{"id":3916,"date":"2026-10-19T01:29:14","date_gmt":"2026-10-19T00:29:14","guid":{"rendered":"http:\/\/sooma.com\/pt-pt\/bruxelas-passa-a-exigir-cloud-europeia-o-que-muda-para-quem-compra-e-quem-fornece\/"},"modified":"2026-10-19T01:29:14","modified_gmt":"2026-10-19T00:29:14","slug":"bruessel-verlangt-jetzt-europaeische-cloud-was-sich-fuer-kaeufer-und-anbieter-aendert","status":"publish","type":"post","link":"https:\/\/sooma.com\/de\/bruxelas-passa-a-exigir-cloud-europeia-o-que-muda-para-quem-compra-e-quem-fornece\/","title":{"rendered":"Br\u00fcssel beginnt, europ\u00e4ische Cloud zu verlangen: Was sich f\u00fcr K\u00e4ufer und Anbieter \u00e4ndert"},"content":{"rendered":"

W\u00e4hrend der Cloud and AI Development Act seinen Weg durch Parlament und Rat nimmt, hat die Europ\u00e4ische Kommission nicht gewartet: In ihrer eigenen Ausschreibung f\u00fcr eine souver\u00e4ne Cloud hat sie ein Raster von Souver\u00e4nit\u00e4tsstufen angewandt, alle ausgeschlossen, die das Minimum verfehlten, und alles an europ\u00e4ische Anbieter vergeben. Das Ergebnis zeigt, wie weit die \u201esouver\u00e4nen\u201c Angebote der Hyperscaler reichen, und was eine europ\u00e4ische \u00f6ffentliche Einrichtung heute verlangen kann.<\/strong><\/em><\/p>\n

Was bereits geschehen ist<\/h2>\n

Im April 2026 hat die Kommission einen auf sechs Jahre angelegten Rahmenvertrag \u00fcber 180 Millionen Euro, offen f\u00fcr alle EU-Institutionen und -Agenturen, auf vier Konsortien aufgeteilt: Post Telecom mit OVHcloud und Clever Cloud, STACKIT (Schwarz-Gruppe), Scaleway (Iliad-Gruppe) und Proximus mit S3NS, Clarence und Mistral. Bewertet hat sie die Angebote mit ihrem Cloud Sovereignty Framework, das Souver\u00e4nit\u00e4t in acht messbare Ziele \u00fcbersetzt und eine SEAL-Stufe von 0 bis 4 vergibt: Unternehmenskontrolle, Datenstandort, Lieferkette, technologische Offenheit, Sicherheit und Einhaltung des EU-Rechts. Nur Bieter, die SEAL-2 (Datensouver\u00e4nit\u00e4t) erreichten, waren zugelassen. OVHcloud, STACKIT und Scaleway erreichten SEAL-3 (digitale Resilienz). Das auf S3NS, dem Joint Venture von Thales und Google, aufbauende Konsortium blieb bei SEAL-2, dem Minimum. Die Kommission wird dieselben Kriterien auf ihre eigenen digitalen Dienste anwenden und eine aktualisierte Fassung des Frameworks ver\u00f6ffentlichen.<\/p>\n

Was kommt<\/h2>\n

Der Cloud and AI Development Act (CADA) wird ein solches Raster f\u00fcr den \u00f6ffentlichen Sektor in jedem Mitgliedstaat verbindlich machen, mit vier Sicherheitsstufen und der Anforderung von Stufe 2 oder h\u00f6her in kritischen Sektoren, erweiterbar auf Unternehmen, die unter NIS2 fallen. Die vier Stufen haben wir erl\u00e4utert in Br\u00fcssel schl\u00e4gt vier Stufen digitaler Souver\u00e4nit\u00e4t f\u00fcr die \u00f6ffentliche Beschaffung vor<\/a>.<\/p>\n

Der Public Procurement Act, verabschiedet am 9. September, ersetzt die Vergaberichtlinien durch eine einzige Verordnung mit einer europ\u00e4ischen Pr\u00e4ferenz in allen Sektoren: mindestens 30 % der Bewertung auf nicht preisbezogene Kriterien, bei denen die europ\u00e4ische Herkunft z\u00e4hlen kann, und die Befugnis der Kommission, Ausschreibungen f\u00fcr L\u00e4nder ohne Gegenseitigkeit zu schlie\u00dfen. E-Procurement-Plattformen m\u00fcssen im EWR niedergelassen sein, ihre Daten dort halten und frei von externer Kontrolle sein.<\/p>\n

Keine der beiden Regelungen ist bereits in Kraft. Der CADA wird vor 2027 keinen endg\u00fcltigen Text haben und nicht vor 2028 gelten; der Public Procurement Act gilt nicht vor 2029. Ein heute unterzeichneter Cloud-Vertrag mit vierj\u00e4hriger Laufzeit endet jedoch unter diesen Regeln.<\/p>\n

Was das f\u00fcr Microsoft, Google und Amazon bedeutet<\/h2>\n

Die drei Hyperscaler k\u00f6nnen Stufe 1 erf\u00fcllen: Sie haben europ\u00e4ische Tochtergesellschaften und Datenregionen in der EU. Das ist jedoch nicht die Standardeinstellung. EU-Datenresidenz ist eine Option, die separat konfiguriert und vertraglich vereinbart werden muss, gegen Aufpreis und mit Ausnahmen wie Telemetrie, Support und einigen KI-Diensten, die Europa weiterhin verlassen. Schon die Absicherung von Stufe 1 setzt voraus, dass der Kunde wei\u00df, was er verlangen muss, und daf\u00fcr bezahlt. Das Problem beginnt bei Stufe 2. Solange die Muttergesellschaft dem CLOUD Act und FISA 702 unterliegt, kann ein aus den Vereinigten Staaten kontrollierter Anbieter nicht garantieren, dass kein ausl\u00e4ndischer Akteur auf die Daten zugreift oder den Dienst aussetzt. Der Fall aus dem Jahr 2025, in dem das E-Mail-Konto eines Ankl\u00e4gers des Internationalen Strafgerichtshofs infolge von US-Sanktionen gesperrt wurde, wird in den Vorarbeiten als genau das Szenario angef\u00fchrt, das Stufe 2 verhindern soll.<\/p>\n

Ihre Antwort ist das Treuh\u00e4ndermodell: amerikanische Technologie, betrieben von einer europ\u00e4ischen Einheit, die die Schl\u00fcssel h\u00e4lt und das Personal besch\u00e4ftigt. S3NS (Thales mit Google), Bleu (Orange und Capgemini mit Microsoft) und die AWS European Sovereign Cloud gehen alle diesen Weg. Die Ausschreibung der Kommission hat seine Grenze gezeigt: Das Konsortium, das auf S3NS setzte, blieb bei SEAL-2, dem Minimum, w\u00e4hrend die genuin europ\u00e4ischen Anbieter SEAL-3 erreichten. CADA-Stufe 3 l\u00e4sst aus Drittl\u00e4ndern kontrollierte Anbieter nur zu, wenn die Kommission die Rechtsordnung f\u00f6rmlich anerkennt und Schutzma\u00dfnahmen nachgewiesen werden; Stufe 4 l\u00e4sst keine Ausnahmen zu.<\/p>\n

Was das f\u00fcr Sooma bedeutet<\/h2>\n

Sooma ist ein europ\u00e4isches Unternehmen mit Kapital, Gesch\u00e4ftsf\u00fchrung und Team in der EU, das seit 2018 seine eigene Infrastruktur betreibt: Server ausschlie\u00dflich in Europa, au\u00dferhalb der Reichweite von Drittlandsgesetzen. Die strukturellen Kriterien der CADA-Stufen 2 und 3, Niederlassung und Daten in der EU, eine europ\u00e4ische Subunternehmerkette, keine Kontrolle aus Drittl\u00e4ndern und ein europ\u00e4isches Team, sind schlicht die Art, wie Sooma schon immer gearbeitet hat. Sooma Business, mit E-Mail, Drive und Chat auf Basis von Open-Source-Software, erf\u00fcllt das Kriterium der technologischen Offenheit, das das SEAL-Rahmenwerk hoch gewichtet und das einen Vendor-Lock-in verhindert.<\/p>\n

Die folgende Tabelle stellt die Kriterien des CADA und des SEAL-Rahmenwerks dem gegen\u00fcber, was jeder Anbietertyp heute nachweisen kann.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n
Was der Auftraggeber verlangen wird<\/th>\nMicrosoft, Google, Amazon<\/th>\nSooma<\/th>\n<\/tr>\n<\/thead>\n
Niederlassung und Kontrolle in der EU<\/td>\nEurop\u00e4ische Tochtergesellschaft, aber letztliche Kontrolle in den USA; nur \u00fcber ein Treuh\u00e4ndermodell l\u00f6sbar (S3NS, Bleu, AWS European Sovereign Cloud)<\/td>\nEurop\u00e4isches Unternehmen, Kapital und Gesch\u00e4ftsf\u00fchrung in der EU<\/td>\n<\/tr>\n
Daten, Backups und Logs in der EU<\/td>\nEurop\u00e4ische Regionen verf\u00fcgbar; Telemetrie und Support nicht immer auf die EU beschr\u00e4nkt<\/td>\nServer ausschlie\u00dflich in Europa<\/td>\n<\/tr>\n
Europ\u00e4ische Subunternehmer<\/td>\nGlobale Hardware-, Software- und Supportkette<\/td>\nRechenzentren, Konnektivit\u00e4t und Lieferanten in der EU<\/td>\n<\/tr>\n
Immunit\u00e4t gegen\u00fcber Anordnungen und Sanktionen aus Drittl\u00e4ndern<\/td>\nNicht garantierbar, solange die Muttergesellschaft dem CLOUD Act und FISA 702 unterliegt; das Treuh\u00e4ndermodell blieb in der Ausschreibung der Kommission bei SEAL-2<\/td>\nUnterliegt ausschlie\u00dflich dem Recht der EU und ihrer Mitgliedstaaten<\/td>\n<\/tr>\n
Mitarbeiter mit privilegiertem Zugang mit EU-Staatsb\u00fcrgerschaft (Stufe 3)<\/td>\nNur in den Treuh\u00e4nderangeboten, innerhalb eines begrenzten Perimeters<\/td>\nTeam vollst\u00e4ndig in der EU<\/td>\n<\/tr>\n
Kundendaten werden nicht zum Training von KI aus Drittl\u00e4ndern verwendet<\/td>\nAbh\u00e4ngig von Vertragsklauseln; die KI-Modelle werden aus den USA betrieben<\/td>\nKein Modelltraining mit Kundendaten<\/td>\n<\/tr>\n
Technologische Offenheit und ein 12-monatiger Exit-Plan<\/td>\nPropriet\u00e4re Formate und APIs; aufwendige Migration<\/td>\nSooma Business ist Open Source; offene Formate und Portabilit\u00e4t<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Die Grenze der Hyperscaler ist nicht technischer, sondern rechtlicher Natur: So viel sie auch in europ\u00e4ische Regionen und Partner investieren, die letztliche Kontrolle und die Unterwerfung unter US-Recht \u00e4ndern sich nicht. Genau dieses Kriterium stellen CADA-Stufe 3 und SEAL-3 in den Mittelpunkt.<\/p>\n

F\u00fcr \u00f6ffentliche Einrichtungen und Unternehmen in kritischen Sektoren in ganz Europa ist die Botschaft einfach: Die Anbieter, die 2028 in Frage kommen werden, gibt es heute schon, und die Kriterien, um sie zu unterscheiden, sind bereits ver\u00f6ffentlicht.<\/strong><\/em><\/p>\n

Quellen<\/h2>\n