Cloud and AI Development Act (CADA)

Woher kommt die Forderung nach EU-souveränen Cloud-Diensten?

Die Debatte um „EU-only“ ist nicht nur eine politische Stimmungslage, sondern die Reaktion auf eine messbare Marktentwicklung. Der Marktanteil europäischer Cloud-Anbieter in der EU sank laut Begründung des Kommissionsentwurfs von 29 Prozent im Jahr 2017 auf 15 Prozent im Jahr 2022 und stagniert seitdem. Drei nicht-europäische Hyperscaler kontrollieren demnach über 70 Prozent des europäischen Cloud-Marktes.

Bei vergleichbarer Wirtschaftsleistung entfallen zudem rund 20 Prozent der weltweit installierten Rechenzentrumskapazität auf die EU, während die USA bei etwa 42 Prozent liegen.

Aus dieser Abhängigkeit leitet die Kommission zwei Risiken ab, die sie ausdrücklich trennt.

• Das erste betrifft die Kontrolle über Daten, weil Anbieter aus Drittstaaten Rechtsordnungen mit extraterritorialer Wirkung unterliegen können.
• Das zweite betrifft die operative Autonomie, also die Frage, ob ein Dienst auch dann verfügbar bleibt, wenn ein Drittstaat einseitige Entscheidungen trifft.

Der zweite Punkt ist der eigentlich neue. Es geht nicht mehr nur um Datenzugriff, sondern um Betriebskontinuität.

Wie real dieses Risiko ist, hat sich zuletzt mehrfach gezeigt:

Im Juni 2026 untersagte eine Exportkontrollverfügung des US-Handelsministeriums ausländischen Staatsangehörigen die Nutzung der leistungsstärksten KI-Modelle des Anbieters Anthropic. Weil sich Nutzer nicht zuverlässig nach Staatsangehörigkeit unterscheiden ließen, schaltete das Unternehmen die betroffenen Modelle vorübergehend weltweit ab. Auch europäische Unternehmen und Forschungseinrichtungen verloren damit von einem Tag auf den anderen den Zugriff auf einen produktiv genutzten Dienst. Die Sperre wurde nach wenigen Tagen wieder aufgehoben, doch der Vorgang verdeutlicht ein Muster. Ein Dienst kann durch eine Entscheidung ausfallen, an der weder der Kunde noch sein Vertragspartner beteiligt ist.

Ein zweites Beispiel betrifft die klassische Büro-IT. Nachdem die US-Regierung im Februar 2025 Sanktionen gegen den damaligen Chefankläger des Internationalen Strafgerichtshofs verhängt hatte, verlor dieser den Zugang zu seinem dienstlichen E-Mail-Konto bei Microsoft. Der Anbieter betonte, die Dienste für den Gerichtshof als Institution seien zu keinem Zeitpunkt eingestellt worden. Die Wirkung blieb dennoch erheblich, weil der Fall vorführte, dass Sanktionsrecht eines Drittstaats unmittelbar auf die Arbeitsfähigkeit einer europäischen Organisation durchschlagen kann.

Politisch vorbereitet wurde der Entwurf für den Cloud and AI Development Act unter anderem durch den Draghi-Bericht zur europäischen Wettbewerbsfähigkeit und durch die Schlussfolgerungen des Rates vom Dezember 2025, welche ausdrücklich gemeinsame Kriterien für souveräne Cloud-Dienste forderten. CADA soll diese Forderungen erstmals in einen Gesetzestext übersetzen.

Welche Regelungen gibt es neben CADA bereits?

Der Entwurf für CADA steht nicht allein, sondern ergänzt einen bereits dichten Rechtsrahmen:

Der Data Act regelt den Anbieterwechsel sowie die Interoperabilität von Datenverarbeitungsdiensten und beseitigt damit Hürden beim Wechsel. Er schafft aber selbst kein europäisches Angebot.

Der Digital Markets Act (DMA) führt Cloud-Dienste als möglichen zentralen Plattformdienst mit gesonderten Pflichten. Benannt wurde für diesen Bereich bislang jedoch kein Anbieter als Torwächter (Gatekeeper). Die Kommission hat dazu am 18. November 2025 jedoch drei Marktuntersuchungen eröffnet, unter anderem zu der Frage, ob der DMA die Wettbewerbsprobleme im Cloud-Markt überhaupt wirksam erfassen kann. Nach der vorläufigen Auffassung der Kommission sollen Amazon Web Services (AWS) und Microsoft Azure (Azure) als Torwächter eingestuft werden.

Auf der Sicherheitsseite verpflichtet die NIS2-Richtlinie Cloud-Anbieter und Rechenzentren zu Risikomanagement, der Digital Operational Resilience Act (DORA) adressiert digitale Resilienz und Auslagerungen im Finanzsektor und der Cybersecurity Act wird derzeit überarbeitet.

Das seit Jahren erwartete europäische Zertifizierungsschema für Cloud-Dienste (EUCS) ist weiterhin nicht verabschiedet. Der Entwurf zu CADA verweist an mehreren Stellen darauf und sieht Übergangslösungen für den Fall vor, dass es zum Anwendungszeitpunkt noch nicht vorliegt.

Hinzu kommen nationale Entwicklungen wie die Deutsche Verwaltungscloud sowie Anforderungen einzelner Aufsichtsbehörden an die EU-Souveränität eingesetzter Dienste.

Auch außerhalb Europas ist eine Richtung erkennbar. Die USA haben im Juli 2025 mit dem AI Action Plan und der Executive Order „Promoting the Export of the American AI Technology Stack” den Export kompletter amerikanischer Technologiepakete aus Hardware, Cloud-Infrastruktur, Modellen und Sicherheitskomponenten gefördert. China verfolgt diesen Weg seit Jahren am konsequentesten und kombiniert Lokalisierungspflichten für Betreiber kritischer Informationsinfrastrukturen mit Sicherheitsprüfungen für Datenexporte und dem gezielten Ausbau heimischer Anbieter. Saudi-Arabien setzt mit dem 100-Milliarden-Dollar-Programm „Project Transcendence” auf eine eigene, staatlich getragene KI-Infrastruktur. Indien verlangt seit 2018 die Speicherung von Zahlungsverkehrsdaten im eigenen Land und baut parallel eigene Rechenkapazität auf.

Was soll CADA konkret verlangen?

Kernstück des Entwurfs ist ein einheitlicher Rahmen für die EU-Souveränität von Cloud-Diensten mit vier Union Assurance Levels. Die Anforderungen sollen kumulativ ansteigen, so dass jede Stufe die vorherige einschließt und verschärft.

• Level 1 soll eine Niederlassung des Anbieters in der EU verlangen, ebenso den Verbleib von Kundendaten einschließlich Metadaten und Telemetriedaten in der EU sowie volle Transparenz über Unterauftragnehmer. Der Nachweis soll über eine Selbstbewertung möglich sein.
• Level 2 soll zusätzlich fordern, dass Infrastruktur und Personal in der EU liegen, technischer Support ausschließlich aus der EU erbracht wird, eine Software-Stückliste (SBOM) vorliegt und die Daten nicht zum Training von KI-Systemen aus Drittstaaten verwendet werden. Anbieter unter Drittstaatenkontrolle sollen diese Stufe erreichen können, müssten die Abschottung dann aber nachweisen.
• Level 3 soll voraussetzen, dass Anbieter und Unterauftragnehmer nicht der Kontrolle eines Drittstaats unterliegen und das Personal die Unionsbürgerschaft besitzt. Eine Ausnahme wäre nur vorgesehen, wenn die Kommission einem Drittstaat per Durchführungsrechtsakt ausreichende Garantien bescheinigt.
• Level 4 soll dies um eine Zertifizierung auf dem Vertrauensniveau „hoch“ und den Nachweis ergänzen, dass kein Drittstaat effektive Kontrolle über Entwicklung, Wartung und Weiterentwicklung der eingesetzten Softwarekomponenten ausübt.

Die Stufen 2 bis 4 sollen nicht selbst erklärt, sondern durch unabhängige Auditorganisationen geprüft und von einer nationalen zuständigen Behörde anerkannt werden. Anerkannte Dienste sollen in ein zentrales Register der Kommission aufgenommen werden. Der Entwurf adressiert damit das Problem der Eigenwerbung mit EU-Souveränität ohne prüfbare Grundlage. Darauf hatten Marktteilnehmer in der Konsultation deutlich hingewiesen.

Verbindlich werden soll der Rahmen über das Vergaberecht. Nach Art. 29 des Entwurfs sollen Mitgliedstaaten und Unionseinrichtungen durch Risikobewertungen feststellen, welche öffentlichen Tätigkeiten der Aufrechterhaltung der öffentlichen Ordnung dienen. Artikel 30 soll öffentliche Auftraggeber verpflichten, mindestens Level 1 zu beschaffen. Für Tätigkeiten mit Bezug zur öffentlichen Ordnung in den Sektoren der NIS2-Anhänge sowie in Bereichen wie innerer Sicherheit, Verteidigung, Justiz und Strafverfolgung sollen ausschließlich Dienste der Level 2, 3 oder 4 zulässig sein. Hinzu kommen Regelungen zur beschleunigten Ansiedlung von Rechenzentren sowie eine deutliche Aufwertung von Open Source in der Verwaltung.

Was wird CADA für private Unternehmen bedeuten?

Unmittelbar verpflichtet würden private Unternehmen nach dem derzeitigen Entwurfsstand nicht. Der verbindliche Teil richtet sich an die öffentliche Hand. Zwei Mechanismen können jedoch dafür sorgen, dass die Wirkung darüber hinausreichen.

Erstens soll Art. 31 Einrichtungen nach Anhang I der NIS2-Richtlinie die Möglichkeit eröffnen, vergleichbare Bewertungen freiwillig durchzuführen. Zugleich soll die Kommission per delegiertem Rechtsakt festlegen können, dass Unternehmen in Sektoren hoher Kritikalität solche Bewertungen tatsächlich vornehmen müssen. Aus einer Option könnte damit eine Pflicht werden, ohne dass das Gesetz erneut geändert werden müsste.

Zweitens wirkt der Beschaffungsdruck über die Lieferkette. Wer die öffentliche Hand oder regulierte Unternehmen beliefert, wird künftig gefragt werden, auf welcher Infrastruktur die eigenen Leistungen laufen. Ein Softwareanbieter, dessen Dienst auf einer Plattform ohne Anerkennung betrieben wird, verlöre damit Zugang zu einem erheblichen Marktsegment, unabhängig davon, ob ihn das Gesetz selbst adressiert.

Welche Weichen lassen sich heute schon für CADA-Compliance stellen?

CADA ist bislang nur ein Kommissionsentwurf. Er muss das ordentliche EU-Gesetzgebungsverfahren durchlaufen und kann sich dabei hinsichtlich einzelner Stufen, Fristen und Ausnahmen noch verändern. Die Kommission selbst rechnet in ihrer Folgenabschätzung mit einem Abschluss der Verhandlungen bis Ende 2027 und einer Anwendung ab etwa 2029.

Vorbereitende Schritte lohnen sich dennoch, da sie sich bereits jetzt auf den Schutz von Daten und die Business Continuity auswirken.

Sinnvoll ist zunächst eine Bestandsaufnahme der eingesetzten Cloud-Dienste, ergänzt um die Frage, welche Geschäftsprozesse davon abhängen und welcher Schaden bei einem Ausfall oder einer Zugriffsbeschränkung entstünde. Daraus ergibt sich eine erste Zuordnung, welche Anwendungen einem so hohen Schutzbedarf unterliegen, dass sie über einen EU-souveränen Cloud-Dienst betrieben werden sollten. Nach den Modellannahmen der Folgenabschätzung dürfte das nur einen kleinen Teil betreffen.

Welche Anwendungen das sind, lässt sich an einer einfachen Frage festmachen: Was passiert, wenn dieser Dienst morgen nicht mehr erreichbar ist oder ein Drittstaat Einsicht in die verarbeiteten Daten nehmen kann?

Betroffen sind meist Systeme, die den Betrieb unmittelbar tragen oder besonders sensible Daten verarbeiten. Dazu zählen etwa Leitsysteme von Energie- und Wasserversorgern, Zahlungsverkehrs- und Kernbankensysteme, klinische Informationssysteme, Konstruktionsdaten und Rezepturen sowie die Identitäts- und Berechtigungsverwaltung, an der der Zugang zu allen anderen Systemen hängt. Auch die Kommunikationsinfrastruktur kann dazugehören, wie der eingangs erwähnte Fall des Strafgerichtshofs zeigt.

Weniger kritisch sind demgegenüber typischerweise Marketingwerkzeuge, Terminplanung, öffentliche Webinhalte oder Testumgebungen ohne Echtdaten. Der kritische Teil verursacht jedoch die höchsten Migrationskosten und braucht einen längeren Vorlauf, weil dort Schnittstellen, Betriebsprozesse und Zertifizierungen mitwandern müssen.

Ebenso wichtig ist die vertragliche Seite. Prüfen Sie, welche Laufzeiten und Kündigungsfristen bestehen, welche Ausstiegsklauseln vereinbart sind und ob Datenexport und Portabilität praktisch funktionieren. Der Data Act stärkt Ihre Position beim Anbieterwechsel bereits heute. Wer diese Rechte kennt und in Verträgen abbildet, verschafft sich Handlungsspielraum, bevor eine regulatorische Frist ihn erzwingt.

Schließlich empfiehlt es sich, Anforderungen an die EU-Souveränität in laufende Beschaffungsvorhaben aufzunehmen, statt sie später nachzurüsten. Der Aufwand, ein neues System von Beginn an auf einen EU-souveränen Betrieb auszulegen, liegt deutlich unter dem einer späteren Migration.

Wie kann activeMind.legal Unternehmen bei der Vorbereitung auf CADA unterstützen?

Die Bewertung von Cloud-Diensten nach den Kriterien der EU-Souveränität berührt Datenschutz, Informationssicherheit und IT-Architektur zugleich – Gebiette, auf die unsere Kanzlei spezialisiert ist.

Unsere Experten unterstützen Sie genau an dieser Schnittstelle von der Bestandsaufnahme der eingesetzten Dienste über die Einstufung des Schutzbedarfs einzelner Anwendungen bis zur Prüfung bestehender Verträge auf Ausstiegs- und Portabilitätsklauseln. Weil sich die Anforderungen aus CADA, NIS2, DORA und dem Data Act überschneiden, lassen sich die Vorarbeiten so gestalten, dass sie auf mehrere Rechtsakte zugleich einzahlen.

Fazit: EU-Souveränität soll prüfbar werden

Die entscheidende Neuerung des Entwurfs liegt nicht in einem Verbot bestimmter Anbieter, sondern darin, dass die EU-Souveränität eines Cloud-Dienstes in abgestufte, auditierbare Kriterien übersetzt werden soll. Damit endet (bald) die Phase, in der digitale bzw. EU-Souveränität eine reine Marketingaussage sein konnte.

Für Unternehmen folgt daraus vor allem ein Planungsauftrag: Verschaffen Sie sich Klarheit darüber, welche Ihrer Anwendungen einen so hohen Schutzbedarf haben, dass sie einen EU-souveränen Dienst erfordern, und richten Sie Vertragslaufzeiten und Architekturentscheidungen daran aus.