vermeiden.
Diese und weitere Schlupflöcher sowie Umgehungsmöglichkeiten müssen in einer endgültigen Fassung des Gesetzes beseitigt werden.“
Stand: 05. Juni 2026
Querverweis:
Unser Beitrag > Cloud-Anbieter-Wahl: Fünf Hindernisse, die ins Geld gehen können
Unser Beitrag > Digitale Souveränität neu gedacht oder warum der Speicherort von Daten nicht mehr ausreicht