Sie sind IT-Leiter bei einer deutschen Krankenkasse, DORA- und BaFin-pflichtig. Ihr Vorstand hat soeben die Ankündigung der EU-Kommission zum am Dienstag, 3. Juni 2026, angenommenen Tech-Souveränitätspaket weitergeleitet, mit einem Satz: Was bedeutet das für unsere Cloud-Beschaffung 2027? Die Ausschreibung läuft auf 18 Millionen Euro über fünf Jahre. Ihr CIO will bis Freitag eine einseitige Notiz.

Der vorgeschlagene Cloud and AI Development Act (CADA) ist der Teil des Pakets, der Ihre Beschaffung am direktesten berührt. Er wird Cloud-Anbieter in vier Souveränitätsstufen einordnen. Die höchste Stufe — nach der rechtlichen Logik des Vorschlags — ist für US-ansässige Anbieter nicht erreichbar, weil der CLOUD Act einen strukturellen Konflikt erzeugt. Finanz-, Justiz- und Gesundheitsdaten von Regierungen und Organisationen des öffentlichen Sektors werden auf Infrastruktur der höchsten Souveränitätsstufe laufen müssen. Der Vorschlag ist eine Verordnung unter Artikel 114 AEUV, die unmittelbar anwendbare Binnenmarktwirkung erzeugt. Wenn er unverändert verabschiedet wird, können die Mitgliedstaaten seine Anwendung nicht individuell schwächen.

Er wird nicht unverändert verabschiedet, und er wird nicht bis 2027 verabschiedet. Der Trilog wird 18 bis 24 Monate dauern. Die erste praktische Auswirkung auf Ihre Beschaffung ist nicht die Verordnung selbst; es ist die Ausschreibungssprache, auf die kluge Bieter sich bereits vorbereiten. Ihre Ausschreibung über 18 Millionen Euro, die im Herbst 2026 schließt, wird von Bietern gelesen, die sich für die CADA-Klassifikation positionieren, die sie für 2028 oder 2029 erwarten. Die Bieterantworten zeigen Ihnen, wer die künftige Regulierung ernst nimmt und wer nicht.

Dieser Artikel ist die Prüfung dessen, was CADA vorschlägt, was die vier Stufen tatsächlich erfordern, was Ihre Vergabeakte schon über die Richtung der Verordnung annehmen sollte, und der spezifischen Frage, die die einseitige Notiz Ihres CIOs vor Schließung der Haushaltsrunde beantworten muss.

Was das Paket vorschlägt

Das Tech-Souveränitätspaket enthält vier Instrumente. Das erste ist der Cloud and AI Development Act (CADA) mit dem Souveränitäts-Klassifikationsrahmen. Das zweite ist der Chips Act 2.0, der die Verordnung von 2023 aktualisiert, um den EU-Zielanteil an der globalen Chipproduktion anzuheben. Das dritte ist eine Open-Source-Strategie, die Open Source als strukturelles Element der EU-Digitalpolitik formalisiert. Das vierte ist eine strategische Roadmap zur Digitalisierung und KI im Energiesektor, vorgestellt von Kommissar Dan Jørgensen gemeinsam auf dem Podium mit Kommissarin Henna Virkkunen.

Virkkunens Rahmung des Pakets auf der Pressekonferenz: “We want to be sure nobody has a kill switch.” — niemand soll einen Kill-Switch besitzen. Ursula von der Leyen umrahmte die Politik: “We cannot afford to depend on others for the technologies that keep our hospitals running, our energy grids stable and our services secure.” — Europa könne sich Abhängigkeit von anderen bei Technologien, die Krankenhäuser betreiben, Energienetze stabil halten und Dienste sicher machen, nicht leisten. Die politische Rahmung war Souveränität. Die Beschaffungsrahmung — die Ihre Ausschreibung adressieren muss — ist Klassifikation, verpflichtende Stufenanforderungen und die Rechtsgrundlage unter Artikel 114 AEUV, die der Verordnung unmittelbar anwendbare Binnenmarktwirkung verleiht.

Die Cloud-Komponente ist für heutige Beschaffungsentscheidungen am substantiellsten. Der Vier-Stufen-Rahmen von CADA ist eine abgestufte Leiter struktureller Trennung von Nicht-EU-Kontrolle: Stufe 1 deckt Mindestansprüche an Datenresidenz; Stufe 2 etabliert operative Unabhängigkeit von Nicht-EU-Kontrolle; Stufe 3 erfordert vollständige architektonische Trennung von Nicht-EU-Abhängigkeiten; Stufe 4 beansprucht überprüfbare Kontinuität unter feindseligen geopolitischen Bedingungen. Die Pflicht zu Stufe 3 für Finanz-, Justiz- und Gesundheits-Regierungsdaten ist der Teil, der Ihre Beschaffung direkt betrifft. Benannte nationale Behörden werden durchsetzen.

Was die vier Stufen tatsächlich erfordern, in operativer Sprache

Der Vorschlagstext der Kommission beschreibt die Stufen in Regulierungssprache. Die operative Übersetzung ist das, was Ihr Architekturteam braucht.

Stufe 1 ist der Datenresidenz-Anspruch. Ihr Anbieter verpflichtet sich vertraglich, die Daten auf EU-Boden zu halten. Das ist es, was die meisten aktuellen europäisch-souveränen Cloud-Angebote beanspruchen — Microsoft Azure Sovereign Cloud, AWS European Sovereign Cloud, Google Cloud Sovereign — und was die meisten dieser Angebote liefern. Stufe 1 ist mit dem Betrieb durch US-ansässige Anbieter vereinbar. Die meisten bestehenden M365-Verträge würden mit den bereits eingerichteten Datenresidenz-Klauseln Stufe 1 ohne architektonische Änderung erfüllen.

Stufe 2 ergänzt operative Unabhängigkeit von Nicht-EU-Kontrolle. Ihr Anbieter verpflichtet sich nicht nur zur EU-Residenz, sondern zu operativen Entscheidungen, die von EU-ansässigen Einheiten getroffen werden. Das ist die Stufe, auf der die Sovereign-Cloud-Varianten der US-ansässigen Anbieter je nach Vertragsstruktur qualifizieren oder nicht qualifizieren. Die aktuelle Architektur von Microsoft Sovereign Cloud ist darauf zugeschnitten, Stufe 2 zu qualifizieren, indem operative Kontrolle über Microsofts irische Tochter mit einer polnischen Datenresidenz-Option strukturiert wird. Ob diese Qualifikation die Trilog-Auslegung von “operativer Unabhängigkeit” überlebt, ist eine der offenen Fragen.

Stufe 3 erfordert vollständige architektonische Trennung von Nicht-EU-Abhängigkeiten. Das ist die Stufe, von der die rechtliche Logik des Vorschlags US-ansässige Anbieter ausschließt. Der CLOUD Act erzeugt einen strukturellen Konflikt, den keine Vertragsstruktur beseitigen kann. Stufe 3 ist das Reich von OVHcloud, Outscale, StackIT von Schwarz Digits, IONOS, T-Systems Open Telekom Cloud und der KIPITZ-Plattform der Bundesverwaltung. Für Ihre Krankenkassen-Beschaffung ist Stufe 3 die substantielle Einschränkung: Finanz- und Gesundheitsdaten-Workloads werden nach dem aktuellen Vorschlag dort laufen müssen.

Stufe 4 beansprucht überprüfbare Kontinuität unter feindseligen geopolitischen Bedingungen. Die Kriterien für Stufe 4 sind im öffentlichen Vorschlag noch nicht aufgeführt. Kontinuität unter Feindseligkeit ist die Eigenschaft, die eine Organisation hat, wenn sie weiterbetrieben werden kann, falls ein einzelner Anbieter, einschließlich des primären, unverfügbar wird. Operativ erfordert Stufe 4 Multi-Anbieter-Portabilität, EU-externe Spiegel-Infrastruktur für Quell-Verteilungs-Abhängigkeiten und einen Kontinuitätsplan, der geübt wurde. Nach der Arbeitsdefinition, die der Vorschlagstext nahelegt, ist Stufe 4 die Eigenschaft, die noch kein aktueller europäischer Anbieter glaubhaft beanspruchen kann. Die Kriteriendefinition wird zu den umstrittensten Elementen des Trilogs zählen.

Was Ihre Vergabeakte 2026 annehmen sollte

Ihre Ausschreibung über 18 Millionen Euro, die im Herbst 2026 schließt, wird in ein Regulierungsumfeld vergeben, das noch nicht existiert. Drei Annahmen, in die Ausschreibung und die Vergabeakte geschrieben, werden bestimmen, ob der 2026 vergebene Vertrag CADA überlebt, wenn CADA landet.

Nehmen Sie Stufe 3 für Gesundheits- und Finanzdaten-Workloads an. Selbst wenn CADA im Trilog abgeschwächt wird, konvergieren die deutsche Bundesbeschaffungsebene, die BaFin-Aufsichtsebene und der DORA-Rahmen auf der Annahme, dass sensible Finanz- und Gesundheitsdaten nicht auf US-ansässiger Cloud-Infrastruktur laufen sollten. Eine Beschaffung 2026, die Ihre Krankenkassen-Kernsysteme für fünf Jahre in ein US-Anbieter-Stufe-1-Angebot festschreibt, wird ab 2028 unter einem Regulierungsrahmen betrieben, der ihre Migration will. Bauen Sie die Migrationsoption in den Vertrag von 2026 ein; Ausstiegsklauseln sind bei Unterzeichnung billiger zu verhandeln als beim Nachtrag.

Verlangen Sie von Bietern die Offenlegung ihres CADA-Stufen-Fahrplans. Ihre Ausschreibung sollte jeden Bieter formell fragen, gegen welche CADA-Stufe er bis 2028 zertifizieren zu können prognostiziert und welche architektonischen Änderungen er sich verpflichtet hat, um diese Stufe zu erreichen. Bieter mit ernsthaftem Fahrplan werden schriftlich mit benannten technischen Änderungen antworten. Bieter mit einer Positionierungsantwort werden Marketingsprache liefern. Der Unterschied ist das informativste Datum, das Ihr Vergabeverfahren extrahieren wird.

Bauen Sie EVB-IT- und §58 VgV Nr. 4-Verweise jetzt in die Ausschreibung ein. Die Bundesvergaberecht-Ebene unterstützt bereits die Sprache, die Sie brauchen werden, wenn CADA landet. Die Zitierung von §58 VgV Nr. 4 und der EVB-IT-Open-Source-Vertragsbedingungen in der Ausschreibung 2026 bewirkt zweierlei: Sie setzt Präzedenz in Ihrer eigenen Vergabeakte und signalisiert Bietern, dass Ihre Vergabestelle mit der föderalen Souveränitätsebene engagiert ist, statt auf sie zu reagieren.

Was CADA nicht adressiert

Die vier Stufen decken Cloud-Infrastruktur und bestimmte Kategorien von Regierungsdaten ab. Sie adressieren im aktuellen Vorschlag nicht die Schichten unterhalb der Cloud.

Code-Hosting-Infrastruktur bleibt überwiegend US-gehostet. Der Quellcode des europäischen Souveränitätsstapels liegt auf GitHub — Microsoft-eigen. Die Stufe-3-Anforderung von CADA an architektonische Trennung von Nicht-EU-Abhängigkeiten erstreckt sich bei strenger Lesart des Vorschlagstextes nicht auf die Build- und Verteilungsinfrastruktur der Open-Source-Komponenten, auf denen die Cloud läuft. Das ist dieselbe Lücke, die der Euro-Office-Start andernorts sichtbar macht, und CADA schließt sie aktuell nicht.

Kryptographische Vertrauensketten. Zertifizierungsstellen und DNS-Root-Server-Betrieb bleiben US-dominiert. Die Souveränitätsstufen von CADA führen Vertrauensketten-Kriterien nicht explizit auf. Ein als Stufe 3 klassifizierter Anbieter kann immer noch von Zertifizierungsstellen abhängen, deren Root-Schlüssel US-kontrolliert sind.

CI/CD und Paketverteilung. GitHub Actions, npm, PyPI, Docker Hub, Maven Central — die Build-, Paket- und Verteilungsinfrastruktur, von der alles abhängt, bleibt überwiegend US-gehostet. Ein Anbieter kann auf der Laufzeit-Dimension Stufe 3 und auf der Lieferketten-Dimension Stufe 1 sein. CADA unterscheidet das aktuell nicht.

Das ist keine Kritik am entworfenen Umfang. Es ist die Beobachtung, dass CADA für sich genommen Lieferketten-Souveränität auf den Schichten unterhalb der Cloud-Infrastruktur nicht liefert. Ihre Vergabeakte sollte die Grenze explizit anerkennen. Eine Leserin, die CADA als Abschluss des europäischen Souveränitätsprojekts feiert, liest etwas, was der Vorschlag nicht beansprucht — und was Ihr CIO vor dem nächsten Regulierungszyklus schriftlich benannt sehen sollte.

Was dieser Artikel nicht ist

Es ist keine Behauptung, CADA werde wie entworfen verabschiedet — der Trilog wird den Vorschlag modifizieren; die Frage ist, wie stark. Es ist keine Behauptung, die Open-Source-Strategie sei leer — sie rahmt OSS strukturell; ob sie Förderung erzeugt, ist eine separate Frage, entschieden im nächsten Mehrjährigen Finanzrahmen, nicht im Juni 2026. Es ist keine Behauptung, die europäische Souveränität sei mit dem Paket geklärt. Das Paket adressiert eine Schicht der Abhängigkeit, lässt andere unberührt und hängt von einem Gesetzgebungsverfahren ab, das bis 2027 oder 2028 läuft.

Die Notiz, die Ihr CIO bis Freitag braucht

Die einseitige Notiz sollte drei Behauptungen aufstellen und zwei Maßnahmen empfehlen.

Die drei Behauptungen: CADA wird bis 2028 oder 2029 Gesetz sein; die wahrscheinlichste Stufe-3-Pflicht für Finanz- und Gesundheits-Workloads wird den Trilog im Wesentlichen in der vorgeschlagenen Form überleben; die Lieferketten-Schicht wird in diesem Zyklus von CADA nicht adressiert und erfordert separate Beschaffungsaufmerksamkeit.

Die zwei empfohlenen Maßnahmen: Schreiben Sie die Herbst-2026-Ausschreibung mit verpflichtender Offenlegung des CADA-Stufen-Fahrplans und des Zeitplans architektonischer Trennung; bauen Sie Lieferketten-Audit und Codeberg-oder-äquivalent-Spiegelinfrastruktur auf Kundenseite auf, unabhängig vom letztlichen Anbieter, weil diese Arbeit unabhängig davon erforderlich ist, gegen welche CADA-Stufe der Anbieter letztlich zertifiziert.

Eine Notiz, die diese Behauptungen aufstellt und diese Maßnahmen empfiehlt, liest sich auf Vorstandsebene als Engagement mit der Regulierungsrichtung. Eine Notiz, die sagt “die Lage entwickelt sich, wir beobachten”, liest sich als die Art Vorbereitung, die eine BaFin-Compliance-Prüfung 2029 nicht überlebt. Die Ausschreibung Herbst 2026 ist die Akte, die in dieser Prüfung zitiert wird, wenn es gut läuft, oder über die in der Regulierungspresse geschrieben wird, wenn es nicht gut läuft.

Quellen

Themenübersicht: Digitale Souveränität in Europa Verwandte Artikel: Wie §58 VgV Nr. 4 zu zitieren ist, Der Anbieter hat den Test geschrieben