EU Sovereignty Package: Ambitioniert, wichtig – Ausgang ungewiss

Die EU-Kommission hat am 3. Juni 2026 das European Technological Sovereignty Package vorgelegt. Was CADA konkret bedeutet, warum Sovereignty Washing das größte Risiko ist – und was Unternehmen jetzt prüfen sollten. 

Die EU-Kommission hat ihr European Technological Sovereignty Package vorgestellt. Zentrales Instrument ist der Cloud and AI Development Act (CADA) – ergänzt durch einen überarbeiteten Chips Act 2.0, eine Open-Source-Strategie und eine Roadmap zur Digitalisierung der Energieinfrastruktur. Das erklärte Ziel: Europas Abhängigkeit von nicht-europäischen Anbietern bei Halbleitern, Künstlicher Intelligenz (KI), Cloud-Infrastruktur und grundlegenden Softwarekomponenten strukturell verringern. 

Das ist überfällig. Aber es reicht noch nicht.

Was im EU Sovereignty Package drin steckt

Der Cloud and AI Development Act (CADA) ist das Kernstück des Pakets. Er führt erstmals ein einheitliches EU-weites Bewertungssystem für Cloud- und KI-Souveränität ein: vier Souveränitätsstufen, nach denen öffentliche Stellen ihre Beschaffungsentscheidungen ausrichten sollen. Wer für öffentliche Aufträge in Betracht kommen will, muss sich einem Audit unterziehen und von einem Mitgliedstaat anerkannt werden.

Parallel dazu legt CADA eine Grundlage für sogenannte „Cloud and AI Leadership Initiatives" – Förderprogramme, die Forschung und Infrastrukturkapazität stärken sollen. Das Investitionsziel: rund 320 Milliarden Euro bis 2036, aufgeteilt auf 120 Milliarden für das Halbleiter-Ökosystem und 200 Milliarden für Rechenzentrumskapazitäten. Ein Teil davon ist als private Investition geplant, kein reines Subventionsprogramm.

Chips Act 2.0 soll Europa beim Aufbau von Produktionskapazitäten für Halbleiter der nächsten Generation unterstützen. Die EU-Kommission verweist dabei auf die strukturelle Ausgangslage: Laut Draghi-Bericht bezieht die EU über 80 Prozent ihrer digitalen Produkte, Dienstleistungen, Infrastruktur und geistigen Eigentumsrechte von nicht-europäischen Anbietern. 

Das Paket ist politisch richtig – muss aber trotzdem kritisch gelesen werden

Europas strukturelle Abhängigkeit von US-Tech-Konzernen ist kein abstraktes Strategiepapierphänomen. Sie wird in der Praxis greifbar: Der US CLOUD Act verpflichtet US-Anbieter, Daten herauszugeben, über die sie „possession, custody, or control" haben – unabhängig vom physischen Speicherort (Congressional Research Service, Cross-Border Data Sharing Under the CLOUD Act, R45173). Ein Rechenzentrum in Frankfurt ändert daran nichts, wenn der Betreiber in Seattle sitzt. Ein im Auftrag des Bundesministeriums des Innern (BMI) erstelltes Gutachten der Universität zu Köln hat das 2025 nochmals schriftlich dokumentiert.

Dazu kommt das sogenannte Kill-Switch-Risiko: Wenn politische Entscheidungen dazu führen, dass ein US-Anbieter Dienste einschränkt oder sperrt, verliert eine Organisation ihren IT-Betrieb – nicht trotz, sondern wegen ihrer Cloud-Abhängigkeit. Der Internationale Strafgerichtshof (IStGH) hat das im Jahr 2025 erlebt, als der damalige Chefankläger zeitweise keinen Zugriff auf seine Microsoft-E-Mails hatte. Die Reaktion des IStGH: kompletter Wechsel auf openDesk, die Open-Source-Suite des Zentrums für Digitale Souveränität der öffentlichen Verwaltung (ZenDiS) (SecureCloud-Blog, EU-Resolution fördert digitale Souveränität: https://blog.securecloud.de/eu-resolution-f%C3%B6rdert-digitale-souver%C3%A4nit%C3%A4t).

Das CADA-Paket reagiert auf diese Realität. Die entscheidende Frage ist: reagiert es ausreichend?

Das Problem mit dem Souveränitäts-Washing

Die Kritik der europäischen Cloud-Anbieter, vereint im Verband Cloud Infrastructure Service Providers in Europe (CISPE), ist direkt: Das aktuelle CADA-Rahmenwerk riskiert, Souveränitäts-Washing zu legalisieren statt zu verhindern. Die niedrigeren Stufen des Bewertungsrahmens seien so ausgestaltet, dass US-amerikanische Hyperscaler sie erfüllen können – und sich damit offiziell als „souverän" ausweisen dürfen, obwohl sie weiterhin dem US CLOUD Act unterliegen.

CISPE fasst die Problematik pointiert zusammen: Das aktuelle Framework drohe eher Verwirrung zu stiften als Klarheit zu schaffen, weil ein „Sovereignty Score" entwickelt werde, der das Unmögliche mit dem Irrelevanten verrechne. In der Praxis könnten europäische Anbieter unter diesem System schlechter abschneiden als außereuropäische Hyperscaler – unter dem Deckmantel eines offiziellen EU-Souveränitätslabels. 

Diese Kritik ist kein Lobbyismus. Sie benennt ein strukturelles Problem: Wenn Souveränität als Marketingbegriff schützbar wird, verliert das gesamte Regulierungsprojekt seine operative Wirkung. Was zählt, ist nicht das Label, sondern die Kontrolle – über Jurisdiktion, Schlüssel, Betrieb und Exit.

Bereits das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit dem im April 2026 veröffentlichten Kriterienkatalog C3A (Criteria enabling Cloud Computing Autonomy) einen praxistauglicheren Bewertungsansatz vorgelegt, der sich stärker an prüfbaren Nachweisen orientiert als an Selbstdeklarationen.

Die zwei Risiken, die man nicht vermischen darf

In der öffentlichen Debatte werden zwei strukturell verschiedene Risiken häufig in einen Topf geworfen. Das führt zu unklaren Schutzanforderungen und falschen Maßnahmen.

Datenzugriffs-Risiko (CLOUD Act / FISA Section 702): US-Behörden können US-Anbieter zur Herausgabe von Daten verpflichten, die sich außerhalb der USA befinden. Das betrifft Vertraulichkeit und Datenhoheit. Artikel 48 der Datenschutz-Grundverordnung (DSGVO) soll das auf EU-Seite einschränken – der Europäische Datenschutzausschuss (EDPB) hat das 2025 in Leitlinien zu Art. 48 DSGVO konkretisiert (EDPB, Guidelines 02/2024 on Article 48 GDPR). Der Konflikt zwischen US-Zugriffspflichten und EU-Datenschutzlogik ist strukturell und ungelöst.

Betriebsrisiko (Kill Switch): Lizenzsperren, Exportkontrollmaßnahmen oder politisch motivierte Dienstabschaltungen können den IT-Betrieb einer Organisation vollständig lahmlegen – unabhängig davon, ob je ein Datenzugriff stattgefunden hat. Dieses Risiko betrifft operative Handlungsfähigkeit, nicht primär Compliance.

Beide Risiken sind real. Beide erfordern unterschiedliche Antworten. Ein Cloud-Anbieter, der das erste Risiko durch technische Isolierung adressiert, löst das zweite nicht zwingend – und umgekehrt. CADA adressiert beide Dimensionen in Ansätzen; die Frage ist, ob die definierten Stufen ausreichen, um tatsächlich Schutz herzustellen.

Was Unternehmen und Behörden jetzt konkret prüfen sollten

Das European Technological Sovereignty Package ist ein Gesetzgebungsvorschlag, kein geltendes Recht. Bis zur finalen Verabschiedung und Implementierung werden Jahre vergehen. Für Unternehmen und Behörden, die bereits heute mit sensiblen Daten arbeiten, zählt der aktuelle Rechts- und Risikorahmen – nicht der zukünftige.

Vier Prüffragen helfen, Schein-Souveränität von echter Kontrolle zu trennen:

- Jurisdiktion: Unterliegt der Anbieter ausschließlich europäischem Recht – oder auch dem Recht von Drittstaaten, zum Beispiel dem US CLOUD Act?

- Schlüsselkontrolle: Wer hält die Kontrolle über Verschlüsselungsschlüssel tatsächlich? „Verschlüsselt" allein bedeutet nichts, wenn der Anbieter technisch an Inhalte herankommen kann.

- Betrieb: Liegen alle Admin-Zugänge, Support-Prozesse, Updates und Incident-Response ausschließlich in Europa – ohne US-Mutterzugriff?

- Exit-Fähigkeit: Sind Datenmigration, Portabilität und Wiederanlaufszenarien schriftlich geplant und getestet?

Diese Fragen sind keine theoretische Übung. Schleswig-Holstein hat den vollständigen Austausch seines E-Mail-Systems – über 40.000 Postfächer, mehr als 100 Millionen migrierte E-Mails und Kalendereinträge – in sechs Monaten umgesetzt und dabei nach eigenen Angaben bereits über 15 Millionen Euro an Lizenzkosten gespart.

Digitale Souveränität ist eine Infrastrukturentscheidung

Das European Technological Sovereignty Package gibt die richtige politische Richtung vor. Die entscheidende Umsetzungsfrage ist, ob CADA eine Definition von Souveränität codiert, die auf tatsächlicher Kontrolle basiert – oder eine, die Hyperscalern erlaubt, das Label weiterzuführen, ohne die Substanz zu ändern.

Für Unternehmen und Behörden gilt unabhängig davon: Wer digitale Souveränität als strategische Anforderung ernst nimmt, wartet nicht auf den EU-Gesetzgeber. Er prüft heute, welche Anbieter in seiner IT-Landschaft tatsächlich kontrollierbar sind – und wo strukturelle Abhängigkeiten bestehen, die im Ernstfall zur Handlungsunfähigkeit führen können.

SecureCloud betreibt seine gesamte Infrastruktur auf eigener Hardware bei noris network AG in Nürnberg – ausschließlich in Deutschland, ohne US-Muttergesellschaft, ohne Drittstaatenzugriff, zertifiziert nach BSI Kriterienkatalog C5 und ISO 27001. Was das CADA-Paket regulatorisch anstrebt, ist in diesem Modell strukturell bereits verwirklicht.