CADA: Wann Cloud-Souveränität zur Beschaffungspflicht wird
Der EU-Vorschlag CADA staffelt Cloud-Souveränität in vier Assurance-Levels. Was Level 3 und 4 für die öffentliche Beschaffung bedeuten.
Am 3. Juni 2026 hat die EU-Kommission einen Vorschlag vorgelegt, der Cloud-Souveränität erstmals messbar macht. Der Cloud and AI Development Act staffelt sie in vier Stufen. Schon ab Stufe zwei zählt die Unabhängigkeit von Drittstaaten, ab Stufe drei wird es für US-kontrollierte Anbieter praktisch unmöglich. Noch ist es ein Entwurf, doch wer öffentliche Aufträge plant, sollte die Stufen jetzt verstehen.
Das Wichtigste in Kürze
- Souveränität wird zur prüfbaren Stufe: CADA definiert vier Assurance-Levels für Cloud-Dienste an die öffentliche Hand, von Level 1 als Mindestanforderung bis zu Level 4 mit voller Kontrolle über die Lieferkette ohne Drittstaaten-Einfluss.
- Ab Level 3 zählt die Herkunft: Anbieter müssen aus der EU besessen und kontrolliert werden, samt Kriterien zur Staatsangehörigkeit des Personals. Das schließt US-kontrollierte Hyperscaler praktisch aus.
- Noch ist es ein Vorschlag: Der Entwurf stammt vom 3. Juni 2026, die Verabschiedung steht aus. Wer öffentliche Beschaffung plant, gewinnt aber jetzt, wenn er die Stufen-Logik früh in die Architektur zieht.
Verwandt:Der Deutschland-Stack wird operativ / NIS2 und DORA sauber trennen
Was der Cloud and AI Development Act regeln will
Was ist CADA? Der Cloud and AI Development Act ist ein Verordnungsvorschlag der EU-Kommission vom 3. Juni 2026, der Cloud- und KI-Souveränität in Europa stärken soll. Er ist noch kein geltendes Recht, sondern steht am Anfang des Gesetzgebungsverfahrens. Sein Kern sind zwei Stellschrauben.
Die erste ist Infrastruktur. Die Kommission sieht ein strukturelles Defizit bei der Rechenzentrumskapazität in der EU und will sie innerhalb von fünf bis sieben Jahren verdreifachen. Dieses Ziel soll vor allem durch private Investitionen getragen werden, die Kommission beziffert den nötigen Umfang auf rund 200 Milliarden Euro. Wichtig ist die Trennung: Die Verdreifachung ist das Kapazitätsziel, die 200 Milliarden sind die dafür zu mobilisierende Investitionssumme, nicht ein Förderbudget.
Die zweite Stellschraube ist Abhängigkeit. Ein großer Teil der europäischen Cloud-Nutzung läuft über eine kleine Zahl von Anbietern außerhalb der EU. CADA will dieser Konzentration einen prüfbaren Rahmen entgegensetzen und genau hier kommen die Assurance-Levels ins Spiel.
Vier Stufen, die Souveränität prüfbar machen
Der Hebel von CADA ist, dass Souveränität an prüfbare Kriterien gebunden wird. Aus einem Schlagwort wird eine Einstufung. Der Vorschlag definiert vier Assurance-Levels, die der öffentliche Sektor je nach Risikobewertung verlangen kann. Die Einstufung folgt Kriterien wie Kontrolle über den Dienst, Kontrolle über die Lieferkette, Behandlung der Daten, Standort der Infrastruktur und Cybersicherheit.
| Stufe | Kernanforderung | Wer erfüllt sie |
|---|---|---|
| Level 1 | Mindeststandard für jeden Cloud-Dienst an die öffentliche Hand | Praktisch alle Anbieter |
| Level 2 | Unabhängigkeit von Drittstaaten, Transparenz über die Software-Lieferkette | Anbieter ohne Drittstaaten-Bindung |
| Level 3 | Eigentum und Kontrolle aus der EU, Kriterien zur Staatsangehörigkeit des Personals | EU-Anbieter, US-kontrolliert kaum |
| Level 4 | Volle Kontrolle über die Lieferkette ohne Einfluss von Drittstaaten | Rein europäische Stacks |
Die Staffelung zwingt niemanden pauschal zur europäischen Lösung. Sie überlässt die Einstufung der Risikobewertung der jeweiligen Behörde. Für eine Verwaltung mit sensiblen Daten wird Level 3 oder 4 zur naheliegenden Anforderung und damit fällt die Anbieterwahl, bevor die erste Architektur-Skizze entsteht.
Was die Stufen für die Beschaffung bedeuten
Hier wird aus einem Regulierungsvorschlag eine handfeste Beschaffungsfrage. Anbieter werden nach einem Audit von den Mitgliedstaaten unter dem Rahmen anerkannt. Wer Level 3 oder 4 nicht erfüllt, kann an Ausschreibungen, die diese Stufe verlangen, schlicht nicht teilnehmen. Das ist kein Verbot bestimmter Anbieter, aber in der Wirkung kommt es einem Ausschluss nahe, weil ein US-kontrollierter Hyperscaler die Eigentums- und Personalkriterien kaum erfüllen kann.
Für Architekten heißt das, die Souveränitätsstufe gehört künftig an den Anfang der Planung. Wer ein System für den öffentlichen Sektor entwirft und erst spät merkt, dass die Zielbehörde Level 3 verlangt, baut die halbe Datenhaltung um. Die nüchterne Konsequenz ist eine Vorab-Frage in jedem Beschaffungsprojekt: Welche Stufe wird verlangt und welcher Teil des Stacks erfüllt sie heute schon?
Konkret betrifft das mehr als den Serverstandort. Level 3 verlangt Eigentum und Kontrolle aus der EU, was bei einem Anbieter mit US-Muttergesellschaft schon an der Konzernstruktur scheitert, unabhängig davon, wo die Server stehen. Auch die Schlüsselverwaltung gehört dazu. Wer die kryptografischen Schlüssel hält und unter welcher Jurisdiktion er das tut, entscheidet über die Einstufung mit. Und die Personalkriterien reichen bis in die Frage, wer administrativen Zugriff auf die Infrastruktur hat. Eine reine Datenresidenz in einem Frankfurter Rechenzentrum erfüllt davon nur einen Teil und genau diese Verwechslung ist in Souveränitäts-Pitches verbreitet.
Warum die Architektur-Entscheidung jetzt fällt
Es liegt nahe, das Thema zu verschieben, solange CADA nur ein Vorschlag ist. Diese Rechnung geht selten auf. Ein souveräner Stack lässt sich nicht in dem Quartal nachrüsten, in dem die Ausschreibung erscheint. Datenhaltung, Schlüsselverwaltung und Lieferkette sind Entscheidungen mit langer Halbwertszeit.
Wer Cloud für den öffentlichen Sektor baut oder verkauft, sollte heute eine ehrliche Selbsteinstufung machen: Welche Stufe erreicht der eigene Stack und wo sitzt der nächste Drittstaaten-Einfluss, der Level 3 verhindert? Diese Frage kostet wenig und spart später den teuren Umbau unter Zeitdruck.
Häufige Fragen
Gilt CADA bereits?
Nein. CADA ist seit dem 3. Juni 2026 ein Vorschlag der EU-Kommission und durchläuft das Gesetzgebungsverfahren. Der Text kann sich im Verlauf der Verhandlungen mit Parlament und Rat noch ändern.
Was sind die vier Assurance-Levels?
Vier abgestufte Souveränitätsstufen für Cloud-Dienste an die öffentliche Hand. Level 1 ist der Mindeststandard, Level 2 verlangt Drittstaaten-Unabhängigkeit und Supply-Chain-Transparenz, Level 3 EU-Eigentum samt Personalkriterien, Level 4 volle Kontrolle über die Lieferkette.
Schließt CADA US-Anbieter aus?
Nicht durch ein Verbot, aber in der Wirkung. Für Ausschreibungen, die Level 3 oder 4 verlangen, kann ein US-kontrollierter Hyperscaler die Eigentums- und Personalkriterien kaum erfüllen und damit nicht teilnehmen.
Was bedeutet die Verdreifachung der Datacenter-Kapazität?
Die Kommission will die EU-Rechenzentrumskapazität in fünf bis sieben Jahren verdreifachen. Getragen werden soll das vor allem von privaten Investitionen im Umfang von rund 200 Milliarden Euro, was nicht mit einem Förderbudget zu verwechseln ist.
Was sollten Cloud-Architekten jetzt tun?
Eine ehrliche Selbsteinstufung des eigenen Stacks vornehmen und prüfen, welche Assurance-Stufe er erreicht. Datenhaltung, Schlüsselverwaltung und Lieferkette haben lange Vorlaufzeiten und lassen sich nicht kurzfristig auf Level 3 heben.
Lesetipps der Redaktion
Bildquelle: KI-generiert (Juli 2026)
