Neue Souveränitätslevel für Cloud-Dienste
Mit #CADA könnten Souveränitätslevel für Cloud-Dienste zur verbindlichen europäischen Beschaffungsanforderung werden
Der Vorstoß reagiert auf Europas strategische Abhängigkeiten bei Cloud und KI und nutzt dafür gezielt die Nachfragemacht der öffentlichen Hand.
Der am 3. Juni 2026 vorgelegte CADA-Vorschlag befindet sich derzeit im ordentlichen EU-Gesetzgebungsverfahren.
CADA soll europäische Cloud- und KI-Kapazitäten stärken und einen unionsweiten Souveränitätsrahmen für Cloud-Dienste schaffen. Der Entwurf sieht vier Union Assurance Levels vor, die neben Niederlassung und Datenstandort auch Kontrolle, Drittstaateneinflüsse, Personal, Cybersicherheit und Softwareabhängigkeiten erfassen. Gegenstand der Bewertung ist der konkrete Cloud-Dienst, nicht automatisch ein darauf betriebenes KI-System oder dessen Modell.
Für höhere Levels genügen eine Niederlassung und ein Datenstandort in der EU allein nicht. Zusätzlich kommt es darauf an, welche Kontrollbefugnisse, Administrationswege und Softwareabhängigkeiten außerhalb der Union verbleiben und wie diese abgesichert werden.
Das beschaffungsrechtliche Kernmodell steht in Art. 29 und 30. Mitgliedstaaten und Unionseinrichtungen sollen bestimmte staatliche Tätigkeiten nach Datenkritikalität, Drittstaatenzugriffsrisiken und Ausfallfolgen bewerten und ihnen das erforderliche Level zuordnen. Für besonders relevante Tätigkeiten soll daraus Level 2, 3 oder 4 folgen, für andere staatliche Tätigkeiten grundsätzlich Level 1. Öffentliche Auftraggeber dürften Cloud-Dienste für ihre ausschließliche Nutzung dann grundsätzlich nur noch auf dem erforderlichen Level beschaffen.
Für Vergabestellen hätte das drei unmittelbare Folgen.
Bei eigenen Vergabeverfahren müssten sie als Mindestanforderung vorgeben, dass der konkret angebotene Cloud-Dienst auf dem erforderlichen CADA-Level anerkannt ist, und den entsprechenden Nachweis prüfen. Markterkundung und Dokumentation würden wichtiger, weil Ausnahmen nur unter engen Voraussetzungen zulässig sein sollen. Außerdem könnte die Kommission gemeinsam mit mindestens zwei Mitgliedstaaten europaweite Rahmenverträge und dynamische Beschaffungssysteme für Cloud, Software und KI einrichten, aus denen teilnehmende Unionsstellen und öffentliche Auftraggeber beziehen könnten.
DVC, Deutschland-Stack, MDD und EVB-IT Cloud würden dadurch nicht ersetzt. Sie könnten den europäischen Rahmen durch Dienstestandards, Architekturvorgaben, Bezugswege und Anforderungen an den konkreten Einsatz ergänzen.
CADA könnte damit die anerkannte Souveränität des Cloud-Dienstes abbilden. Konfigurierte Souveränität entsteht durch Architektur und Vergabegestaltung, ausgeübte Souveränität durch klare Zuständigkeiten, belastbare Prozesse und eine praktisch umsetzbare Exit-Fähigkeit im Betrieb.
Vier Levels könnten künftig den Markt strukturieren. Ob daraus ein souveräner staatlicher Betrieb entsteht, entscheidet sich weiterhin in der Vergabevorbereitung und im Betrieb. 🩵