EU-Tech-Souveränität als Resilienz: Builder-Analyse

Jedes industriepolitische Paket der EU bringt ein Vokabelproblem mit sich. Die Substantive sind groß, die Verben weich, und irgendwo in den Anhängen entdeckt ein Beschaffungsteam, dass es nun eine Karte der Lieferantenabhängigkeiten braucht. Das Tech-Souveränitätspaket der Europäischen Kommission vom 3. Juni 2026 ist ein gutes Beispiel: Politisch geht es um Autonomie; operativ geht es darum, ob Ihre Abhängigkeiten bei Cloud, KI, Chips, Software und Energietechnologie einer Prüfung standhalten. Für Entwicklerinnen und Entwickler ist es sinnvoll, über das Souveränitäts-Branding hinauszulesen. Die Frage ist nicht, ob Europa per Pressemitteilung selbstversorgend wird. Die Frage ist, welche Anbieter Resilienz, Sicherheit, Ersetzbarkeit und Rückverfolgbarkeit nachweisen müssen, bevor ein Kunde, Prüfer oder öffentlicher Käufer den nächsten Vertrag unterschreibt.

Was die Kommission tatsächlich auf den Tisch gelegt hat

Global Policy Watch berichtet, dass die Europäische Kommission am 3. Juni 2026 ein Tech-Souveränitätspaket veröffentlicht hat, das auf das abzielt, was die Kommission als Europas technologische Abhängigkeiten von außereuropäischen Anbietern beschreibt. Das Paket umfasst den gesamten Tech-Stack, von Chips und Infrastruktur bis hin zu Software, Cloud und künstlicher Intelligenz, und nutzt einen Ökosystemansatz, um heimische Fähigkeiten zu stärken und zugleich die Nachfrage in nachgelagerten Sektoren anzukurbeln.

Das ist Sprache der Industriepolitik, weist aber auf sehr gewöhnliche operative Fragen hin: Wer liefert die Rechenleistung, woher kommt der Code, und was passiert, wenn ein Anbieter nicht mehr verfügbar ist. Dieselbe Übersicht von Global Policy Watch nennt vier Bestandteile. Zwei davon sind Gesetzgebungsvorschläge: der Cloud and AI Development Act, bekannt als CADA, und Chips Act 2.0. Zwei sind nicht legislative Initiativen: die EU-Open-Source-Strategie und ein strategischer Fahrplan für Digitalisierung und KI im Energiesektor. Die eigenen Materialien der Europäischen Kommission zur Tech-Souveränität rahmen das Paket rund um digitale Autonomie und Resilienz ein, und genau diese Formulierung sollten Anbieter unterstreichen. Autonomie ist das politische Ziel; Resilienz ist die Compliance-Arbeit.

Souveränität ist das Etikett, Resilienz ist die Arbeit

Die Analyse von Inside Privacy ist nützlich, weil sie das Paket aus dem Büro der Redenschreiber heraus und in das Risikoregister hineinholt. Die Kanzlei ordnet die Maßnahmen in den Kontext von Cloud-Computing, Cybersicherheit, Datensicherheit, elektronischen Kommunikationsnetzen und -diensten, aufkommenden Technologien und IoT ein. Das zeigt, wer zuerst aufmerksam sein sollte: Infrastrukturanbieter, Cloud- und KI-Anbieter, Hersteller vernetzter Geräte, Anbieter für Energiedigitalisierung und Kunden, die bei ihnen einkaufen.

Der Pflichtenkatalog ist noch keine saubere Checkliste mit endgültigen Terminen und Bußgeldtabellen. Trotzdem ist die Richtung aus anderen EU-Technologiedossiers vertraut. Anbieter sollten mit mehr Fragen zu Konzentrationsrisiken, Abhängigkeiten von Drittländern, Vorfallresilienz, Prüfbarkeit und dazu rechnen, ob ein Käufer den Anbieter wechseln kann, ohne das Produkt von Grund auf neu aufzubauen. Nichts davon erfordert, auf einen endgültigen Rechtsakt zu warten. Es erfordert die langweiligen Dokumente, von denen Unternehmen behaupten, sie hätten sie bereits: Architekturpläne, Unterauftragsverarbeiter, Sicherheitskontrollen, Wiederherstellungspläne und vertragliche Ausstiegsbedingungen.

Die Compliance-Falle besteht darin, alle vier Teile gleich zu behandeln

TwoBirds veröffentlichte am 23. Juni 2026 eine Übersicht über das Paket. Das erinnert daran, dass es sich nicht um ein einziges Instrument mit einem einzigen Compliance-Datum handelt. CADA und Chips Act 2.0 sind Gesetzgebungsvorschläge, während die Open-Source- und Energiepunkte politische Initiativen sind. Wenn Ihre interne Folie sagt, die EU habe vier neue Tech-Souveränitätsgesetze verabschiedet, löschen Sie die Folie, bevor die Rechtsabteilung sie sieht. Genauigkeit ist günstiger als Nachschulung.

NGI Commons stellte das Paket als kommenden Rahmen für 2026 vor, der die Abhängigkeit von außereuropäischen Technologieanbietern verringern und zugleich Kapazitäten in Halbleitern, Cloud-Computing, künstlicher Intelligenz und Open-Source-Software stärken soll. Außerdem beschrieb es die Initiative als darauf ausgelegt, bestehende Regeln zu vereinfachen und aufeinander abzustimmen, aufbauend auf Mario Draghis Wettbewerbsfähigkeitsbericht von 2024 und dem Wettbewerbsfähigkeitskompass der EU. Das ist wichtig, weil das Paket nicht nur neue Pflichten schaffen könnte. Es könnte auch verändern, wie bestehende Regeln, Beschaffungserwartungen und Förderprioritäten rund um Resilienz zusammenlaufen.

Für Anbieter lautet die praktische Unterscheidung: Ein Gesetzgebungsvorschlag ist ein bewegliches Ziel, während eine Strategie das Kundenverhalten sofort beeinflussen kann. Öffentliche Käufer und regulierte Unternehmen müssen nicht auf einen endgültigen CADA-Text warten, um zu fragen, ob ein KI-Cloud-Anbieter europäische Kapazitäten, Open-Source-Governance oder glaubwürdige Ausweichlösungen hat. Das Gesetz kommt vielleicht später; der Fragebogen kommt oft zuerst.

Was Entwickler tun sollten, bevor Anwälte höflich in Panik geraten

Inside Global Tech beschreibt das Paket als eines, das Chips, Infrastruktur, Software, Cloud und künstliche Intelligenz abdeckt. Das ist breit genug, um Unternehmen zu erfassen, die sich selbst nicht als Souveränitätsakteure sehen. Ein Anbieter von Entwicklerwerkzeugen mit europäischen Unternehmenskunden kann Teil der Diskussion sein, weil er von Cloud-Infrastruktur abhängt. Ein IoT-Anbieter kann betroffen sein, weil vernetzte Geräte Risiken für Datensicherheit und Resilienz schaffen. Ein KI-Anbieter kann betroffen sein, weil Modellhosting, Trainingsinfrastruktur und Kundendatenflüsse auf dem Stack anderer aufsetzen.

Der sinnvolle erste Schritt ist kein neuer Slogan. Es ist ein Abhängigkeitsregister, das mit Produkten, Kunden und Rechtsräumen verknüpft ist. Für jeden kritischen Lieferanten sollten Entwickler wissen, welche Dienstleistung erbracht wird, wo ein Ausfall schaden würde, welche Alternativen es gibt, welche vertraglichen Ausstiegsrechte gelten und welche Sicherheitsnachweise mit Kunden geteilt werden können. Wenn das nach Lieferantenmanagement klingt: ja. EU-Technologiepolitik hat die Angewohnheit, Governance-Ambitionen in Beschaffungspapierarbeit zu verwandeln.

Als Nächstes ist zu beobachten, ob die Gesetzgebungsvorschläge konkreter zu Pflichten bei Cloud- und KI-Entwicklung werden und wie Chips Act 2.0 neben den nicht legislativen Open-Source- und Energiemaßnahmen positioniert wird. Bis dahin sollte EU-Tech-Souveränität als Frühwarnsystem für Resilienzarbeit behandelt werden. Die Unternehmen, die Fragen zu Abhängigkeiten, Cybersicherheit und Prüfungen gelassen beantworten können, werden weniger Zeit damit verbringen, Klarheit von Regulierungsbehörden zu begrüßen. Das bedeutet wie üblich: Die Anwälte haben das Problem zuerst gefunden.