EU-Tender: 180 Mio. € für souveräne Cloud – was jetzt zählt

Die EU-Kommission hat eine Ausschreibung über 180 Mio. € gestartet, um souveräne Cloud-Dienste für EU-Institutionen zu beschaffen – als Wettbewerb im Cloud III Dynamic Purchasing System (Cloud III DPS). Der Rahmenvertrag läuft bis zu 6 Jahre, bis zu vier Anbieter werden nach einem neuen Cloud Sovereignty Framework ausgewählt. Der Zuschlag ist für Dezember 2025 bis Februar 2026 avisiert.

„Messbare Kriterien für Souveränität sind ein Gewinn für alle: Beschaffer bekommen Klarheit, Anbieter Planungssicherheit – und Europa stärkt seine digitale Wettbewerbsfähigkeit.“
— Marcus Müller, CEO & Gründer, SecureCloud

Was die EU konkret plant – Souveränität in der Praxis

Das Cloud Sovereignty Framework macht Souveränität prüfbar. Es bewertet Anbieter entlang acht Zielen (SOV-1 bis SOV-8) – von Strategie/Jurisdiktion über Daten & KI, Operationen, Lieferkette und Technologie-Offenheit bis Security/Compliance und Nachhaltigkeit. Für jedes Ziel gelten Mindest-Assurance-Level „SEAL“ (0–4); wer die Mindeststufe verfehlt, scheidet aus. Zusätzlich fließt ein Souveränitätsscore mit vorgegebenen Gewichtungen (u. a. Operational 20 %, Supply-Chain 20 %, Technologie 15 %) in die Wertung ein. Das Framework knüpft u. a. an CIGREF Trusted Cloud, Gaia-X sowie ENISA/NIS2/DORA an.

1. Souveränität & Jurisdiktion: Kontrolle behalten
   Zentrale Anforderungen: Datenverarbeitung unter EU-Rechtsraum, BYOK/Schlüsselhoheit, klare Zugriffs- und Löschkonzepte, Audit-Nachweise. Die SEAL-Mindestlevel definieren, was in Ausschreibungen als „souverän“ gilt – und schaffen so ein Level-Playing-Field.
   Unser SecureCloud-Ansatz:
   • Datenhaltung & Betrieb in deutschen Rechenzentren, starke Mandantentrennung, Ende-zu-Ende-Verschlüsselung
   • Kundenschlüssel (BYOK), strenge Admin-Kontrollen, revisionssichere Protokolle
   • Portabilität/Exit per signierten Exporten – prüfbar und dokumentiert
   
   
2. Operationen & Lieferkette: Transparenz statt Black-Box
   Das Framework gewichtet Operations und Supply-Chain jeweils mit 20 % – inklusive Herkunft von Hardware/Firmware/Software, Update-Pfaden, Subunternehmern und Audit-Rechten. Ziel: Resilienz und Nachvollziehbarkeit im Alltag statt bloßer Zertifikatslisten.
   Was sich bewährt hat:
   • Getrennte Backups, getestete Restore-Pfade, definierte RTO/RPO
   • SLA-gesteuerte Betriebsprozesse, lückenlose Logs
   • Lieferketten-Transparenz bis auf Komponenten-Ebene
   
   
3. Technologie-Offenheit & Interoperabilität: Lock-ins vermeiden
   Gefordert sind offene Schnittstellen/Standards, nachvollziehbare Architektur und Datenportabilität. So können Public-Sector-Teams Lösungen austauschen/erweitern, ohne Souveränität einzubüßen.

Was bedeutet das für Beschaffung & IT-Leitungen? Unsere „30-Tage-Checkliste“

1. SEAL-Mindestniveaus je Verfahren festlegen (Jurisdiktion, Betrieb/Support in der EU, Audit-Pflichten).
2. Lieferkette offenlegen (Hardware/Firmware/Software-Origin, Update-Kette, Subunternehmer, Prüf-/Audit-Rechte).
3. BYOK/Schlüsselhoheit und EU-Datenresidenz vertraglich absichern; Lösch- und Exit-Prozesse dokumentieren.
4. Resilienz by Design: RTO/RPO, Restore-Tests, signierte Exporte, Notfallkommunikation.
5. Tech-Offenheit fordern: standardisierte APIs/Protokolle, Interop-Nachweise, Lock-in-Risiken bewerten.

Zeitplan & Ausblick

Die Ausschreibung setzt einen Benchmark für die EU-Cloud – besonders im öffentlichen Sektor. Der Zuschlag ist für Dez 2025–Feb 2026 angekündigt; flankierend plant Brüssel, die Rechenzentrums-Kapazität in Europa massiv auszubauen (Stichwort „AI Continent“ und geplanter Cloud & AI Development Act).

FAQ

Was ist das Cloud III DPS?

Der EU-Beschaffungskanal für Cloud-Leistungen; die aktuelle Vergabe für souveräne Cloud-Dienste läuft darüber.

Was steckt hinter dem Cloud Sovereignty Framework?

Ein Kriterien-Set mit acht Souveränitäts-Zielen, SEAL-Mindeststufen (0–4) und Souveränitätsscore zur vergleichbaren Bewertung von Anbietern.

Wann wird vergeben?

Voraussichtlich Dezember 2025 bis Februar 2026.

Warum betont die EU Daten-/Digitalsouveränität?

Sie ist Wettbewerbsfaktor und reduziert Abhängigkeiten – in Beschaffung, Betrieb und Krisenresilienz.

Nach der Ausschreibung ist vor dem Projekt

Sie möchten Anforderungen, SEAL-Level und Exit-Pfad passgenau definieren? Lassen Sie sich persönlich beraten! – In 30 Minuten zeigen wir, wie Sie das Framework in Ausschreibung und Betrieb übersetzen.