Während der Cloud and AI Development Act seinen Weg durch Parlament und Rat nimmt, hat die Europäische Kommission nicht gewartet: In ihrer eigenen Ausschreibung für eine souveräne Cloud hat sie ein Raster von Souveränitätsstufen angewandt, alle ausgeschlossen, die das Minimum verfehlten, und alles an europäische Anbieter vergeben. Das Ergebnis zeigt, wie weit die „souveränen“ Angebote der Hyperscaler reichen, und was eine europäische öffentliche Einrichtung heute verlangen kann.
Was bereits geschehen ist
Im April 2026 hat die Kommission einen auf sechs Jahre angelegten Rahmenvertrag über 180 Millionen Euro, offen für alle EU-Institutionen und -Agenturen, auf vier Konsortien aufgeteilt: Post Telecom mit OVHcloud und Clever Cloud, STACKIT (Schwarz-Gruppe), Scaleway (Iliad-Gruppe) und Proximus mit S3NS, Clarence und Mistral. Bewertet hat sie die Angebote mit ihrem Cloud Sovereignty Framework, das Souveränität in acht messbare Ziele übersetzt und eine SEAL-Stufe von 0 bis 4 vergibt: Unternehmenskontrolle, Datenstandort, Lieferkette, technologische Offenheit, Sicherheit und Einhaltung des EU-Rechts. Nur Bieter, die SEAL-2 (Datensouveränität) erreichten, waren zugelassen. OVHcloud, STACKIT und Scaleway erreichten SEAL-3 (digitale Resilienz). Das auf S3NS, dem Joint Venture von Thales und Google, aufbauende Konsortium blieb bei SEAL-2, dem Minimum. Die Kommission wird dieselben Kriterien auf ihre eigenen digitalen Dienste anwenden und eine aktualisierte Fassung des Frameworks veröffentlichen.
Was kommt
Der Cloud and AI Development Act (CADA) wird ein solches Raster für den öffentlichen Sektor in jedem Mitgliedstaat verbindlich machen, mit vier Sicherheitsstufen und der Anforderung von Stufe 2 oder höher in kritischen Sektoren, erweiterbar auf Unternehmen, die unter NIS2 fallen. Die vier Stufen haben wir erläutert in Brüssel schlägt vier Stufen digitaler Souveränität für die öffentliche Beschaffung vor.
Der Public Procurement Act, verabschiedet am 9. September, ersetzt die Vergaberichtlinien durch eine einzige Verordnung mit einer europäischen Präferenz in allen Sektoren: mindestens 30 % der Bewertung auf nicht preisbezogene Kriterien, bei denen die europäische Herkunft zählen kann, und die Befugnis der Kommission, Ausschreibungen für Länder ohne Gegenseitigkeit zu schließen. E-Procurement-Plattformen müssen im EWR niedergelassen sein, ihre Daten dort halten und frei von externer Kontrolle sein.
Keine der beiden Regelungen ist bereits in Kraft. Der CADA wird vor 2027 keinen endgültigen Text haben und nicht vor 2028 gelten; der Public Procurement Act gilt nicht vor 2029. Ein heute unterzeichneter Cloud-Vertrag mit vierjähriger Laufzeit endet jedoch unter diesen Regeln.
Was das für Microsoft, Google und Amazon bedeutet
Die drei Hyperscaler können Stufe 1 erfüllen: Sie haben europäische Tochtergesellschaften und Datenregionen in der EU. Das ist jedoch nicht die Standardeinstellung. EU-Datenresidenz ist eine Option, die separat konfiguriert und vertraglich vereinbart werden muss, gegen Aufpreis und mit Ausnahmen wie Telemetrie, Support und einigen KI-Diensten, die Europa weiterhin verlassen. Schon die Absicherung von Stufe 1 setzt voraus, dass der Kunde weiß, was er verlangen muss, und dafür bezahlt. Das Problem beginnt bei Stufe 2. Solange die Muttergesellschaft dem CLOUD Act und FISA 702 unterliegt, kann ein aus den Vereinigten Staaten kontrollierter Anbieter nicht garantieren, dass kein ausländischer Akteur auf die Daten zugreift oder den Dienst aussetzt. Der Fall aus dem Jahr 2025, in dem das E-Mail-Konto eines Anklägers des Internationalen Strafgerichtshofs infolge von US-Sanktionen gesperrt wurde, wird in den Vorarbeiten als genau das Szenario angeführt, das Stufe 2 verhindern soll.
Ihre Antwort ist das Treuhändermodell: amerikanische Technologie, betrieben von einer europäischen Einheit, die die Schlüssel hält und das Personal beschäftigt. S3NS (Thales mit Google), Bleu (Orange und Capgemini mit Microsoft) und die AWS European Sovereign Cloud gehen alle diesen Weg. Die Ausschreibung der Kommission hat seine Grenze gezeigt: Das Konsortium, das auf S3NS setzte, blieb bei SEAL-2, dem Minimum, während die genuin europäischen Anbieter SEAL-3 erreichten. CADA-Stufe 3 lässt aus Drittländern kontrollierte Anbieter nur zu, wenn die Kommission die Rechtsordnung förmlich anerkennt und Schutzmaßnahmen nachgewiesen werden; Stufe 4 lässt keine Ausnahmen zu.
Was das für Sooma bedeutet
Sooma ist ein europäisches Unternehmen mit Kapital, Geschäftsführung und Team in der EU, das seit 2018 seine eigene Infrastruktur betreibt: Server ausschließlich in Europa, außerhalb der Reichweite von Drittlandsgesetzen. Die strukturellen Kriterien der CADA-Stufen 2 und 3, Niederlassung und Daten in der EU, eine europäische Subunternehmerkette, keine Kontrolle aus Drittländern und ein europäisches Team, sind schlicht die Art, wie Sooma schon immer gearbeitet hat. Sooma Business, mit E-Mail, Drive und Chat auf Basis von Open-Source-Software, erfüllt das Kriterium der technologischen Offenheit, das das SEAL-Rahmenwerk hoch gewichtet und das einen Vendor-Lock-in verhindert.
Die folgende Tabelle stellt die Kriterien des CADA und des SEAL-Rahmenwerks dem gegenüber, was jeder Anbietertyp heute nachweisen kann.
| Was der Auftraggeber verlangen wird | Microsoft, Google, Amazon | Sooma |
|---|---|---|
| Niederlassung und Kontrolle in der EU | Europäische Tochtergesellschaft, aber letztliche Kontrolle in den USA; nur über ein Treuhändermodell lösbar (S3NS, Bleu, AWS European Sovereign Cloud) | Europäisches Unternehmen, Kapital und Geschäftsführung in der EU |
| Daten, Backups und Logs in der EU | Europäische Regionen verfügbar; Telemetrie und Support nicht immer auf die EU beschränkt | Server ausschließlich in Europa |
| Europäische Subunternehmer | Globale Hardware-, Software- und Supportkette | Rechenzentren, Konnektivität und Lieferanten in der EU |
| Immunität gegenüber Anordnungen und Sanktionen aus Drittländern | Nicht garantierbar, solange die Muttergesellschaft dem CLOUD Act und FISA 702 unterliegt; das Treuhändermodell blieb in der Ausschreibung der Kommission bei SEAL-2 | Unterliegt ausschließlich dem Recht der EU und ihrer Mitgliedstaaten |
| Mitarbeiter mit privilegiertem Zugang mit EU-Staatsbürgerschaft (Stufe 3) | Nur in den Treuhänderangeboten, innerhalb eines begrenzten Perimeters | Team vollständig in der EU |
| Kundendaten werden nicht zum Training von KI aus Drittländern verwendet | Abhängig von Vertragsklauseln; die KI-Modelle werden aus den USA betrieben | Kein Modelltraining mit Kundendaten |
| Technologische Offenheit und ein 12-monatiger Exit-Plan | Proprietäre Formate und APIs; aufwendige Migration | Sooma Business ist Open Source; offene Formate und Portabilität |
Die Grenze der Hyperscaler ist nicht technischer, sondern rechtlicher Natur: So viel sie auch in europäische Regionen und Partner investieren, die letztliche Kontrolle und die Unterwerfung unter US-Recht ändern sich nicht. Genau dieses Kriterium stellen CADA-Stufe 3 und SEAL-3 in den Mittelpunkt.
Für öffentliche Einrichtungen und Unternehmen in kritischen Sektoren in ganz Europa ist die Botschaft einfach: Die Anbieter, die 2028 in Frage kommen werden, gibt es heute schon, und die Kriterien, um sie zu unterscheiden, sind bereits veröffentlicht.