EU-Tech-Souveränitätspaket: Analyse der Beschaffungskomplexität

Etwa 80 Prozent der jährlichen professionellen Cloud-Ausgaben in der EU fließen derzeit an amerikanische Anbieter – das geht aus der Lab Space-Analyse der Cloud Security Alliance hervor. Am 3. Juni 2026 veröffentlichte die Europäische Kommission ihr Europäisches Technologiesouveränitätspaket, und das erklärte Ziel ist es, dieses Verhältnis zu verändern, indem die Infrastruktur unter jedem öffentlichen Technologieauftrag auf dem Kontinent neu gestaltet wird. Der Plan der Kommission, die europäische Rechenzentrumskapazität in den nächsten fünf bis sieben Jahren zu verdreifachen, ist in erster Linie keine Geschichte über Bauzeiten. Es ist eine Geschichte über die Compliance-Architektur, durch die Käufer und Bauherren sich jetzt zurechtfinden müssen – noch bevor diese Rechenzentren überhaupt existieren.

Was das Paket tatsächlich enthält

Das Europäische Technologiesouveränitätspaket ist kein einzelnes Gesetz. Laut der eigenen Digitalstrategie-Seite der Europäischen Kommission umfasst es vier eigenständige Komponenten: zwei Legislativvorschläge – den Cloud and AI Development Act (CADA) und den Chips Act 2.0 – sowie zwei nicht-legislative Initiativen: eine EU-Open-Source-Strategie und eine Strategische Roadmap für Digitalisierung und KI im Energiebereich. Die Analyse von Covington and Burling auf Inside Global Tech beschreibt dies als einen „Ökosystem"-Ansatz, der den gesamten Technologie-Stack umspannt – von Chips und Infrastruktur bis hin zu Software, Cloud und künstlicher Intelligenz.

Legislativvorschläge müssen mit dem Europäischen Parlament und dem Rat ausgehandelt werden, bevor sie verbindliches Recht werden; die nicht-legislativen Initiativen beinhalten keine unmittelbaren Compliance-Fristen. Die praktische Konsequenz: Bauherren arbeiten gegen einen noch offenen Zeitplan. Die politische Richtung ist klar, aber die durchsetzbaren Verpflichtungen befinden sich noch auf dem Weg durch ein mehrjähriges Gesetzgebungsverfahren, das – wie das Parliament Magazine anmerkte – von Kritikern, darunter MdEP Axel Voss, als viel zu lang bezeichnet wurde.

CADA und das vierstufige Souveränitätsrahmenwerk

CADA ist der Bereich, in dem die Beschaffungskonsequenzen konkret werden. Die Lab Space-Analyse der Cloud Security Alliance beschreibt CADA als ein formales vierstufiges Souveränitätssicherungsrahmenwerk, das regelt, welche Cloud-Dienste sensible Arbeitslasten des öffentlichen Sektors verarbeiten dürfen – mit direkten nachgelagerten Konsequenzen für private Unternehmen, die öffentlichen Stellen Leistungen liefern, sich mit ihnen integrieren oder unter Vertrag für sie tätig sind.

Dieser letzte Punkt ist von erheblicher Bedeutung: Die Verpflichtungen sind nicht auf Hyperscaler beschränkt, die auf Regierungsausschreibungen bieten. Jedes Team, dessen Produkt in einer Lieferkette sitzt, die eine öffentliche Stelle berührt, muss verstehen, wo sein Cloud-Fußabdruck innerhalb dieser vierstufigen Hierarchie liegt.

TechPolicy.Press berichtete, dass das Paket Pläne enthält, Cloud-Unternehmen, die die EU-Souveränitätskriterien nicht erfüllen, von sensiblen Regierungsaufträgen auszuschließen, und Brüssel Notfallbefugnisse einräumt, um die Chipproduktion in Krisenzeiten zu priorisieren – einschließlich der Möglichkeit, bestehende Handelsverträge außer Kraft zu setzen. Die CSA-Analyse weist außerdem darauf hin, dass CADA nicht isoliert wirkt: Es trifft auf eine bereits bestehende, verzahnte Regulierungsarchitektur, zu der die Datenwechselanforderungen des EU Data Act (gültig ab September 2025), die Cybersicherheitsvorgaben von NIS2 und das ICT-Drittparteienaufsichtsregime von DORA für den Finanzsektor gehören.

Wo die Durchsetzungsfragen noch offen sind

Die Berichterstattung des Parliament Magazine vom 8. Juni 2026 ist die nützlichste Korrektur gegenüber jeder Lesart des Pakets als vollständig geklärter Politik. Die Kommission überließ es den Mitgliedstaaten, wie die geplanten „Made in Europe"-Beschaffungsregeln tatsächlich durchgesetzt werden sollen, und das Paket klärt nicht, woher die Finanzierung für den erforderlichen Infrastrukturwandel kommen soll. Das sind keine unbedeutenden Umsetzungsdetails: Durchsetzungsfragmentierung in 27 Mitgliedstaaten ist genau die Bedingung, die Compliance-Planung für grenzüberschreitend tätige Teams erschwert.

Die Stratfor-Analyse stellt fest, dass interne EU-Spaltungen und die begrenzte Industriekapazität des Blocks die kurzfristige Wirkung des Pakets wahrscheinlich einschränken werden, und dass europäische Unternehmen damit rechnen sollten, während des Übergangs zusätzliche Wettbewerbskosten zu absorbieren.

Die Open-Source-Komponente fügt eine weitere Dimension hinzu. Die EU-Open-Source-Strategie ist nicht-legislativ, was bedeutet: keine direkte Compliance-Frist. Dennoch sollten Teams, die für den öffentlichen Sektor beschaffen oder an ihn verkaufen, sie als Richtungssignal für künftige Beschaffungspräferenzen betrachten – besonders in Bildungs- und Forschungskontexten, wo Open-Source-Alternativen zunehmend vorgeschrieben werden.

Was Bauherren und Käufer tun sollten, bevor das Gesetz in Kraft tritt

Die Lücke zwischen einem vorgeschlagenen Paket und dem Zeitpunkt, an dem seine Verpflichtungen durchsetzbar werden, ist genau das Zeitfenster, in dem heute getroffene Architekturentscheidungen später teuer zu revidieren sind. Die CSA Lab Space-Analyse beschreibt dies als eine „Compliance-Kaskade": Organisationen, die auf den endgültigen Gesetzestext warten, bevor sie Lieferantenverträge, Datenschutzkonfigurationen oder Unterauftragsverarbeitungsvereinbarungen anpassen, werden Migrationen unter Termindruck neu kalkulieren müssen – statt unter Planungsbedingungen.

Drei konkrete Fragen lohnt es sich, jetzt zu beantworten.

Erstens: Umfasst Ihr Cloud-Fußabdruck Dienste, die öffentliche Daten verarbeiten – direkt oder über eine Lieferkette? Falls ja, wird die Zuordnung dieser Dienste zum vierstufigen CADA-Rahmenwerk – auch in seiner Vorschlagsform – die Verträge mit dem höchsten Risiko sichtbar machen.

Zweitens: Enthalten Ihre Lieferantenverträge die Wechselbestimmungen, die gemäß der CSA-Analyse bereits seit September 2025 im Rahmen des EU Data Act verpflichtend sind? Falls nicht, handelt es sich um eine aktuelle Verpflichtung – keine zukünftige.

Drittens: Behandeln Ihre Architekturentscheidungen Sovereign-Cloud- und Open-Source-Compliance als optionale Ergänzungen oder als erstrangige Designanforderungen? Der Rahmen der Kommission – wie er in den Analysen von TechPolicy.Press und Global Policy Watch beschrieben wird – besagt, dass diese strukturelle, keine kosmetische Anforderungen sind.

Das Gesetzgebungsverfahren für CADA und Chips Act 2.0 wird Jahre dauern. Doch das Beschaffungssignal wird bereits von öffentlichen Käufern auf dem gesamten Kontinent gelesen, und Lieferantenlisten werden bereits jetzt nach Souveränitätskriterien bewertet. Teams, die dies als Zukunftsproblem behandeln, treffen damit in der Praxis eine Architekturentscheidung.

Als nächstes gilt es zu beobachten, wie die Mitgliedstaaten die „Made in Europe"-Beschaffungspräferenz umsetzen – denn dort wird die Durchsetzungsvarianz am stärksten ausgeprägt sein, und Käufer aus Bildung, Forschung und öffentlicher Verwaltung werden den direktesten Druck spüren.